malware-triage

マルウェアのトリアージ

疑わしいサンプルを安全に分析し、実用的なインジケーターを迅速に抽出します。

安全を最優先

• 隔離された VM または専用のサンドボックス（Cuckoo/ANY.RUN/ベンダーのサンドボックス）を使用し、ネットワークはシミュレートするかシンクホールに誘導します
• サンプルはパスワードで保護されたアーカイブに保存し、ハッシュ値をファイル名に使用します。分析に関係するホストでは決して開かないでください
• スナップショットから作業し、実行のたびに元に戻します

1. 静的トリアージ

• ハッシュ値（MD5/SHA256）、ファイルの種類、エントロピー（file、pestudio風の概要）
• 文字列：URL、ミューテックス、レジストリパス、PDB パス、C2 のパターン
• PE の詳細：注目すべきインポート（ネットワーク、プロセスインジェクション、暗号化 API）、デジタル署名の有効性、パッカーの検出（エントロピーとセクション名）
• ドキュメントのメタデータ（Office マクロ、埋め込みオブジェクト、リモートテンプレート）

2. 動的実行

• ファイル、レジストリ、ネットワーク、プロセスの動作を監視しながら、サンドボックスで実行します
• 取得するもの：ドロップされたファイル、永続化の仕組み、C2 ビーコン（ポートとプロトコルを含むドメイン/IP）
• トリガーに依存するマルウェア：ユーザー操作のシミュレーション、地域や環境の確認、デバッガーの検出などが必要です。何も起きない場合はデバッグに進みます

3. 挙動の抽出

• 永続化：Run キー、サービス、スケジュールされたタスク、WMI サブスクリプション
• インジェクション：プロセスホロウイング、APC、SetWindowsHookEx の対象
• 情報窃取：DNS トンネリングのパターン、HTTP POST の形式、既知のプロトコルビーコン
• 防御回避：AV サービスの停止、AMSI/ETW のパッチ適用、タイムスタンプの操作

4. 分類とレポート作成

• サンプルセットに対する YARA ルールを用いてファミリーを特定し、確信度を記録します
• 観察した挙動を ATT&CK の手法にマッピングします
• 次のものを作成します：IOC（機械可読形式。必要に応じて STIX）、検出ガイダンス（YARA と挙動ベース）、1 ページのトリアージ概要

エスカレーションの基準

C2 プロトコルの再構築、設定の抽出、または検出・対応のためのアンパックが必要な場合に限り、詳細なリバースエンジニアリング（IDA/Ghidra）を行います。興味本位では行いません。