12章 マルウェアの実行履歴調査

はじめに

この章では、プログラムの実行履歴を記録しているアーティファクトを調査する方法について紹介します。この章を受講することで、実行履歴を記録しているアーティファクトの種類／記録内容や、保全したアーティファクトから実行履歴を解析する手順などを学習することができます。

実行履歴が記録されるアーティファクトは複数存在しますが、ここで主な解析対象とするアーティファクトは、特に有用な情報が多数保存されているプリフェッチファイルです。

Windowsには、 プリフェッチ(Prefetch) と呼ばれるシステム上の仕組みがあります。プリフェッチの目的は、前回のプログラムの起動に関するリソース情報を記録しておくことにより、次回の起動時間を短縮してパフォーマンスを向上させることです。

プリフェッチが有効になっている環境では、各プログラムの実行時にプリフェッチファイル が生成されて、起動時のさまざまな情報が記録されます。プリフェッチファイルは、Windowsのシステムフォルダに保存されており、論理コピーによって保全することができます。

プリフェッチファイルの記録内容を調査することで、PC内で実行されたプログラムの実行ファイルパス、実行日時、実行回数、使用リソースなど、実行履歴に関する多くの情報が取得できます。

実行履歴の情報を分析することにより、ユーザーに気づかれないよう密かに起動されたマルウェアや攻撃ツールを発見できる可能性があります。

また、Windows ではプリフェッチファイル以外にも、 Shimcache 、 Amcache 、 UserAssist 等のアーティファクトにPC内の実行ファイルに関する情報が記録されます。

PCの設定によってはプリフェッチファイルが存在しないケースもあり、また取得できる情報もそれぞれ異なりますので、これらのアーティファクトについても併せて紹介します。