IT用語集 2024/07/22

ファイルレスマルウェアとは？ 10分でわかりやすく解説

コラム

ファイルレスマルウェアは、端末上に明確な悪性実行ファイルを保存して実行する従来型のマルウェアとは異なり、OSの正規機能、スクリプト、メモリ上のコード実行、正規プロセスの悪用を使って活動する攻撃の総称です。PowerShell、WMI、タスクスケジューラなどの管理機能を悪用するケースも多く、ファイルのシグネチャだけに依存した検知では把握が遅れる場合があります。

ただし、ファイルレスマルウェアは「一切ファイルを使わない攻撃」だけを指すわけではありません。攻撃チェーンの一部でスクリプト、一時ファイル、レジストリ、タスク、ログオンスクリプトなどを使う場合もあります。実務では、明確な悪性実行ファイルに依存せず、ファイル痕跡が限定的で、挙動やログを見なければ追跡しにくい攻撃として捉えます。

ファイルレスマルウェアとは

ファイルレスマルウェアの定義

ファイルレスマルウェアとは、悪意ある実行ファイルを端末に保存して起動する方式に依存せず、OS標準機能、正規ツール、スクリプト、メモリ上のコード実行を利用して攻撃を進める手法です。端末に明確なマルウェアファイルが残りにくいため、ファイル検査だけでは検知しにくくなります。

代表的な悪用対象には、PowerShell、WMI、Windows Script Host、タスクスケジューラ、レジストリ、正規の管理ツールがあります。これらは本来、管理業務や自動化のための機能です。そのため、利用そのものをすべて異常と判定するのではなく、実行者、実行元、コマンド内容、親子プロセス、実行時間、外部通信、権限利用を組み合わせて判断します。

従来型マルウェアとの違い

実行の形	従来型は悪性ファイルを保存して起動する形が中心です。ファイルレスマルウェアは、スクリプト、正規プロセス、メモリ内実行、管理機能の悪用を使って活動します。
検知ポイント	従来型はファイルのハッシュ、シグネチャ、既知パターンで検知しやすい場合があります。ファイルレス型では、プロセス連鎖、スクリプト内容、外部通信、権限昇格、横展開などの挙動が手がかりになります。
痕跡	従来型は悪性ファイルや永続化用ファイルが残りやすい一方、ファイルレス型は短命なプロセス、ログ、レジストリ、タスク、メモリ上の痕跡として現れることがあります。
対応の中心	従来型はアンチウイルスやファイル隔離が中心になりやすく、ファイルレス型ではEDR、ログ監視、権限制御、スクリプト制御、初動対応が重要になります。

ファイルレス攻撃の主な特徴

PowerShell、WMI、タスクスケジューラなどの正規機能を悪用する。
メモリ上でコードを実行し、明確な悪性実行ファイルを残さない場合がある。
侵入後に認証情報を窃取し、正規ログインや管理ツールで横展開することがある。
業務でも使われる機能を悪用するため、単純な禁止や検知では誤検知・見落としが起こりやすい。
ランサムウェアや情報窃取の前段階として使われることがある。

ファイルレスマルウェアが問題になる理由

ファイル検知だけでは把握しにくい

ファイルレスマルウェアは、明確な悪性ファイルを保存しない、または短時間だけ利用して削除する場合があります。ファイルのシグネチャや既知ハッシュに依存した対策では、メモリ内実行や正規ツール悪用を見逃す可能性があります。

そのため、端末上のプロセス連鎖、コマンドライン、スクリプト実行、認証ログ、外部通信、権限昇格の有無を確認できる状態が必要です。検知対象をファイルから挙動へ広げることが、防御方針の中心になります。

正規機能の悪用と業務利用の区別が難しい

PowerShellやWMIは、システム管理、運用自動化、障害対応でも使われます。攻撃者がこれらを悪用した場合、表面的には正規の管理操作と似た動きに見えることがあります。

業務で使う管理コマンドと攻撃で使われるコマンドを区別するには、通常時の利用状況を把握する必要があります。誰が、どの端末で、どの時間帯に、どの権限で、どのコマンドを実行するのが通常なのかを定義し、そこからの逸脱を確認します。

侵入後の横展開につながりやすい

ファイルレス攻撃は、初期実行だけで終わるとは限りません。認証情報の窃取、管理共有へのアクセス、リモート実行、権限昇格、外部通信を組み合わせ、別端末やサーバーへ移動することがあります。

この段階では、攻撃者が正規アカウントや管理ツールを使うため、外部からの不審な侵入よりも判別しにくくなります。最小権限、多要素認証、特権アカウントの分離、端末隔離の手順が被害範囲を左右します。

ファイルレスマルウェアの主な感染経路

ファイルレスマルウェアは、侵入時点から特殊な経路を使うとは限りません。脆弱性悪用、メール、認証情報の不正利用、リモート管理機能の悪用など、一般的な攻撃経路から侵入し、その後にファイル痕跡が限定的な実行へ移るケースがあります。

脆弱性を悪用したコード実行

ブラウザ、Office、VPN装置、Webサーバー、リモート管理製品などの脆弱性が悪用され、端末やサーバー上でコードが実行されるケースです。攻撃者は、悪性ファイルを長く保存せず、スクリプトやメモリ上のコードで次の処理を進めることがあります。

対策では、資産棚卸し、バージョン管理、パッチ適用、インターネット公開資産の優先対応が基本になります。特にVPN、リモートアクセス、公開サーバー、認証基盤に関係する製品は、侵害時の影響が大きくなります。

メールやフィッシングを起点にした実行

メール内のリンク、添付ファイル、偽ログインページから、スクリプト実行や認証情報の窃取へつながるケースです。近年は、悪性ファイルを添付するだけでなく、正規サービスのURLや認証画面を悪用し、正規ログインに見える形で侵入する手口もあります。

対策では、メールセキュリティ、URLフィルタリング、添付ファイル検査、サンドボックス、多要素認証、条件付きアクセスを組み合わせます。ユーザー教育だけに依存せず、誤って操作した場合でも被害範囲を限定する設計にします。

PowerShellやWMIなどの管理機能の悪用

PowerShellやWMIは、管理業務に使われる正規機能です。攻撃者はこれらを使い、外部から取得したコードの実行、認証情報の取得、他端末への移動、永続化設定を行うことがあります。

対策では、PowerShellのログ取得、スクリプト実行ポリシー、管理者権限の制限、リモート実行の制御、不要な管理機能の無効化を検討します。ただし、業務で必要な管理作業まで止めると運用に支障が出るため、対象部門と用途を分けて制御します。

認証情報の不正利用

攻撃者がパスワード、セッション情報、トークン、管理者認証情報を取得すると、悪性ファイルを置かなくても正規ログインで活動できます。この場合、アクセスログ上は正規ユーザーの操作に見えることがあります。

対策では、多要素認証、条件付きアクセス、特権ID管理、パスワード再利用の抑制、認証ログの監視を行います。短時間での複数端末ログイン、通常と異なる地域や端末からのアクセス、深夜の特権操作は確認対象になります。

ファイルレスマルウェアへの対策

脆弱性管理を継続する

ファイルレス攻撃の起点には、未修正の脆弱性が使われることがあります。OS、ブラウザ、Office製品、VPN装置、公開サーバー、リモート管理製品、ミドルウェアの更新状況を把握し、影響度の高いものから適用します。

更新できない機器やアプリケーションがある場合は、アクセス制限、ネットワーク分離、WAF、仮想パッチ、監視強化で補完します。脆弱性管理は「更新する」だけでなく、未適用資産を把握し、例外を期限付きで管理するところまで含めます。

正規機能の利用範囲を絞る

PowerShell、WMI、PsExec、タスクスケジューラ、リモート管理機能は便利ですが、攻撃にも利用されます。業務上必要な端末、担当者、用途を確認し、不要な利用を制限します。

管理者権限を持つユーザーを最小限にし、通常業務用アカウントと管理作業用アカウントを分けます。ローカル管理者権限を常時付与せず、必要時だけ承認付きで利用する運用も検討します。

EDRで挙動を監視する

EDRは、端末上のプロセス、スクリプト、ファイル操作、通信、レジストリ変更、権限昇格などを記録し、不審な挙動の検知と調査を支援します。ファイルレスマルウェアでは、ファイルそのものよりも、正規プロセスから不自然なコマンドが実行される、短時間で複数端末へ接続する、通常と異なる外部通信が発生する、といった挙動が手がかりになります。

ただし、EDRは導入だけでは機能しません。アラートの優先順位、隔離基準、誤検知時の確認方法、夜間休日の対応、復旧手順を決めます。対応できない量のアラートを発生させると、重要な兆候を見落とす原因になります。

ログを集約し、相関分析できる状態にする

ファイルレスマルウェアの調査では、端末ログ、認証ログ、PowerShellログ、プロキシログ、DNSログ、ファイアウォールログ、クラウドサービスの監査ログを組み合わせる場面があります。単体のログでは正常に見える操作でも、複数のログをつなぐと侵害の流れが見えることがあります。

SIEMなどを使う場合は、収集対象、保存期間、検索項目、検知ルール、通知先を明確にします。ログは収集量を増やすだけでは不十分です。調査に使える粒度で保存し、誰が確認するのかを決めます。

認証と権限を強化する

ファイルレス攻撃では、侵入後に認証情報を使って横展開することがあります。多要素認証、特権アカウントの分離、条件付きアクセス、端末準拠状態の確認、不要アカウントの削除、パスワード再利用の抑制を組み合わせます。

特に管理者権限は、常時付与ではなく、必要な作業に限定して使います。特権操作のログを残し、深夜・休日・通常と異なる端末からの操作を確認対象にします。

メール・Web経由の初期侵入を減らす

メールやWebを起点とする攻撃には、メール認証、URL評価、添付ファイル検査、サンドボックス、Webフィルタリング、ブラウザ分離などを検討します。フィッシング詐欺による認証情報の窃取を前提に、多要素認証と条件付きアクセスも組み合わせます。

教育では、不審なリンクや添付ファイルの見分け方だけでなく、開いてしまった後の報告手順を明確にします。早期報告を責めない文化を作ることで、初動の遅れを減らせます。

ファイルレスマルウェア対策の課題

正常な管理操作との判別が難しい

ファイルレス攻撃で使われる機能は、管理業務でも使われます。そのため、PowerShellやWMIの実行をすべて遮断すると、運用作業や障害対応に支障が出る場合があります。

現実的には、利用者、端末、コマンド、実行時間、接続先、親プロセスを基に、異常度を判断します。通常時の管理操作を把握し、そこから外れた操作を優先的に確認する設計にします。

ログが不足していると調査できない

ファイルレス攻撃では、悪性ファイルが残らない、または短時間で消える場合があります。ログが不足していると、何が実行されたのか、どの端末へ広がったのか、外部通信があったのかを追跡できません。

ログ取得は、インシデントが起きてから始めても間に合いません。平時から取得対象と保存期間を決め、調査に必要なログを保持します。

製品導入だけでは完結しない

EDR、SIEM、メールセキュリティ、WAFなどは有用ですが、単一製品だけでファイルレス攻撃を止めることは困難です。攻撃者は正規機能、認証情報、管理ツール、クラウドサービスを組み合わせるため、端末、認証、ネットワーク、ログ、運用を連携させます。

検知後の初動手順も欠かせません。端末を隔離する基準、アカウントを停止する条件、証跡保全、影響範囲調査、復旧、再発防止までを手順化します。

業務影響との調整が必要になる

スクリプト制御、管理ツール制限、外部通信制御を強めると、運用担当者や開発部門の業務に影響する場合があります。対策を一律に適用すると、例外申請が増え、管理が複雑になります。

導入時は、管理部門、開発部門、情報システム部門、セキュリティ部門で利用実態を確認し、段階的に制御範囲を広げます。業務上必要な例外は、理由、対象、期限、承認者を記録します。

ファイルレスマルウェアを疑うべき兆候

不自然なスクリプト実行	PowerShellやWMIが、通常使われない端末、時間帯、ユーザーから実行されている状態です。難読化されたコマンドや外部URLからの取得処理も確認対象になります。
不審な親子プロセス	Officeアプリケーションやブラウザから、PowerShell、cmd、スクリプトエンジンが起動している状態です。メール添付やWeb閲覧を起点にした実行が疑われます。
認証情報へのアクセス	資格情報ストア、メモリ、ブラウザ保存情報、管理者アカウントへの不自然なアクセスです。横展開の前段階として確認します。
短時間の横展開	同一アカウントや同一端末から、短時間に複数端末へ接続している状態です。管理作業との違いを確認します。
通常と異なる外部通信	業務で使わない宛先、深夜帯の通信、短時間での大量通信、DNSやHTTPを使った不審な通信です。C2通信やデータ送信の可能性を確認します。