12章
2 プリフェッチのファストフォレンジック
この節では、調査対象PCから保全したプリフェッチファイルを一括で解析し、実行履歴や最終実行時の使用リソースを調査する方法を紹介します。
プリフェッチファイルからの情報抽出
プリフェッチファイルの一括解析には、「CDIR-A」に含まれるパーサー「prefetch」を使用します。
CDIR-Aの prefetch は、複数のプリフェッチファイルを一括でパースして、実行履歴や最終実行時の使用リソースを抽出し、CSVファイルに出力することができます。事前に CDIR-Cにより、調査対象PCのプリフェッチファイルを外部記録媒体などに保全しておく必要があります。
prefetch は、コマンドプロンプトから以下のコマンドにより実行します。
prefetch -o "CSVファイルの出力フォルダ" "CDIR-Cで収集した解析対象プリフェッチファイルの保存フォルダ"
例： prefetch -o C:\work\Prefetch_Out D:\cdir-c\PC-Sales33_20230521142046\Prefetch
以下は、prefetch の実行結果例です。
cd C:\CDIR-A\parser
prefetch -o C:\work\Prefetch_Out D:\cdir-c\PC-Sales33_20230521142046\Prefetch
（実行結果）
Saved: C:\work\Prefetch_Out\prefetch_output.csv
Saved: C:\work\Prefetch_Out\prefetch_list_output.csv
実行の結果、指定した出力フォルダに、以下の2つのCSVファイルが作成されます。
prefetch_output.csv （実行履歴一覧）
実行ファイル別の実行回数、実行日時（直近8回）、実行ファイルパスなどをリスト化
prefetch_list_output.csv（使用リソース一覧）
実行ファイル別の、最終実行時の使用リソース（ファイルパス）をリスト化
出力されたCSVファイルの分析
出力された「prefetch_output.csv」と「prefetch_list_output.csv」は、表計算ソフトウェアを利用して分析します。
CSVファイル内には、実行履歴や実行ファイルごとの使用リソースに関する多数のデータが抽出されています。表計算ソフトウェアの検索、フィルタリング、並べ替え等の機能を活用しましょう。
prefetch_output.csv（実行履歴一覧）の出力項目と内容
以下の表は、prefetch_output.csv（実行履歴一覧）としてCSVファイルへ出力される項目と内容の一覧です。 表の上段は、実際にCSVファイルに出力される列見出しになります。
| Computer Name | Exe Path | Run Count | Date Time1 ～ 8 | Time Zone | Prefetch Name | Hash | Volume Path |
|---|---|---|---|---|---|---|---|
| コンピュータ名 | 実行ファイルパス | 実行回数 | 直近8回の実行日時 | タイムゾーン | プリフェッチファイル名 | ハッシュ値 | ディスクID |
＜実際の出力例＞
Computer Name
CDIR-Cを実行した収集元コンピュータ名が表示されます。
なお、CDIR-A全般の留意事項となりますが、コンピュータ名はCDIR-Cによる保全時に自動作成される収集用フォルダ名から引用して表示しています。CDIR-Cが自動作成したフォルダ名（
＜コンピュータ名＞_＜収集日時＞）は変更しないで下さい。フォルダ名がCDIR-Aのルールに合致していないと、実行エラーになる場合があります。Exe Path
実行ファイルパスが表示されます。
Run Count
実行回数が表示されます。
Date Time1～8
直近8回分の実行日時が、新しいものから1→8の順にナンバリングして表示されます。実行回数が8回に満たない場合、実行回数を超えたナンバーの列は空欄になります。
Time Zone
収集元コンピュータのタイムゾーン情報が表示されます。上記Date Time1～8の実行日時は、このタイムゾーン情報を元に、プリフェッチファイル内部の世界標準時：UTCから自動変換されています。
Prefetch Name
プリフェッチファイル名が表示されます。
Hash
プリフェッチファイル名に含まれるハッシュ値が表示されます。
Volume Path
プリフェッチファイルが保存されたボリューム（デフォルトは、内蔵のCドライブ）の、ディスクIDが表示されます。
インシデントレスポンスでは、マルウェアが感染した原因や、攻撃に関係する不審な実行ファイル（ダウンローダ等）を調査する必要があります。
まず、表計算ソフトウェアにより、このCSVファイルを実行日時「Date Time1～8」によって並べ替え、タイムラインの分析を行いましょう。
並べ替え後、インシデント発覚時期など、起点となる日時を設定して、前後にタイムラインをたどることにより、不審な実行ファイルを探します。起点となる日時が適切に設定できれば、有効な分析方法になるでしょう。
また、実行ファイルパス「Exe Path」で並べ替えると、通常はアプリケーションがインストールされない不審なフォルダから起動されている実行ファイルを探しやすくなります。
フィルタリング機能により、問題がないことが確認できた実行ファイルを非表示にしていくと、分析しやすくなるでしょう。
このように、表計算ソフトウェアを活用して、効率的に調査を進めましょう。
prefetch_list_output.csv（使用リソース一覧）の出力項目と内容
以下の表は、prefetch_list_output.csv（使用リソース一覧）としてCSVファイルへ出力される項目と内容の一覧です。 表の上段は、実際にCSVファイルに出力される列見出しになります。
| ComputerName | Prefetch Name | File List | File Ext |
|---|---|---|---|
| コンピュータ名 | プリフェッチファイル名 | 最終実行時の使用リソース（ファイルパス） | 使用リソースのファイル拡張子 |
＜実際の出力例＞
ComputerName
CDIR-Cを実行した収集元コンピュータ名が表示されます。
Prefetch Name
プリフェッチファイル名が表示されます。プリフェッチファイル名で、前述のprefetch_output.csv（実行履歴一覧）の情報とリンクさせることができます。
File List
最終実行時に実行ファイルが使用（起動から10秒後までの間）したリソースのファイルパスが表示されます。
File Ext
「File List」に表示されたリソースのファイル拡張子が表示されます。
上記の出力例（MSIEXEC.EXE-7D20CFB0.pf）は、 マイクロソフト社のコマンドライン用パッケージインストールツール「msiexec.exe」が起動された際に作成されたプリフェッチファイルです。
起動時に、ローカルのHTMLファイルやVBSファイル（スクリプト）、DLLファイルなどを使用することが確認できます。
このような情報を分析することによって、例えば、
- 不審な実行ファイルが使用するリソース
- WordやExcel等で、文書ファイルに偽装したマルウェアを開いた痕跡
などを確認することができます。
実行履歴と併せて、不審な実行ファイルの調査に活用しましょう。
ライブレスポンスツールの活用
ここまで紹介した解析方法は、調査対象PCからプリフェッチファイルを保全して、別のコンピュータで解析するものです。二次感染のリスクがあるなど、緊急性の高い事案では、なるべく短時間で必要最低限の証拠保全を実施し、速やかに調査対象PCの電源をオフにします。調査対象PCを長時間使用する調査は控えるべきしょう。
一方、時間的・物理的に、調査対象PCでのライブレスポンスによる調査が実施可能な状況では、簡易な操作でプリフェッチファイルを解析できる、NirSoft社の「WinPrefetchView」を利用する方法もあります。
WinPrefetchViewは、調査対象PC上で実行します。なお、実行する際は管理者として実行して下さい。
実行すると、PC内の C:\Windows\Prefetch フォルダに存在するプリフェッチファイルを自動的に読み取り、実行回数、実行日時、使用リソースなどの情報を表示します。
画面の各カラム名（列見出し）をクリックすることで、それぞれのカラムの値をキーにして並べ替えをすることができます。直近の実行日時はカラム「Last Run Time」に表示されており、このカラムをクリックすることにより、最終実行日時で並べ替えできます。
調査すべき実行ファイルを選択すれば、画面下部の表示エリアに、その実行ファイルの使用リソースが一覧表示されます。この一覧も、カラム名のクリックで並べ替えができます。
WindowsPrefetchViewは、このように感覚的な操作が可能な高機能のツールです。必要なときにすぐ使えるよう、準備しておくことを推奨します。
ただし、多数のプリフェッチファイルの分析を短時間で行うことは、現実的に難しい面があります。インシデントが進行中の状況においては、長時間のライブレスポンスを行うことには多くのリスクが伴います。そうした状況では、前述のとおり、速やかにCDIR-C等による証拠保全を行いましょう。