【ITニュース解説】Memory Forensics: Uncovering Attacker Secrets That Never Touch the Disk

現代のサイバーセキュリティにおいて、システムの異常な動作に直面しながらも、従来のセキュリティツールでは原因が特定できないという、やっかいな問題が頻繁に発生している。例えば、ある重要なサーバーが夜中に見慣れないアドレスに小さな暗号化された通信を継続的に送っているとする。しかし、Endpoint Detection and Response (EDR)プラットフォームは悪意のあるプロセスを検知せず、アンチウイルススキャンも完全にクリーンな結果を示す。さらに、ハードドライブの詳しい調査でも、不審な実行ファイルも、不正なDLLも、怪しいログエントリーも一切見つからない。デジタル調査の伝統的な手法では、システムはまるで何事もなかったかのように正常に見える。だが、外部への通信は嘘をつかない。このシステムには「幽霊」が潜んでいるのだ。それは、ディスクベースのフォレンジックでは見つけることができない、揮発性で一時的なシステムのメモリ空間で活動する侵入者である。

このようなシナリオは、今日のインシデントレスポンスにおける新しい現実となっている。長年にわたり、デジタルフォレンジックはハードドライブやSSD上に保存された静的なデータを分析する科学であった。しかし、攻撃者たちは進化し、ディスクが痕跡を残す場所であることを学習した。その痕跡を残さないために、彼らは「ファイルレス」マルウェアや「インメモリ」攻撃といった高度な手法をますます多用するようになった。これらの手法では、悪意のあるコードは決してディスクに書き込まれない。代わりに、直接Random Access Memory (RAM)にダウンロードされ、メモリ上で実行される。そして、簡単な再起動によってメモリ上の証拠が完全に消去されることを知っている。この新しい戦場において、メモリフォレンジックは、かつては一部の専門家だけが持つニッチなスキルであったが、今では最も高度な脅威を追跡するための最も重要な分野へと発展した。それは、稼働中のシステムの「心」に対してデジタル検視を行い、決して見つけられるはずのなかった秘密を暴く技術である。

メモリフォレンジックが必要とされる攻撃者の手法の根本的な変化は、「Living-off-the-Land (LotL)」、つまり「現地にあるものを使って生きる」と表現される。攻撃者はもはや、騒がしく目立つ独自のツールを持ち込む必要がない。その代わりに、オペレーティングシステムに元々組み込まれている強力な正規の管理ツールを悪用する。Windows PowerShellを使ってスクリプトを直接メモリにダウンロードして実行したり、Windows Management Instrumentation (WMI)を利用してファイルを残さずに永続性を維持したり、あるいはexplorer.exeやsvchost.exeのような信頼された実行中のプロセスのメモリ空間に悪意のあるコードを注入したりする。従来のアンチウイルスソリューションから見れば、何の問題もないように見える。信頼されたMicrosoftのプロセスが単にネットワーク接続を行っているだけだと判断されるのだ。RAMの内容を直接覗き見る能力がなければ、調査官は事実上盲目であり、侵害されたオペレーティングシステムが示す情報だけを信頼せざるを得ない。メモリフォレンジックは、オペレーティングシステムの「嘘」を回避し、特定の瞬間にシステムメモリ内で実際に何が起きているかという、加工されていない真実を読み取る、一種の超能力を私たちに与える。

メモリフォレンジックのプロセスは、デリケートで時間との勝負となる作業である。それは「揮発性優先の原則」という中心的な考え方に従い、証拠は最も揮発性の高いものから順に収集されるべきだと定められている。CPUのレジスタやキャッシュ内のデータは最も一時的だが、RAMの内容もそれに続く非常に揮発性の高いデータである。侵害されたマシンが電源を落とされた瞬間、犯罪現場全体の証拠は消滅してしまう。したがって、最初に行う最も重要なステップは、メモリイメージの取得である。これは、RAMの全内容をビット単位で正確に取得したスナップショットである。これは単なるコピー＆ペーストの操作ではない。調査官が保存しようとしている証拠を汚染しないよう、書き込みをブロックしたUSBドライブから、専門的で信頼できるツールを使って実行されなければならない。FTK Imager、BelkasoftのRam Capturer、あるいはコマンドラインで簡単に使えるDumpItといったユーティリティが、メモリの内容を慎重に読み取り、通常は.memまたは.dmpといった拡張子を持つ単一の大きなファイルに書き込むために使用される。このファイルは、何ギガバイトもの大きさになることがあり、緊急治療室に運び込まれた患者のデジタル版である。これは、侵害の全貌を再構築するための生の材料となる。

メモリイメージが安全に取得されたら、実際の調査が始まる。このデジタル検視の主要なツールは、オープンソースのメモリ分析フレームワークであるVolatilityであり、業界標準となっている。Volatilityは「悪意を検出する」ボタンがあるような単純なプログラムではない。それは、オペレーティングシステムがメモリ内でその状態を管理するために使用する、信じられないほど複雑なデータ構造を理解する高度なフレームワークである。分析を開始する前に、調査官はまずVolatilityに、分析対象のメモリイメージがどの種類のOSのものであるかを教える必要がある。

プロファイルが設定されると、調査官は基本的な質問を始める。最初の質問は常に「このシステムで何が実行されていたのか？」である。pslistコマンドは実行中のプロセスの一覧を表示するが、真に役立つのはpstreeコマンドであり、プロセスを親子関係の階層で表示する。しばしば、ここで侵入者の最初の兆候が現れる。通常のプロセスツリーでは、Webブラウザのようなユーザーが起動したアプリケーションの親としてexplorer.exeが表示される。しかし、Microsoft Word (winword.exe)がPowerShellプロセス (powershell.exe)を起動しているプロセスツリーは、非常に大きな危険信号である。これは、悪意のあるマクロが有効なドキュメントがファイルレスのペイロードを実行している典型的な兆候である。

次に、調査官は「このマシンは何に接続していたのか？」と問う。netscanコマンドは、メモリキャプチャ時にアクティブだったネットワーク接続を再構築する。ここで「幽霊」の通信が明らかになる。調査官は、先ほどの不審なPowerShellプロセスが、ユーザーからは隠されていたが、メモリイメージには鮮明に記録されている、外国のコマンド＆コントロール (C2) サーバーとの永続的な暗号化された接続を維持しているのを発見するかもしれない。このコマンド一つで、攻撃者のC2インフラ全体が解明されることもある。さらに深い調査のために、調査官はcmdscanまたはconsolesプラグインを使用して、攻撃者がコマンドプロンプトにタイプした正確なコマンドを確認でき、彼らの行動の逐語的な記録を得られる。

しかし、メモリフォレンジックの真の力は、見えないように設計されたマルウェアを暴き出す能力にある。ここで高度な技術が活用される。攻撃者は頻繁に「コードインジェクション」と呼ばれる手法を用いる。これは、正規のプロセス内にメモリ領域を割り当て、そこに悪意のあるコードをコピーし、そして実行するというものだ。malfindコマンドはこれを検出するために特別に作られた。このコマンドは、全てのプロセスのメモリをスキャンし、注入されたコードの決定的な兆候、特に「読み書き実行 (RWX)」という珍しく非常に疑わしい権限を持つメモリページを探す。そのような領域を発見すると、その内容をダンプすることができ、そこから攻撃者が注入した生の悪意のあるシェルコードが明らかになることが多い。このようにして、アナリストはディスクには存在しなかった実際のマルウェアペイロードを復元できるのだ。

さらに、Volatilityは、オペレーティングシステムからその存在を積極的に隠蔽するルートキットの検出にも使用できる。psxviewプラグインは、メモリ内の異なる5つの場所からのプロセスリストを比較できる。あるプロセスが一部のリストには表示されるが、他のリストには表示されない場合、それはそのプロセスが積極的に隠蔽されている強力な兆候である。最も高度な脅威に対しては、調査官はprocdumpコマンドで疑わしいプロセスのメモリ空間全体をダンプし、memdumpで復号化されたペイロードをダンプすることで、その瞬間まで完全に幽霊だった脅威のリバースエンジニアリングを可能にする。メモリダンプにはすべての秘密が明らかになる。SAMハイブからパスワードハッシュが抽出されたり、ランサムウェアが使用する暗号化キーがプロセスのメモリ内で見つかったり、平文のデータ断片が回復されたりすることもある。

メモリフォレンジックは、インシデントレスポンスの計算を根本的に変えた。それは、一時的なものを観測可能なものに変えたのだ。ファイルレス攻撃や高度な回避技術が横行する世界において、RAMの揮発性内容は、もはやオペレーティングシステムのための一時的な作業領域ではない。それは、真実を探るための最後にして最良の情報源である。そこには、攻撃者のコマンド、マルウェアの復号化されたコード、そしてアクティブなネットワーク接続がすべて、生の加工されていない状態で存在する。現代のデジタル調査官にとって、メモリダンプを分析することは単なる技術的なプロセスではない。それは、時間を凍結した瞬間に足を踏み入れ、デジタル犯罪現場を歩き、最終的に機械の中に潜む幽霊を暴き出す行為なのである。