ネストされたペイロードは、どのようにしてシグネチャスキャンを通過したのか？

署名ベースのスキャンは、バイトの照合によって機能します。エンジンには、既知のマルウェアから抽出されたハッシュ値やバイトパターンのデータベースが格納されており、ファイルが検出されるためには、そのファイルに一致するバイトが存在する必要があります。しかし、ネストされたコンテンツの場合、いくつかの要因によってこの検出が妨げられることがあります。

• スキャンは、ファイル内のオブジェクトではなく、親ファイルを読み取ります。スキャンでは、対象となるファイルを単一のバイナリオブジェクトとして扱い、シグネチャデータベースと照合します。ネストされたコンテンツは圧縮またはエンコードされた形式で保持されているため、ドキュメントストリーム内に含まれる実行ファイルは、ディスク上の同じ実行ファイルとバイトシーケンスをほとんど共有しません。データベースが検索対象とするパターンは、保存されたファイルには存在せず、そのストリームが解凍されて初めて照合可能になります。
• スキャン不可能なファイルは、正常なファイルのように見えます。 構造の不備により解析が中断されます。エンジンは評価を完了できないため、ファイルはブロックされるのではなくスキップされ、「評価できませんでした」という意味の結果が、「何も見つかりませんでした」という意味の結果と区別がつかないまま、下流に伝達されます。
• フォーマットは、その設計上、誤解を招くこともあります。多言語ファイルは2つのフォーマット仕様を同時に満たしているため、あるパーサーはその仕様を満たしていると判断する一方で、ファイル自体はまったく別のものとして振る舞うことがあります。
• 再帰には限界があります。ネストされたコンテナには、深さの制限やスキャンタイムアウトが設けられています。これは、無制限の再帰自体がサービス拒否（DoS）のリスクとなるため、当然の措置です。その境界より下に配置されたペイロードは決して評価されず、エンジンが到達できない深さにペイロードを配置する方が、エンジンを無効化するよりもはるかに容易です。

その結果、一見したほど多くのことを示していない判定が下されることになる。「クリーン」という結果は、エンジンが解析できたファイルの一部において、既知のパターンが一致しなかったことを意味するに過ぎない。これは、ファイル内部の構成要素について何も示しておらず、エンジンが解析しなかった部分についても何も述べていない。

シグネチャベースのスキャンは、決して単独で機能するものではありません。現代のファイルセキュリティスタックは、設計上、多くの場合多層構造になっており、その周囲の層は、パターンマッチングではカバーできない部分を補うために存在しています。

ファイルタイプの識別とは、宣言された拡張子ではなく、ヘッダーからファイルの真のタイプを判別するものです。これは設計上、高速かつ表面的な処理であり、ファイルの内容そのものではなく、そのファイルをどこに配置すべきかを決定するために構築されています。動的解析は、制御された環境下でファイルの挙動を観察するものです。これは未知の脅威に対処するのに適したツールであり、すべてのファイルに適用するのではなく、選択的に適用した場合に最も効果を発揮します。

これを最も明確に示す方法は、スキャンを通過しながらもペイロードを保持しているファイルを示すことです。そこで、無害なPDFファイルの中に悪意のあるペイロードを隠した概念実証（PoC）を作成しました。このサンプルを複数のマルウェア対策エンジンで検査したところ、すべて「クリーン」という結果が返されました。

次のステップとして、MetaDefender Core™ で「ファイル構造検証」機能を有効にして、このファイルをスキャンします。親ファイルのネストされたコンポーネントを抽出した後、「ファイル構造検証」機能は出力オブジェクトを後続のエンジンに送信し、さらなる分析を行います。

Metascan™のMultiscanning マルウェア対策エンジンは、「感染」という判定を下しました。脅威がないと判定していたのと同じシグネチャデータベースであっても、ペイロードが独立したファイルとして提示されると、感染と判定しました。