conducting-malware-incident-response

マルウェアインシデントへの対応

使用するタイミング

• EDR またはウイルス対策ソフトが、1 台以上のエンドポイントでマルウェアの実行を検出した場合
• ユーザーから、マルウェア感染を示す不審なシステム動作の報告があった場合
• 脅威インテリジェンスにより、組織の業界を標的とするマルウェアキャンペーンが示された場合
• ネットワーク監視により、既知のマルウェア C2 パターンと一致するビーコン通信が検出された場合
• サンドボックスでのファイル実行分析により、悪意のあるファイルと判定された場合

使用しないでください：調査研究を目的としたマルウェアサンプルの分析。リバースエンジニアリングには、専用のマルウェア分析手順を使用してください。

前提条件

• プロセスツリーの可視化とホスト隔離機能を備えた EDR プラットフォーム
• マルウェアサンドボックス環境（Cuckoo、ANY.RUN、Joe Sandbox、Hybrid Analysis）
• マルウェアファミリーの特定に使用する脅威インテリジェンスプラットフォームへのアクセス（VirusTotal、MalwareBazaar）
• 証拠保全用のフォレンジックイメージングツール（FTK Imager、KAPE）
• エンドポイントの再構築用クリーンシステムイメージまたはゴールデンイメージ
• 手法のマッピングに使用する MITRE ATT&CK フレームワークのリファレンス

ワークフロー

ステップ 1：マルウェアの存在を検出して確認する

マルウェアのアラートを検証し、初期の指標を収集します。

• EDR アラートの詳細（検出名、ファイルパス、ハッシュ（SHA-256）、プロセスツリー）を確認します
• 検出対象が既知のマルウェアファミリーか、汎用的なヒューリスティック検出かを確認します
• ファイルハッシュを VirusTotal、MalwareBazaar、および社内の脅威インテリジェンスと照合します
• プロセスの実行チェーンを調べ、マルウェアの侵入経路を特定します

Detection Summary:
File:        C:\Users\jsmith\AppData\Local\Temp\update.exe
SHA-256:     a1b2c3d4e5f6...
Detection:   CrowdStrike: Malware/Qakbot | VirusTotal: 58/72 engines
Parent:      WINWORD.EXE → cmd.exe → powershell.exe → update.exe
Delivery:    Email attachment (Invoice-Nov2025.docm)
Network:     HTTPS POST to 185.220.101[.]42:443 every 60s
Persistence: Scheduled Task "WindowsUpdate" → update.exe

ステップ 2：感染範囲を特定する

影響を受けたシステムの台数と、マルウェアの拡散方法を特定します。

• EDR を使用し、すべてのエンドポイントからマルウェアのハッシュ、ファイル名、振る舞いの指標を検索します
• ネットワーク経由の拡散（SMB、WMI、PsExec、エクスプロイト）がないか確認します
• 配信メールのすべての受信者について、メールゲートウェイのログを検索します
• 特定したインフラストラクチャとの C2 通信が他の内部ホストにないか検索します
• 特定したすべての感染ホストで、永続化の仕組みを確認します

ステップ 3：感染システムを封じ込める

適用中の侵害封じ込め手順に従って、封じ込めを実施します。

• EDR の封じ込め機能を使用して、感染したエンドポイントをネットワークから隔離します
• ファイアウォールと DNS でマルウェアの C2 インフラストラクチャをブロックします
• 組織全体の EDR 防止ポリシーでマルウェアのハッシュをブロックします
• 配信メールをすべてのメールボックスから隔離します（メール経由で配信された場合）
• 認証情報の窃取が疑われる場合は、侵害されたユーザーアカウントを無効にします

ステップ 4：マルウェアを分析する

完全な駆除に必要な範囲で分析を実施します。

• サンプルをサンドボックスに送信し、動的解析を行います（振る舞いレポート、ドロップされたファイル、ネットワーク IOC）
• すべての永続化の仕組みを特定します：レジストリキー、スケジュールされたタスク、サービス、WMI サブスクリプション、スタートアップフォルダー
• すべてのファイルシステム上の痕跡を記録します：ドロップされたファイル、変更されたファイル、作成されたディレクトリ
• ネットワーク IOC を抽出します：C2 ドメイン、IP、URL、ユーザーエージェント、JA3/JA3S ハッシュ
• 観測された振る舞いを MITRE ATT&CK の手法にマッピングします

Malware Analysis Summary - Qakbot Variant
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
Initial Access:   T1566.001 - Spearphishing Attachment (.docm)
Execution:        T1059.001 - PowerShell (encoded downloader)
Persistence:      T1053.005 - Scheduled Task
Defense Evasion:  T1055.012 - Process Hollowing (explorer.exe)
C2:               T1071.001 - HTTPS with custom headers
Collection:       T1005 - Data from Local System (browser credentials)
Exfiltration:     T1041 - Exfiltration Over C2 Channel

Artifacts:
- C:\Users\*\AppData\Local\Temp\update.exe (dropper)
- C:\ProgramData\Microsoft\{GUID}\config.dll (payload)
- HKCU\Software\Microsoft\Windows\CurrentVersion\Run\{random} (backup persistence)
- Scheduled Task: "WindowsUpdate" (primary persistence)

ステップ 5：マルウェアを駆除する

感染したすべてのシステムから、マルウェアの痕跡をすべて削除します。

• 悪意のあるプロセスと、そこにインジェクトされたスレッドを終了します
• 特定したすべてのパスからマルウェアファイルを削除します
• 永続化の仕組み（スケジュールされたタスク、レジストリキー、サービス、WMI サブスクリプション）を削除します
• 認証情報の収集が確認された場合は、ブラウザーの認証情報ストアをクリアします
• EDR のフルスキャンを実行し、痕跡が残っていないことを確認します
• 駆除の確実性が低い場合は、既知のクリーンなゴールデンイメージからシステムを再イメージ化します

ステップ 6：復旧して検証する

システムを本番環境に復旧し、クリーンな状態であることを検証します。

• 封じ込めたシステムを段階的にネットワークへ再接続します
• マルウェアの指標が再発しないか、72 時間監視します
• 感染したエンドポイントを使用していたすべてのユーザーに、パスワードのリセットを強制します
• 環境全体で C2 通信が完全に停止したことを確認します
• 調査で新たに発見した IOC に基づき、検出ルールを更新します
• IOC を脅威インテリジェンス共有パートナー（ISAC、MISP）に配布します

重要な概念

用語	定義
マルウェアファミリー	コード、インフラストラクチャ、または動作パターンを共有するマルウェアの亜種の分類（例：Qakbot、Emotet、Cobalt Strike）
プロセスホロウイング	マルウェアが正規のプロセスを一時停止状態で作成し、そのメモリを悪意のあるコードに置き換えてから実行を再開する手法
ビーコン	マルウェアからC2サーバーへの定期的なネットワーク通信で、通常は検出を回避するために一定の間隔とジッターを設定します
ドロッパー	主なペイロードをダウンロードまたは展開する、マルウェアの初期コンポーネントです。フィッシング経由で配信されることがよくあります
永続化メカニズム	システムの再起動後もマルウェアを存続させるために使用される手法（レジストリの実行キー、スケジュールされたタスク、サービス、WMI イベントサブスクリプション）
IOC（侵害の痕跡）	ファイルハッシュ、IP アドレス、ドメイン、レジストリキーなど、マルウェアの存在を示す観測可能な痕跡

ツールとシステム

• CrowdStrike Falcon / Microsoft Defender for Endpoint：検出、封じ込め、脅威ハンティングのためのEDRプラットフォーム
• ANY.RUN / Joe Sandbox：動的な振る舞い分析を行うインタラクティブなマルウェアサンドボックス
• VirusTotal / MalwareBazaar：サンプルの特定やIOCの拡充に利用するマルウェアインテリジェンスプラットフォーム
• KAPE (Kroll Artifact Parser and Extractor)：感染したエンドポイントから痕跡を迅速に収集するフォレンジックトリアージツール
• YARA：観測された指標に基づいてカスタムのマルウェア検出ルールを作成するパターンマッチングエンジン

よくあるシナリオ

シナリオ：EmotetローダーによるCobalt Strikeの展開

状況：EDRが、PowerShellを起動するマクロ有効ドキュメントを検出しました。このドキュメントはEmotet DLLをダウンロードし、そのDLLが続いてCobalt Strikeビーコンを読み込みます。45分以内に3台のホストが感染しました。

対応：

1. 直ちに3台すべてのホストを隔離し、境界でC2のIPアドレスをブロックします
2. メールゲートウェイを検索して、元のフィッシングメールの全受信者を特定し、そのメールを隔離します
3. すべてのエンドポイントを調査し、Emotet DLLのハッシュとCobalt Strikeビーコンの指標を探します
4. Cobalt Strikeビーコンの設定を分析して、ウォーターマーク、C2プロファイル、ステージングURLを抽出します
5. 認証情報の窃取（Mimikatz／LSASSダンプ）やラテラルムーブメントの痕跡がないか確認します
6. すべてのマルウェアの痕跡を駆除し、影響を受けたユーザーの認証情報をリセットします

注意点：

• Emotetのみに注目し、Cobalt Strikeの第2段階ペイロードを見落とす
• Cobalt StrikeのMalleable C2プロファイルの指標を抽出してブロックし損なう
• 初回検出後に、追加の永続化手段がないか確認しない（Emotetは、複数のバックアップ用永続化メカニズムをインストールすることがよくあります）

出力形式

MALWARE INCIDENT RESPONSE REPORT
=================================
Incident:         INC-2025-1547
Malware Family:   Qakbot (variant: Obama265)
Delivery Vector:  Spearphishing attachment (Invoice-Nov2025.docm)
First Detection:  2025-11-15T14:23:17Z
Scope:            4 endpoints confirmed infected

INFECTION TIMELINE
14:18 UTC - Phishing email received by [email protected]
14:19 UTC - Macro executed in WINWORD.EXE
14:20 UTC - PowerShell downloads update.exe from staging server
14:21 UTC - update.exe establishes persistence (Scheduled Task)
14:23 UTC - C2 beacon initiated to 185.220.101[.]42
14:35 UTC - Lateral spread to WKSTN-087 via stolen credentials
14:42 UTC - EDR detection fires, SOC alerted

IOCs EXTRACTED
File Hashes:  [SHA-256 list]
C2 Domains:   [domain list]
C2 IPs:       [IP list]
File Paths:   [artifact paths]

ERADICATION STATUS
[x] All malware artifacts removed from 4 hosts
[x] Persistence mechanisms deleted
[x] C2 infrastructure blocked
[x] Compromised credentials reset
[x] Email quarantined from all mailboxes

RECOMMENDATIONS
1. Deploy YARA rule for Qakbot variant detection
2. Block macro execution in documents from external senders
3. Implement application whitelisting on finance workstations