回避型マルウェアは、従来のVMベースの検知手法の限界を超えている

企業のセキュリティチームは、電子メールの添付ファイルやパッチの更新から、管理されたファイル転送やサードパーティ製サービスの連携に至るまで、毎日膨大な量のファイルを処理しています。悪意のあるファイルは、重要な影響を及ぼすまでの間、正当なファイルに見せかけるように作られるケースが増えています。

回避型マルウェアは、自動分析環境では正常に動作するように設計されており、実際のエンドポイント上で初めてその真の目的を露呈します。一般的な手法には次のようなものがあります：

VMベースのサンドボックスは、隔離された環境内で不審なファイルを実行し、その挙動を監視します。しかし、高度なマルウェアはこうした環境を認識し、実際の標的へ到達するまで悪意のある動作を控えることが広く報告されています。

VMベースのサンドボックスには、速度、拡張性、およびセキュリティに影響を及ぼす構造上の制約があります：

命令レベルエミュレーションは、認識可能な環境を完全に排除することで、この根本的な問題を解決します。マルウェアがフィンガープリントを特定できる仮想マシン内で不審なファイルを実行するのではなく、CPUおよびOSの実行を命令レベルでシミュレートします。その結果、アンチVMチェックはトリガーとなる要素を検出できず、タイミング遅延も期限切れとなります。そして、潜伏し続ける理由を見出せなくなったマルウェアは、監視下にあるにもかかわらず、ペイロードを完全に実行してしまうのです。

これが、OPSWATAdaptive Sandbox 技術の根底にある原理です。この技術は、回避手法が機能するレベルよりも下層で動作し、設定によるものではなく、設計上それらを迂回するように構成されています。

Adaptive Sandbox は、ファイルが隠している情報を段階的に解明するように設計された、3つの体系的な段階を経てSandbox 。各段階において、単一の分析では見逃されてしまうような回避手法に対処します：

1. ディープ構造解析では、120種類以上のファイル形式を対象に静的検査を実施し、動的実行が開始される前に、埋め込まれたコンテンツ、スクリプト、マクロ、およびシェルコードを抽出します。
2. Adaptive 分析は、CPU、OS、およびアプリケーションの動作をエミュレートすることで、実行パスをトリガーし、分析回避策を迂回し、隠された多段階ペイロードを露呈させます。
3. IOCの抽出およびレポート作成により、行動指標、ネットワーク関連データ、構成データを含む構造化された出力が生成され、SIEM、SOAR、MISP、およびSTIXワークフローへエクスポートされます。

Adaptive 、OPSWAT統合型ゼロデイ検知ソリューション「MetaDefender 」に組み込まれた4つの検知レイヤーのうちの1つです。サンドボックス単体でもファイルの挙動に関する重要な情報を得ることができますが、回避型マルウェアの出現により、単一の技術だけでは不十分であることが明らかになっています。

MetaDefender 現実を踏まえて設計されており、それぞれが単独では完全に対処できない死角を補完し合う4つのレイヤーを組み合わせています。その結果、ファイルごとに単一の信頼できる判定結果が得られるため、企業のワークフローに不可欠なファイルの処理速度を低下させることなく、99.9%のゼロデイ攻撃検出率を実現しています。

従来のVMベースのサンドボックスは、もはや存在しない脅威環境を想定して構築されたものです。そのため、分析を回避するよう特別に設計されたマルウェアによって、その動作パターンを特定されたり、動作を遅延させられたり、あるいは迂回されたりする可能性があります。

命令レベルのエミュレーションは、状況を一変させます。回避手法が機能するレベルよりも下位で動作させることで、Adaptive Sandbox マルウェアを完全に実行Sandbox 、確認された発見情報を検出パイプラインに送り込みます。これにより、検出精度は時間とともに高まっていきます。ファイルベースの脅威に対処する際、サンドボックス化を行うかどうかと同じくらい、その手法も重要だからです。

貴社で高リスクなファイルのやり取りを扱っており、高度な回避手法に対応できる詳細な検査が必要な場合は、MetaDefender 命令レベルエミュレーションがセキュリティ体制をどのように強化できるかについて、OPSWAT にご相談ください。