マルウェア解析基礎講座｜静的・動的解析の実践手法

組織のネットワークで不審なファイルが発見された場合、そのファイルが本当に悪意のあるマルウェアなのかを判断する必要があります。マルウェア解析は、インシデント対応において被害範囲の特定や再発防止策の策定に不可欠な技術です。IPAの調査によると、標的型攻撃やランサムウェア被害において、初動対応の遅れが被害拡大の主要因となっています。本記事では、静的解析と動的解析の基本概念から、安全な解析環境の構築、実践的な解析フロー、IOC（侵害の痕跡）の抽出方法まで、非エンジニアの方にも理解できるよう段階的に解説します。マルウェア解析の基礎を身につけることで、組織のマルウェア感染対策強化とインシデント対応力の向上に役立てることができます。

---

マルウェア解析の概要と準備

マルウェア解析とは、悪意のあるソフトウェアの動作や目的を明らかにするための技術的な調査プロセスです。フィッシング詐欺メールの添付ファイルや、ドライブバイダウンロードで取得された不審なファイルを解析することで、攻撃者の意図や被害の範囲を把握できます。

解析の目的と重要性

マルウェア解析を実施する目的は、組織のセキュリティ対策において多岐にわたります。インシデント発生時には、感染したマルウェアがどのような動作をするのか、どのような情報を窃取しようとしているのかを把握することが、適切な対応策を講じるうえで重要です。

インシデント対応における役割

マルウェア解析は、感染経路の特定、被害範囲の把握、攻撃者の目的理解に不可欠です。解析結果に基づいて、適切な封じ込め措置や復旧作業を計画できます。特に情報漏洩の有無を判断する際には、マルウェアの通信先や窃取対象データの特定が重要になります。

脅威インテリジェンスへの貢献

解析によって得られた情報は、組織内での防御強化だけでなく、業界全体のセキュリティ向上にも貢献します。IOC（Indicators of Compromise：侵害の痕跡）を共有することで、同様の攻撃を受ける可能性のある他組織の防御に役立てることができます。

再発防止策の策定

マルウェアの侵入経路や悪用された脆弱性を特定することで、同様の攻撃を防ぐための具体的な対策を講じることができます。脆弱性管理やセキュリティ設定の見直しに必要な情報を得られます。

解析手法の種類と特徴

マルウェア解析には、大きく分けて静的解析、動的解析、そしてこれらを組み合わせたハイブリッド解析の3つのアプローチがあります。それぞれの手法には特徴があり、状況に応じて使い分けることが重要です。

解析手法	概要	メリット	デメリット
静的解析	マルウェアを実行せずにファイル構造やコードを調査	安全性が高い、実行環境に依存しない、全体像を把握しやすい	難読化されたコードの解析が困難、実際の動作を確認できない
動的解析	マルウェアを実際に実行して振る舞いを観察	実際の動作を確認できる、難読化の影響を受けにくい	解析環境の構築が必要、検体が環境を検知して動作を変える可能性
ハイブリッド解析	静的解析と動的解析を組み合わせて実施	より詳細で正確な解析が可能、相互補完できる	時間とリソースが必要、高度なスキルが求められる

安全な解析環境の構築

マルウェア解析を行う際には、隔離された安全な環境で実施することが絶対条件です。本番環境や業務ネットワークに接続した状態で解析を行うと、マルウェアが意図せず拡散したり、データ持ち出しが発生したりする危険性があります。

ネットワークの完全隔離

解析環境は、組織のネットワークから完全に切り離す必要があります。物理的に隔離されたネットワークセグメントを用意するか、インターネット接続を遮断した状態で解析を行います。マルウェアがC2（Command and Control）サーバーと通信しようとした際の挙動を観察するには、INetSimなどのインターネットシミュレーションツールを活用します。

仮想マシンの活用

VMwareやVirtualBoxなどの仮想化ソフトウェアを使用して解析環境を構築します。仮想マシンのスナップショット機能を活用することで、解析前の状態を保存し、マルウェア実行後に元の状態に戻すことができます。これにより、繰り返し解析を実施することが可能になります。

解析専用ツールの準備

静的解析用と動的解析用のツールをあらかじめインストールした解析専用の仮想マシンイメージを用意しておくと効率的です。ツールのインストールや設定を毎回行う必要がなくなり、迅速に解析を開始できます。

構成要素	推奨内容	目的
ホストOS	Linux（Ubuntu、Debian等）またはWindows	仮想マシンの管理と隔離
仮想化ソフト	VMware Workstation、VirtualBox	隔離環境の構築とスナップショット管理
ゲストOS	Windows 10/11、各種Linuxディストリビューション	マルウェアの実行環境
ネットワーク設定	ホストオンリー、NAT切断、INetSim	外部通信の遮断とシミュレーション
解析ツール	各種静的・動的解析ツール	マルウェアの調査と分析

---

静的解析の実践

静的解析は、マルウェアを実行せずにファイルそのものを調査する手法です。コードの構造や含まれる文字列、使用されているライブラリなどを分析することで、マルウェアの機能や目的を推測します。実行を伴わないため比較的安全に実施でき、解析の第一段階として広く活用されています。

基本的な静的解析手法

静的解析の最初のステップは、対象ファイルの基本情報を収集することです。ファイルハッシュの計算や既知のマルウェアとの照合から始めます。

ファイルハッシュの計算

MD5、SHA1、SHA256などのハッシュアルゴリズムを使用して、ファイルの一意の識別子を計算します。このハッシュ値は、マルウェアデータベースとの照合や、同一検体の追跡に使用されます。SHA256が現在の標準的なハッシュアルゴリズムとして推奨されています。

オンラインデータベースでの照合

VirusTotalなどのオンラインサービスにファイルハッシュを入力することで、既知のマルウェアかどうかを確認できます。複数のアンチウイルスエンジンによる検出結果や、過去の解析レポートを参照できます。ただし、機密性の高いファイルをアップロードする際は、情報漏洩のリスクに注意が必要です。

文字列の抽出と分析

バイナリファイルに含まれる可読文字列を抽出することで、マルウェアの機能に関する手がかりを得られます。URLやIPアドレス、ファイルパス、レジストリキー、エラーメッセージなどが見つかることがあります。これらの情報は、マルウェアの通信先や動作内容を推測するのに役立ちます。

ファイル形式の解析

Windows環境で多く見られるマルウェアは、PE（Portable Executable）形式のファイルとして配布されることが一般的です。PE構造を解析することで、マルウェアの特徴を把握できます。

PE構造の基本

PE形式のファイルは、ヘッダー情報とセクションで構成されています。ヘッダーには、ファイルの基本情報やインポートするDLL、エントリーポイントなどの重要な情報が含まれます。これらの情報を解析することで、マルウェアがどのようなWindowsAPIを使用するかを推測できます。

インポートテーブルの分析

マルウェアが使用するWindows APIは、インポートテーブルに記録されています。ファイル操作、ネットワーク通信、プロセス操作などに関連するAPIが多数インポートされている場合、それらの機能を持つマルウェアである可能性が高いと判断できます。

セクション情報の確認

通常のプログラムと異なる名前のセクションや、異常なサイズのセクションは、パッキング（圧縮・暗号化）が施されている兆候である可能性があります。エントロピー値（データのランダム性）が高いセクションも、暗号化されている可能性を示唆します。

パッキングと難読化への対処

多くのマルウェアは、解析を困難にするためにパッキング（圧縮・暗号化）や難読化が施されています。これらの手法を識別し、適切に対処することが静的解析の重要なスキルです。

パッカー/プロテクター	特徴	対処の難易度
UPX	オープンソースの圧縮ツール、広く使用される	低（標準ツールで展開可能）
ASPack	商用パッカー、一般的なマルウェアで使用	中（専用ツールが必要）
Themida	高度な商用プロテクター、仮想化保護	高（手動解析が必要）
VMProtect	仮想マシンベースの保護、高度な難読化	非常に高（専門知識が必要）
カスタムパッカー	攻撃者が独自に作成、APTで多用	非常に高（個別対応が必要）

パッキングされたマルウェアを解析する場合、まずパッカーの種類を特定し、適切な展開方法を選択します。一般的なパッカーであれば自動展開ツールを使用できますが、高度なプロテクターやカスタムパッカーの場合は、動的解析と組み合わせてメモリ上で展開されたコードを取得する手法が必要になることがあります。

高度な静的解析

基本的な静的解析で十分な情報が得られない場合、逆アセンブルやデコンパイルといった高度な手法を用いてコードレベルの解析を行います。

逆アセンブルの概念

逆アセンブルとは、機械語（バイナリ）をアセンブリ言語に変換する作業です。アセンブリ言語は機械語よりも人間が理解しやすい形式であり、プログラムの処理の流れを追跡できます。IDA ProやGhidraなどの逆アセンブラツールを使用します。

制御フロー分析

プログラムの処理がどのように分岐し、ループするかを視覚化することで、マルウェアの動作ロジックを理解します。条件分岐や関数呼び出しの関係を把握することで、重要な処理を特定できます。

デコンパイルの活用

特定の言語（.NET、Javaなど）で作成されたマルウェアは、デコンパイラを使用することで、より高水準のコードに復元できる場合があります。これにより、解析の効率が大幅に向上します。

---

動的解析の実践

動的解析は、マルウェアを実際に実行して、その振る舞いを観察する手法です。静的解析では把握しきれない実際の動作や、パッキング・難読化されたコードの本来の挙動を確認できます。ただし、マルウェアを実行するため、適切に隔離された環境で実施することが不可欠です。

基本的な振る舞い監視

動的解析では、マルウェアが実行時にシステムに対して行う様々な操作を監視します。プロセス、ファイルシステム、レジストリ、ネットワークの4つの観点から監視を行うのが基本です。

プロセス監視

マルウェアがどのようなプロセスを生成するか、既存のプロセスに対してどのような操作を行うかを監視します。子プロセスの生成、DLLインジェクション、権限昇格の試みなどを検出できます。Process MonitorやProcess Explorerなどのツールを使用します。

ファイルシステム監視

マルウェアが作成、変更、削除するファイルを追跡します。常駐化・足場確保のために自身をコピーしたり、設定ファイルを作成したり、他のマルウェアをダウンロードしたりする挙動を確認できます。

レジストリ監視

Windowsのレジストリに対する変更を監視します。自動起動設定の追加、システム設定の変更、感染情報の保存などが行われることがあります。Regshotなどのツールで、実行前後のレジストリの差分を比較できます。

ネットワーク監視

マルウェアの通信を監視することで、C2サーバーのアドレスや通信プロトコル、送受信されるデータの内容を把握できます。Wiresharkでパケットをキャプチャし、DNS問い合わせやHTTP/HTTPS通信を分析します。

サンドボックス解析

サンドボックスは、マルウェアを安全に実行し、その振る舞いを自動的に記録・分析するための隔離環境です。手動での動的解析には時間と専門知識が必要ですが、サンドボックスを活用することで効率的に解析を実施できます。

サンドボックス種別	特徴	使用場面
オンラインサンドボックス	Webブラウザから利用可能、環境構築不要	迅速な初期分析、外部共有可能な検体
オンプレミスサンドボックス	自組織内に構築、機密性を確保	機密性の高い検体、詳細な解析
商用サンドボックス製品	高度な検知機能、自動レポート生成	継続的な脅威分析、SOC運用

オンラインサンドボックスの活用

Hybrid Analysis、Joe Sandbox、Any.runなどのオンラインサービスは、ファイルをアップロードするだけで自動的に解析を実行し、詳細なレポートを生成します。迅速に結果を得られる反面、アップロードしたファイルが第三者に公開される可能性があるため、機密情報を含む検体の取り扱いには注意が必要です。

オンプレミスサンドボックスの構築

Cuckoo Sandboxなどのオープンソースツールを使用して、自組織内にサンドボックス環境を構築することも可能です。機密性を確保しながら詳細な解析を行えますが、環境の構築と維持には一定の技術力とリソースが必要です。

サンドボックス回避技術への対応

高度なマルウェアは、サンドボックス環境を検知して動作を変える回避技術を備えていることがあります。解析者はこれらの技術を理解し、適切に対処する必要があります。

仮想環境検知

マルウェアは、VMwareやVirtualBoxの特徴的なレジストリキー、プロセス、デバイス名などを検索して仮想環境かどうかを判定することがあります。解析環境では、これらの痕跡を可能な限り隠蔽することが推奨されます。

時間ベースの回避

一定時間のスリープを入れたり、特定の日時になるまで動作しないようにすることで、サンドボックスの短い解析時間では悪意のある動作が確認されないようにする手法があります。解析時には時間を操作したり、長時間の監視を行ったりする必要があります。

ユーザー操作の検知

マウスの動きやキーボード入力など、実際のユーザー操作があるかどうかを確認し、自動解析環境では動作しないようにするマルウェアも存在します。一部のサンドボックスは、人間の操作をシミュレートする機能を備えています。

---

実践的な解析フロー

マルウェア解析を効果的に実施するためには、体系的なアプローチが重要です。以下に、検体の受領から解析レポートの作成までの標準的なフローを示します。

解析手順の標準化

解析作業を標準化することで、漏れのない調査と再現性のある結果を得ることができます。組織として解析手順を文書化し、インシデント対応計画に組み込むことが推奨されます。

1. 検体情報の収集：ファイル名、取得元、発見状況、関連するアラートなどの基本情報を記録します。Chain of Custody（証拠の連続性）を維持するため、証拠保全の観点からも正確な記録が重要です。
2. 初期トリアージ：ファイルハッシュの計算とVirusTotalなどでの照合を行い、既知のマルウェアかどうかを確認します。既知の場合は、既存のレポートを参照して迅速に対応できます。
3. 基本的な静的解析：文字列抽出、PE構造解析、パッキング判定などの安全な解析を実施します。この段階で多くの情報が得られることがあります。
4. サンドボックス解析：自動化された動的解析を実行し、マルウェアの振る舞いの概要を把握します。時間効率が良く、多くの場合はこの段階で十分な情報が得られます。
5. 詳細な静的・動的解析：必要に応じて、逆アセンブルや手動での動的解析を行い、より深い理解を得ます。高度な解析スキルが必要ですが、重要なインシデントでは不可欠な場合があります。
6. IOC抽出とレポート作成：解析結果をまとめ、防御に活用可能なIOCを抽出します。関係者への報告と、組織の防御強化に役立てます。

IOC（Indicators of Compromise）の抽出

IOC（Indicators of Compromise：侵害の痕跡）は、マルウェア感染や不正アクセスを検知するための指標です。解析で得られたIOCを組織の防御システムに反映することで、同様の攻撃を早期に検知できるようになります。

ファイルベースのIOC

ファイルハッシュ（MD5、SHA1、SHA256）、ファイル名、ファイルサイズ、特徴的な文字列などが該当します。アンチウイルスソフトやEDRのカスタムルールに追加することで、同一のマルウェアを検知できます。

ネットワークベースのIOC

通信先のIPアドレス、ドメイン名、URL、通信パターン（ポート番号、プロトコル）などが該当します。ファイアウォールやプロキシサーバーでブロックすることで、C2通信を遮断できます。

ホストベースのIOC

作成されるレジストリキー、ミューテックス名、サービス名、スケジュールタスク名などが該当します。これらの痕跡をEDRやSIEMで監視することで、感染の早期発見が可能になります。

IOCの種類	具体例	活用方法
ファイルハッシュ	SHA256: a1b2c3d4...	アンチウイルス、EDRのブロックリスト
IPアドレス	192.0.2.1	ファイアウォールでブロック
ドメイン	malicious-domain.example	DNSブロック、プロキシフィルタリング
レジストリキー	HKLM\SOFTWARE\...	EDR監視、フォレンジック調査
ミューテックス	Global\MutexName	感染判定、重複実行防止の検知

IOCの共有と活用

抽出したIOCは、組織内での防御強化だけでなく、業界全体でのセキュリティ向上に貢献するために共有することが推奨されます。

組織内での活用

抽出したIOCをセキュリティ製品（ファイアウォール、IDS/IPS、EDR、SIEM）に登録し、同様の脅威を自動的に検知・ブロックできるようにします。CSIRT/SOCと連携して、迅速な対応体制を整えることが重要です。

業界・コミュニティでの共有

STIX/TAXIIなどの標準フォーマットを使用して、業界ISAC（Information Sharing and Analysis Center）やセキュリティコミュニティとIOCを共有します。相互に脅威情報を交換することで、業界全体の防御力が向上します。

---

レポート作成と結果の活用

マルウェア解析の結果は、適切にドキュメント化して関係者と共有することが重要です。解析レポートは、技術者向けの詳細な情報から経営層向けの概要まで、読み手に応じた内容を提供する必要があります。

解析レポートの構成

効果的な解析レポートは、技術的な詳細と実用的な対策提言をバランス良く含む必要があります。以下に標準的なレポート構成を示します。

エグゼクティブサマリー

非技術者や経営層向けに、解析結果の要点を簡潔にまとめます。マルウェアの種類、被害の深刻度、推奨される対応策を、専門用語を避けて説明します。意思決定に必要な情報を1ページ程度で提供します。

検体情報

解析対象となったファイルの基本情報（ファイル名、サイズ、ハッシュ値、発見状況など）を記録します。証拠としての価値を維持するため、正確な情報を記載します。

解析手法

実施した解析の種類（静的解析、動的解析など）、使用したツール、解析環境の構成を記載します。第三者が結果を検証できるよう、再現性を確保します。

技術的詳細

マルウェアの動作メカニズム、使用される技術、感染の流れなどを詳細に説明します。スクリーンショットや図表を活用して理解を助けます。

IOC一覧

抽出した全てのIOCを整理して一覧化します。種類ごとに分類し、コピー＆ペーストで活用しやすい形式で提供します。

対策提言

解析結果に基づく具体的な対策を提案します。短期的な対応（IOCのブロックなど）と長期的な対策（セキュリティ教育の強化など）を区別して記載します。

MITRE ATT&CKへのマッピング

MITRE ATT&CKフレームワークを活用することで、マルウェアが使用する攻撃手法を体系的に分類し、防御ギャップの特定に役立てることができます。

MITRE ATT&CKは、実際の攻撃で観測された戦術・技術・手順（TTPs）のナレッジベースであり、サイバー脅威の理解と防御計画に広く活用されています。

— 出典：MITRE Corporation

戦術と技術の特定

解析で判明したマルウェアの動作を、MITRE ATT&CKのマトリクスにマッピングします。初期アクセス、実行、永続化、権限昇格、防御回避、認証情報アクセス、探索、横展開、収集、持ち出し、影響といった戦術カテゴリに分類することで、攻撃の全体像を把握できます。

防御ギャップの分析

マッピングされた技術に対して、自組織の防御策が十分かどうかを評価します。検知や防御が不十分な領域を特定し、優先的に対策を強化することができます。

IPA「情報セキュリティ10大脅威 2025」によると、ランサムウェアによる被害が組織向け脅威の上位に位置しており、適切なインシデント対応体制の構築が求められています。

— 出典：IPA（独立行政法人情報処理推進機構）

---

解析スキル向上のためのリソース

マルウェア解析のスキルを向上させるためには、継続的な学習と実践が不可欠です。ここでは、スキル向上に役立つリソースと学習アプローチを紹介します。

学習リソースの活用

公開されている解析レポート

セキュリティベンダーやリサーチャーが公開している解析レポートを読むことで、実際の解析手法や思考プロセスを学ぶことができます。Mandiant、CrowdStrike、Sophosなどのベンダーが定期的にレポートを公開しています。

オンライントレーニング

SANS、Cybrary、Malware Traffic Analysisなどのプラットフォームで、マルウェア解析に関するトレーニングコースが提供されています。体系的に学習を進めることができます。

CTF（Capture The Flag）

セキュリティ競技であるCTFに参加することで、実践的なスキルを磨くことができます。マルウェア解析やリバースエンジニアリングに特化した問題も多く出題されています。

組織としてのスキル構築

段階的なスキル習得

全ての担当者が高度な解析スキルを持つ必要はありません。初級（基本的な静的解析、サンドボックス活用）、中級（詳細な動的解析、IOC抽出）、上級（逆アセンブル、カスタムマルウェア解析）と段階を設け、役割に応じたスキル習得を計画します。

外部リソースの活用

高度な解析が必要な場合は、セキュリティベンダーや専門家への依頼も選択肢となります。自組織での対応範囲と外部委託の範囲を明確にし、効率的なインシデント対応体制を構築することが重要です。

---

よくある質問（FAQ）

Q: マルウェア解析を始めるにはどのような準備が必要ですか？

A: まず、隔離された解析環境の構築が必要です。仮想化ソフトウェア（VMware、VirtualBox）をインストールし、解析用の仮想マシンを作成します。ホストOSと解析用仮想マシンのネットワークを完全に分離し、本番環境への影響を防ぎます。基本的なツール（ハッシュ計算、文字列抽出、PE解析など）をインストールし、スナップショットを取得しておくことで、繰り返し解析を実施できます。初期投資としては、十分なメモリとストレージを備えたPCが必要です。

Q: オンラインサンドボックスにファイルをアップロードしても安全ですか？

A: オンラインサンドボックスは便利ですが、アップロードしたファイルが第三者に公開されるリスクがあります。機密情報を含む可能性のあるファイル（社内文書、顧客データなど）はアップロードを避けるべきです。業務で発見された不審ファイルについては、まずファイルハッシュのみで検索し、既知のマルウェアかどうかを確認することを推奨します。機密性の高い検体を解析する必要がある場合は、オンプレミスの解析環境を構築するか、NDA（秘密保持契約）を締結したセキュリティベンダーに依頼することを検討してください。

Q: 静的解析と動的解析はどちらを先に実施すべきですか？

A: 一般的には、静的解析を先に実施することを推奨します。静的解析はマルウェアを実行しないため比較的安全であり、ファイルの基本情報や特徴を把握できます。VirusTotalなどでの照合で既知のマルウェアと判明すれば、既存のレポートを参照して迅速に対応できます。静的解析で十分な情報が得られない場合や、実際の動作を確認する必要がある場合に動的解析に進みます。ただし、時間的制約がある場合は、サンドボックスを使用した自動動的解析を並行して実施することも有効です。

Q: パッキングされたマルウェアはどのように解析すればよいですか？

A: パッキングされたマルウェアの解析には段階的なアプローチが必要です。まず、PEiDなどのツールでパッカーの種類を特定します。UPXなどの一般的なパッカーであれば、標準の展開ツールで解凍できます。高度なプロテクターが使用されている場合は、動的解析でメモリ上に展開されたコードをダンプする手法が有効です。マルウェアを実行してメモリに展開された状態でプロセスダンプを取得し、そのダンプに対して静的解析を行います。この手法には一定の技術力が必要なため、必要に応じて専門家への相談を検討してください。

Q: 解析結果のIOCはどのように活用すればよいですか？

A: 抽出したIOCは、複数の防御レイヤーで活用できます。ファイルハッシュはアンチウイルスやEDRのカスタムブロックリストに追加し、同一マルウェアの検知に使用します。IPアドレスやドメインはファイアウォール、プロキシサーバー、DNSフィルタリングでブロックし、C2通信を遮断します。レジストリキーやミューテックス名はSIEMの検知ルールに追加し、感染の早期発見に役立てます。また、業界ISACやセキュリティコミュニティとIOCを共有することで、同様の攻撃を受ける可能性のある他組織の防御にも貢献できます。

---

まとめ

マルウェア解析は、マルウェア感染インシデントへの効果的な対応と、組織の防御力強化に不可欠なスキルです。本記事では、静的解析と動的解析の基本概念から、安全な解析環境の構築、実践的な解析フロー、IOCの抽出と活用まで、体系的に解説しました。

静的解析ではマルウェアを実行せずにファイル構造やコードを調査し、動的解析では実際の振る舞いを観察することで、相互に補完しながら詳細な理解を得ることができます。解析結果から抽出したIOCを組織の防御システムに反映し、MITRE ATT&CKフレームワークを活用して防御ギャップを特定することで、継続的なセキュリティ強化が可能になります。

マルウェア解析のスキルは一朝一夕で身につくものではありませんが、基本的な手法から段階的に学習を進め、実践経験を積むことで着実に向上させることができます。組織としては、担当者のスキルレベルに応じた役割分担と、必要に応じた外部専門家との連携体制を構築することが重要です。組織的なマルウェア対策の一環として、解析能力の向上に継続的に取り組むことをお勧めします。

---

---