Linuxにおけるファイルレスマルウェア対策

摘要

ファイルレスマルウェアでは，ダウンロードされたマルウェア本体(ペイロード) はハードドライブ上に格納されることはない．ダウンロードされたペイロードは，OS の機能により直接メモリ上に展開され，実行された後，削除される．メモリ上から削除されること，ファイルとしての実体を持たないことが，ペイロードのフォレンジックを困難とする．ハードディスク上に存在するドロッパー?ローダーは，ペイロードをダウンロード?実行するのみであり，これを解析してもマルウェア全体としての動作を解析できない．我々はLinux において想定されるファイルレスマルウェアに使われる技術を分析し，その対策法について考察した．本項ではLinux システムコールmemfd create を利用したファイルレスマルウェアへの対策手法を述べる．