2019年11月18日FacebookTwitterはてブPocketFeedlyこころこの前、マルウェアの勉強をしたけど、調べてる途中で「ファイルレスマルウェア」って言葉を初めて知ったんだ。マルウェアとは何が違うんだろう?と思って、ファイルレスマルウェアについて調べることにしてみたよ。fa-angle-double-right【関連記事】マルウェアについて詳しく調べてみるファイルレスマルウェアとはファイルレスマルウェアとは、実行ファイルがディスク上に保存されず、メモリ上で実行されるマルウェアです。従来のマルウェアは、メールの添付ファイルを開いたり、悪意のあるWebサイトにアクセスすることで感染します。マルウェアのほとんどが実行(exe)ファイルと呼ばれるもので、プログラムそのものとなっており、ディスクに保存され、それが実行されることによって不正行為を働きます。セキュリティ対策ソフトは、メールに添付されるファイルやWebサイトからダウンロードされるファイルをチェックし、実行ファイルは特に疑わしいものとして検査します。近年実行ファイルを使用しない(ファイルレス)タイプのマルウェアが増加してきました。最終的な実行ファイルはディスク上に作成されず、PowerShell等でコードが実行(メモリ上にロード)されます。ディスク上にファイルを作らないことから「ファイルレス・マルウェア」と呼ばれています。実行ファイルではないため、シグネチャ(メソッド名/パラメータの型/数/順序/戻り値の型等で構成された、メソッドを識別するための情報)がなく、従来型のセキュリティ対策ソフトではほぼ検知が出来ません。Instrumentation(WMI)」を使用して、他のマシンに展開するなどの悪意のある活動を行います。正規のプログラムが悪用されている為、ファイルレスマルウェアの攻撃は、ほとんどのセキュリティプログラムや熟練のセキュリティアナリストによっても検出されにくくなっています。2PowerShellとWMIが悪用される理由PowerShellとWMIが攻撃者の標的対象にされているのは理由は主に以下が挙げられます。「ファイルレス」マルウェアと言われていますが、感染自体はファイルを通して行われます。PowerShellなどを悪用するマルウェアはスパムメール等で撒かれます。4攻撃方法の一例スパムメールに、PowerShell・WMI等の不正コードが含まれており、攻撃指示を出します。不正コードは、起動されるとメモリ上にロードされ、その際にPowerShell・WMIを使って起動。終了条件のないプログラムをバックグラウンドで起動すると、意図的にプログラムを停止しない限り、OSシャットダウンまで動作し続けてしまいます。ファイルレスマルウェアが従来型のソリューションで検知できない理由1実行ファイルが無いファイルレスマルウェアは実行ファイルがないため、シグネチャベースでのウイルス対策ソフトでは検知ができません。ショートカットファイルの拡張子を持つファイルを起点にし、内部に仕込ませたスクリプトを実行させてプロセスを呼び出し、そこにマルウェアを生成。したファイルやプロセスは、シグネチャベースのセキュリティ対策ソフトでは検査対象としていませんでした。2正規プロセスとの区別が難しいPowerShellとWMIはWindowsの正規のプログラムなので、実行する悪意あるコマンドも正当なものとみなされてしまいます。仮に大量にコマンドが実行されていたとしても、そもそもPoweShellの使用頻度が高いこともあり、実行の量だけを見て疑わしいかどうか判断することが非常に困難です。3コードの難読化セキュリティ対策ソフトによる検出を回避するため、攻撃者は常にコードの難読化を行います。ファイルレスマルウェア対策1メールの添付ファイルをうかつに開かない前述の感染経路通り、「ファイルレスマルウェア」といってもファイルを媒体として感染します。ファイルレスマルウェア入りのファイルがスパムメールやフィッシングメールの形で届く場合もありますので、添付ファイルを開くときには厳重に注意しましょう。Officeのマクロを使った攻撃は、マクロをオフ(無効)にしておくことで防ぐことができます。3アプリケーションやOSの脆弱性を無くすアプリケーションやOSの脆弱性をなくすため、アップデートを必ず実施すること。不正操作されてしまった場合に情報を持ち出されないように、外部との通信を制限しておきましょう。5PowerShellの無効化PowerShellの場合、無効化するという手段もありますが、正規のプロセスで必要とする部署もある為、関係部署と連携しながら決めておきましょう。こころ脆弱性の危険を突かれないよう、サポート切れのOSのアップグレードもとても大事だね。セキュリティ対策ソフトでほぼ検知が出来ないといっても、基本的なマルウェア対策をしていれば、ファイルレスマルウェアも防ぐことが出来る。RPPMIT用語の意味、読み方、英語表記などを詳しく解説します。...さ行システム子会社IT用語の意味、読み方、英語表記などを詳しく解説します。...は行フィット&ギャップ分析IT用語の意味、読み方、英語表記などを詳しく解説します。CCPFRIT用語の意味、読み方、英語表記などを詳しく解説します。FDRMIT用語の意味、読み方、英語表記などを詳しく解説します。生体認証IT用語の意味、読み方、英語表記などを詳しく解説します。RPLMIT用語の意味、読み方、英語表記などを詳しく解説します。FDevOpsIT用語の意味、読み方、英語表記などを詳しく解説します。