Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

メモリイメージから既知のマルウェアを検知できるツール - JPCERT/CC

JPCERTコーディネーションセンター(JPCERT/CC)は、メモリイメージから既知のマルウェアを簡易的に検知できるフォレンジックツールを無償で公開している。

「impfuzzy for Volatility」は、メモリイメージから既知のマルウェアを検知するソフトウェアで、メモリフォレンジックツール「The Volatility Framework」のプラグインとして同センターが開発した。同センターにおいても、マルウェアの分析業務に利用しているという。

通常、実行ファイルはメモリ上にロードされると、OSやマルウェアによって一部情報が書き換えられるため、ファイルハッシュ値の比較によるマルウェアの検知を行うことができないが、同センターでは、「Import API」のファジーハッシュを利用することにより問題を解決した。

具体的には、マルウェアの実行ファイルがメモリにロードする際に変化しない「Import API」のファジーハッシュを「impfuzzy」により取得。同ハッシュ値を利用することで、Windows実行ファイルの類似性を比較できる。

パッカーが用いられたマルウェアに対しても、アンパック後にメモリ上へ展開された検体のハッシュ値を計算でき、類似度を判定することが可能。メモリ上の実行ファイルやライブラリファイルにくわえ、プロセスにインジェクトされたコードも検出できるとしている。

同ツールは「GitHub」で公開されている。また使用にあたり、Pythonモジュール「pyimpfuzzy」をあらかじめインストールしておく必要がある。

(Security NEXT - 2016/11/02 ) このエントリーをはてなブックマークに追加

PR

関連記事

ランサムウェア「Black Basta」に注意 - 500超の組織で被害、医療機関も
「GitLab」のアカウント乗っ取る脆弱性、悪用が発生 - 米当局が注意喚起
Dropboxの電子署名サービスに不正アクセス - 顧客情報が流出
IBM、インフラ管理のHashiCorpを64億ドルで買収
「Ruby」に3件の脆弱性、アップデートで修正を実施
国家関与のサイバー攻撃「ArcaneDoor」 - 初期侵入経路は不明、複数ゼロデイ脆弱性を悪用
フィッシング攻撃支援サブスクの関係者を一斉検挙 - 利用者は約1万人
米政府、悪用が確認された脆弱性3件について注意喚起
まもなくGW - 長期休暇に備えてセキュリティ対策の再確認を
「PAN-OS」を狙う「Operation MidnightEclipse」 - 3月下旬より展開