初めてのマルウェア解析

マルウェアの基礎から、ツールを使った解析テクニックまで!
本書は、マルウェア解析技術 (表層解析、動的解析、静的解析、メモリ解析手法) についてステップバイステップで丁寧に解説する入門書です。マルウェア解析とは、マルウェアを分析してどのような悪意のある振る舞いをするか、どのような脆弱性が悪用されているかを洗い出し、インシデント対策に役立てる技術で、近年のサイバー攻撃対策に欠かせない技術となっています。マルウェア解析専門家である著者が、そのノウハウを本書に凝縮。

『初めてのマルウェア解析』は、Windows のマルウェアを題材に、検体を実行せずに調べる表層解析から、実行して振る舞いを観察する動的解析、逆アセンブルとデバッグによるコード解析、メモリフォレンジックまでを順に学ぶ入門書です。著者は Monnappa K A、訳は石川 朝久、技術監修は北原 憲と中津留 勇で、オライリー・ジャパンから 2020 年 12 月に刊行されました。副題は「Windows マルウェアを解析するための概念、ツール、テクニックを探る」、原書は Learning Malware Analysis です。版元の紹介文は基礎の理解に重点を置いた本と位置づけ、これからマルウェア解析を学ぶ人にも、知識を再確認したい人にも向けています。

表層解析からメモリフォレンジックまで、全 11 章の流れ

第 1 章「ようこそ、マルウェア解析の世界へ」で解析の種類と、Linux と Windows の仮想マシンを使った解析環境の準備を扱い、第 2 章「表層解析」ではファイル形式の判別、ハッシュ値によるフィンガープリント、VirusTotal でのスキャン、文字列の抽出、パッカーの判別、PE ヘッダーの分析、ファジーハッシュや YARA によるマルウェアの分類へ進みます。第 3 章「動的解析」は Process Hacker、Process Monitor、Noriben、Wireshark、INetSim を使った監視と、実行ファイルや DLL の解析です。第 4 章「アセンブリ言語と逆アセンブル入門」で CPU レジスターや命令、関数、x64 アーキテクチャの基礎を固めたうえで、第 5 章で IDA による逆アセンブル、第 6 章で x64dbg と IDA によるデバッグに入ります。第 7 章はマルウェアの機能と持続性、第 8 章はコードインジェクションとフッキング、第 9 章は難読化手法とアンパックです。最後の第 10 章と第 11 章はメモリフォレンジックの章で、Volatility を使ったプロセスや DLL、ネットワーク接続の列挙から、コードインジェクションやカーネルモードルートキットの検出までを扱います。

解析の段階を組み合わせる理由

マルウェア解析が複数の段階に分かれているのは、どの手法にも見えないものがあるからです。表層解析はファイルを動かさずに安全に始められ、ハッシュ 値で既知の検体と照合したり、取り込んでいる関数から振る舞いの見当をつけたりできますが、パッカーで中身を隠された検体では得られる情報が限られます。動的解析は実際の振る舞いを観察できる一方で、検体が解析環境を察知して動きを変えれば取りこぼします。逆アセンブルとデバッグはコードそのものを読む手段で、時間はかかっても他の手法が見落とした分岐を確かめられます。さらに、正規の プロセス に注入されたコードのようにメモリ上にしか存在しないものは、ディスク上のファイルだけを見ても見つけられず、メモリイメージの解析が必要になります。安全で手早い手法から始めて、必要に応じて手間のかかる手法へ深めていくのが、こうした段階を使い分ける基本的な考え方です。

前提知識と、隔離された解析環境の準備

アセンブリ言語は第 4 章でコンピューターの基礎から解説されているため、事前に習得していなくても読み始められます。ただし、第 2 章ではファイル形式の判別やハッシュ値の生成を Python でも行い、第 10 章ではプロセスやレジストリ、サービスを調べるので、Windows の基本操作と簡単なプログラムを読む経験があると進みやすくなります。もう 1 つの前提は環境です。本物の検体を扱う以上、第 1 章で解析環境の要件と構成を確かめ、Linux と Windows の仮想マシンを用意してから手を動かす必要があります。対象は副題のとおり Windows のマルウェアで、ツールの画面や版は 2020 年の刊行時点のものです。

インシデント対応や SOC の業務で不審なファイルの正体を自分で確かめたい人、検知ルールを書くために検体の特徴を読み取れるようになりたい人にとって、本書は表層解析からメモリフォレンジックまでの一連の手順を 1 冊で見通せる教材になります。セキュリティ分野で次に読む本を選ぶ際は、セキュリティ技術書の選び方 も併せて参照すると、目的に合う一冊を探しやすくなります。解析環境を用意して第 1 章から順に手を動かせば、検体を前にしたときにどこから手を付けるかを自分で判断できる力が身に付きます。