ファイルレスマルウェアの仕組み

　Intel Securityは「McAfee Labs脅威レポート」（2015年11月：日本語版）で、ファイルレスマルウェアの概要を以下の項目に分けて詳しく説明している。

• ファイルレスマルウェアが攻撃対象システムのディスクに保存したファイルを削除する方法
• 暗号化したデータをレジストリに保存する方法、実行中のプロセスにコードを注入する方法
• Microsoftの「Windows PowerShell」や「Windows Management Instrumentation」などの手法を使用してマルウェアの検出と分析を困難にしている方法

　レジストリに格納するデータは、PCの起動時にマルウェアを実行できるが、標準ユーザーが特定のレジストリデータを表示したり、特定のレジストリデータにアクセスしたりできないような方法で保存する。

　この仕組みによって、攻撃対象のセキュリティ担当者が攻撃を受けた痕跡を検出しても、マルウェアを使用して攻撃を継続する時間を稼ぐことができる。マルウェアを自動化したツールで発見して、マルウェアリポジトリに送信できる場合もある。だが、マルウェアの素性を十分に分析できるまで、既存の対策製品でこのマルウェアを特定して削除することはほぼ困難だ。

　暗号化したデータやハッシュされたデータをレジストリに保存し、マルウェアの存在を偽装するために、よく知られた方法とは別な技法を使用するのには正当な理由がある。例えば、アプリケーションの中には、保護が必要なレジストリに暗号化したパスワードを格納するアプリケーションが存在する。

　Windowsを導入したコンピュータで指示を実行するには、実行する指示をOSが認知する必要がある。これには以下の方法で行うことになる。

• 添付ファイルを開く
• 電子メールのリンクをクリックする
• コンピュータ上にあるファイルを開く
• リモートファイル共有を使用する。

　実行中のプロセスにコードを注入するには、まず前述のアクションのいずれかが必要になる。システムメモリ内にコードが入ると、コードを実行するユーザーに認められている全てのアクションが実行可能になる。そのユーザーが管理者レベルのアクセス権を保持している場合、システムを完全に乗っ取ることができる。ただし、制限付きのユーザーアカウントである場合は、追加の手順が必要になる。

　McAfee Labsのレポートでは、マルウェア「Kovter」が最新のファイルレスマルウェアの技法をどのように使用しているかについて説明している。Kovterは、電子メールや悪意のあるWebサイト経由で配布する。最初のマルウェアをローカルコンピュータで実行すると、レジストリにある暗号化したPowerShellスクリプトを呼び出すJavaScriptをレジストリに書き込む。このマルウェアはファイルを保存せず、PowerShellを使用して活動を隠すため、特定が難しくなっている。以前のマルウェアでは、最初のダウンロード後で、このような高度な手順を実行することはなかった。

ファイルレスマルウェアから企業を保護する

　ファイルレスマルウェアの攻撃から防御するために、最初にすべきは、最新のパッチを適用してエンドポイントが安全な状態にあることを確認することだ。また、ユーザーが標準のユーザーアカウントのみを使用し、特権のあるアカウントを使用していないことも確認し、エンドポイント用のマルウェア対策ツールを使用してデバイスを保護する必要もある。これらの手順は、ネットワーク接続と電子メールでマルウェアをスキャンする多重防御アプローチで対応しなければならない。この手順を採用すれば、マルウェアがエンドポイントに侵入して実行できる可能性は低下するだろう。

　エンドポイントのセキュリティツールは、実行可能ファイルとOSのシステムコールの動作を監視する。ここで、ファイルレスマルウェアの攻撃で必要なレジストリへの予期せぬアクセスや未認証の外部接続も検知できる。テクノロジーの専門家でMicrosoft MVPでもあるドン・ジョーンズ氏は、悪意のあるPowerShellスクリプトを防ぐため、PowerShellに必要なセキュリティ保護について概説している。ここで、確認すべき最も重要な設定は、デジタル署名されたスクリプトのみが実行できることだ。

　今もなお、ファイルレスマルウェアの戦術は進化している。だが、企業は古いマルウェア対策と同じ技法やツールでエンドポイントを保護できる。進化によってファイルレスマルウェアの分析はさらに困難になっているもののが、マルウェアの最初の感染と実行の可能性を下げるために、企業はこれまでと同じ保護の手順で対抗可能だ。