攻撃者がEDRを無効化しても脅威を検知

この手法そのものの実行はそれほど複雑ではありませんが、その影響を封じ込めることは困難です。攻撃者がカーネルレベルで動作し始めると、センサーが機能しなくなるため、行動検知は機能しなくなります。EDRのスキャンおよび検知機能も同様の理由で機能しなくなり、最も重要な局面で検知ツールが確実に存在し、機能しているという前提が崩れ始めます。

ESETによると、同社が記録した約90種類のEDRキラーツールのうち54種類が、その手法の信頼性の高さから特にBYOVDを採用しており、合計35種類の脆弱性のあるドライバーを悪用している。ESETの研究者ヤクブ・ソウチェク氏は、ランサムウェア・アズ・ア・サービス（RaaS）の運営者が頻繁に新しい暗号化モジュールのビルドを作成していることを指摘し、BYOVDベースのキラーツールを使用することで、暗号化モジュール自体をシンプルかつ検出されにくい状態に保ちつつ、別のコンポーネントが防御回避処理を担当できるようにしていると述べた。

Hyadinaグループが「PoisonX」を使用した事例は、GitHubに研究ツールとして公開されたカーネルドライバが、数週間後に実際のランサムウェア攻撃に利用されたものであり、こうしたツールが概念実証（PoC）から実戦配備へといかに迅速に移行するかを示している。「まず防御機能を無力化し、次にデータを暗号化する」という手法は、もはや高度な技術を持つ攻撃者だけの専売特許ではなくなっている。

セキュリティ責任者は、これが何を意味するのかについて、取締役会とより直接的な対話を図るべきである。EDRは依然として重要な対策ではあるが、これを最終防衛線として扱うことは、正当化することがますます難しくなっている。

多層防御では、単一の制御手段が最終防衛線となることはなく、個々のレイヤーが機能しなくなった場合でもアーキテクチャが対応できるよう設計されていることが前提となります。実際には、多くの組織が、ホストOSという同じ基盤となる依存関係を共有する複数のエンドポイントツールを導入しています。もしそのOSがカーネルレベルで侵害された場合、スタック全体が一挙に危険にさらされる可能性があります。

核心となる問題は、導入されているツールの数ではなく、共有された攻撃対象領域です。BYOVDに対応した攻撃者は、各制御を個別に迂回する必要はありません。カーネルレベルで実行可能な脆弱なドライバーを1つ読み込んで悪用するだけで、攻撃者は、ホスト上に常駐する検知システムが実質的に対応する機会を得る前に、EDRのコールバックを登録解除し、エージェントプロセスを終了させることができます。

脆弱性のあるドライバーをブロックリストに登録することは必要な措置ですが、これには構造的なタイムラグの問題があります。 シマンテックの研究者ブリジット・オ・ゴーマンが説明しているように、ドライバーが特定されてから、ブロックリストの更新が企業のエンドポイントに届くまでには、通常数日、多くの場合は数週間のタイムラグが生じます。つまり、攻撃者は常にリストの更新よりも速いペースで行動しているのです。PoisonXは2026年4月に公開され、7月までには実際のランサムウェア攻撃に利用されていました。このタイムラグの存在を知っている攻撃者は、今後もこれを悪用し続けるでしょう。

「EDRキラーはセンサーを出し抜いているわけではなく、単にセンサーそのものを削除しているだけであり、それに依存するすべての機能も同時に失われてしまうのです」OPSWATジャック・マディーン氏は述べています。「MetaDefender 、ファイルを検知不能にする可能性のあるホストにファイルが到達する前に分析を完了させることで、その隙を塞ぎます。」

MetaDefender 、OPSWAT、ネットワーク境界におけるゼロデイ攻撃の検知を目的としたAIネイティブの意思決定エンジンであり、従来の仮想マシンではなく、アプリケーションエミュレーションを基盤として構築されています。この特徴はBYOVDと直接関連しています。なぜなら、分析環境は、保護対象のエンドポイントの状態に一切依存しないからです。

VMベースのサンドボックスはフィンガープリント解析の対象となり得ます。高度なマルウェアは、仮想化環境を検知して悪意のある動作を抑制し、実際には無害ではないファイルに対して「クリーン」という判定を下すことがよくあります。また、VMインフラストラクチャ自体も独自の攻撃対象領域を生み出し、執拗な攻撃者はこれを探知したり回避したりすることが可能です。場合によっては、サンドボックス自体が標的となることもあります。

MetaDefender パイプラインMetaDefender 、異なるアプローチを採用しています。第1層である「脅威レピュテーション」では、URL、IPアドレス、ドメインを既知の侵害指標と照合し、リアルタイムでチェックを行います。第2層である「予測型AI/MLおよび静的解析」では、機械学習モデルと詳細な静的解析を用いて、これまでに確認されたことのないファイルの悪意の有無を予測し、コードが実行される前にゼロデイ脅威を検知します。

レイヤー3「動的解析」は、ホストのカーネル空間の外、独立したインフラストラクチャ上で動作する隔離された環境内で、命令レベルでのアプリケーションの挙動をエミュレートします。レイヤー4「脅威スコアリング」は、挙動指標を相関分析して信頼度に基づくリスクスコアを算出します。また、レイヤー5「脅威ハンティング」は、結果をMITRE ATT&CKにマッピングし、機械学習による類似性検索を実行して、マルウェアのファミリーやキャンペーンを特定します。

稼働中のBYOVD EDRキラーに対する検証済み分析において、MetaDefender 、いかなるコンポーネントも実行される前にこのツールキットを検知しました。 正規に署名されたVirtualBoxドライバー（VBoxDrv.sys）——脆弱性が確認されており、カーネルレベルの権限昇格に悪用されることが多いため、サードパーティ製ベンダーのドライバーとして知られる——は、完全な確信度で「MALICIOUS」と判定され、BYOVDとしてタグ付けされたほか、もう1つの悪意のあるカーネルドライバー（Shark.sys）およびそれらを展開するために構築されたローダー（Sea.exe）も同様に判定された。

この判定結果は、隔離されたインフラストラクチャ上での命令レベルエミュレーションによって生成されるため、ホスト上でエンドポイントエージェントがまだ稼働しているかどうかにかかわらず有効です。これこそが、BYOVDが解消することを目的としている状況そのものです。

多層防御は、システムが吸収しきれない遅延を招くようでは、あくまで理論上のものに留まってしまいます。金融サービス、防衛、重要インフラといった高スループットが求められる環境では、判定結果が出るまでに数分かかるサンドボックスにすべてのファイルを迂回させることはできません。検査層がボトルネックになると、チームはそれを回避する方法を模索し、本来は塞ぐはずだったセキュリティの隙間が再び開いてしまうことになります。

MetaDefender アーキテクチャMetaDefender 、この制約を前提として構築されています。VMベースのサンドボックスと比較してリソース要件が低く、従来のサンドボックスよりも20倍高速な分析速度を兼ね備えているため、電子メールパイプライン、管理型ファイル転送ワークフロー、ゲートウェイ検査ポイントにわたる企業規模のファイル量に対しても、検査を拡張することが可能です。この高速性こそが、実行前の検査を、インシデント発生後の対応としてのみ利用されるものではなく、標準的な運用管理手段として実用的なものにしているのです。

プレッシャーがかかっても機能し続けるセキュリティアーキテクチャは、紙の上だけで機能するアーキテクチャとはしばしば異なる姿をとります。BYOVDの手法を用いる脅威アクターは、文書化された制御策と運用上の現実との間に存在するギャップを悪用します。カーネルレベルの攻撃が容易に到達できないレイヤーに検査機能を配置し、環境が要求する速度でそれを実行することで、そのギャップを埋めることこそが、アーキテクチャを実践の場で機能させる鍵となります。

実際に確認された侵入事例により、EDRを無効化できるかどうかという疑問は解消されました。無効化は可能であり、実際に繰り返し行われてきました。残された課題は、脅威が実行される前にそれをどのように検知するかということです。MetaDefender 、エンドポイントの状態に依存せずに動作する実行前検査をどのように実現しているかをご覧ください。