10章　マルウェア関連情報収集

はじめに　

この章では、マルウェアの疑いがある検体について、外部サイトを利用して情報収集を行う方法を紹介します。 この章を受講することで、マルウェアの種別や対処方法などをインターネットの公開関連情報から調査する手順や、公開サンドボックス（自動的な動的解析サービス）を利用してマルウェアの挙動を調査する方法などを学習することができます。

この章の中で、情報収集先として紹介するサイトは以下になります。

• VirusTotal
  • https://www.virustotal.com/gui/
• Hybrid Analysis
  • https://www.hybrid-analysis.com/
• Joe Sandbox
  • https://www.joesandbox.com/
• ANY.RUN
  • https://any.run/

VirusTotalは世界的に有名で利用者も多いマルウェア関連情報の公開サイトです。このサイトでは、疑わしいファイルのハッシュ値から、多数のアンチウイルス製品における検知状況を簡単に調べることができます。その他、マルウェアの通信先情報や改ざんするファイル情報など、豊富な情報が提供されています。

Hybrid Analysis、ANY.RUN、Joe Sandbox Cloudは公開サンドボックスです。検体をアップロードすることで自動的に動的解析を行い、通信先URLやアクセスするファイル名などの解析結果を表示してくれます。また、解析結果は基本的に公開されており、これまでにアップロードされた多数のマルウェアの解析結果をハッシュ値などで検索し、参照することができます。

いずれのサイトも、疑わしい検体をアップロードしてリアルタイムに調査をすることができますが、誤って組織の内部情報が含まれる検体をアップロードしてしまうと、第三者にその内容を知られてしまう可能性があります。基本的な使用方法は、発見した検体から算出したハッシュ値による既存情報の検索と考えましょう。既存情報がない場合、発見した検体をアップロードするかどうかについては、組織内でセキュリティ上の問題がないかを慎重に検討して下さい。