| ファイルレス攻撃とは？正規ツール悪用の手口とEDRでも防ぎにくい理由 | |
|---|---|
| 作成日時 26/09/10 (08:47) | View 110 |
CrowdStrikeの2026 Global Threat Reportによると、2025年に検知された攻撃の82%がマルウェアを使わないマルウェアフリーの侵入でした。この割合は2020年時点の51%から一貫して上昇しており、攻撃の主流はすでに悪意のあるファイルを送り込む方式から、正規の認証情報や正規ツールを悪用する方式へと移り変わっています。
ウイルス対策ソフトを導入しているにもかかわらず、侵害される事態が起きるのは、攻撃者がOSに標準搭載された正規ツールを使うため、悪意のあるファイルという検知の手がかりそのものが存在しないためです。
この検知の難しさが、専任のSOCを持つ大企業でさえ見逃しにつながる構造的な問題を生んでいます。
記事では、ファイルレス攻撃が正規ツールをどう悪用するのか、侵入から情報窃取までの流れ、なぜEDRでも防ぎきれないのか、窃取された認証情報がダークウェブでどう次の攻撃につながるか、そして大企業が取るべき対策までを解説します。
ファイルレス攻撃（fileless malware：ファイルレスマルウェア）とは、悪意のある実行ファイルをディスクに保存せず、OSに標準搭載された正規のツールやメモリ上だけで悪意のある動作を実行するサイバー攻撃です。
ファイルレスマルウェアや非マルウェア型攻撃とも呼ばれ、本記事ではこれらを同義として扱います。ディスクに実行ファイルを書き込まないため、ファイル照合を前提とする従来の検知の仕組みをすり抜けます。
ファイルレス攻撃が厄介なのは、最初から標的の環境に備わっている正規ツールを攻撃の入り口にする点です。PowerShellやWMIといったWindows標準の機能は、情報システム部門が日常的な管理作業でも使うため、その動作を単純に禁止することも、悪意の有無だけで機械的に判別することもできません。
以下では、従来型マルウェアとの違いと検知が難しい理由を掘り下げます。
従来型のマルウェアは、実行ファイルをディスクに書き込んでから動作します。
ウイルス対策ソフトは、このディスク上のファイルを既知の悪意あるパターンと照合して脅威を検知してきました。つまり、従来の防御はスキャンすべきファイルがディスクに存在することを前提に成り立っていたのです。
ファイルレス攻撃の場合、攻撃コードはディスクを経由せずメモリ上へ直接読み込まれて実行され、活動を終えれば痕跡はメモリとともに消えます。スキャンすべきファイルが存在しないため、シグネチャ型のアンチウイルスは照合対象を見つけられません。
メモリ上のコードは再起動で消えますが、攻撃者は後述する永続化の手口で再起動をまたいで活動を維持します。
ファイルレス攻撃の検知を難しくしている理由は、攻撃者が持ち込んだ道具ではなく、標的の環境に元からある正規のツールを使う点にあります。PowerShellでのスクリプト実行も、WMIでのリモートプロセス起動も、それ自体は情報システム部門が日々行う正当な管理作業です。
攻撃者はこの正規の動作に紛れ込み、何が正常で、何が異常かの境界を意図的に曖昧にします。
この、ターゲットの環境に最初から存在するツールを悪用して攻撃する手法は、「Living off the Land（環境寄生型攻撃）」と呼ばれます。攻撃者はマルウェアを持ち込む代わりに、標的が信頼して許可しているツールを乗っ取り、検知の網をくぐり抜けます。
同じ手口は内部を横方向へ移動する横展開でも用いられます。
ファイルレス攻撃は単一の手法ではなく、正規ツールを悪用する複数の手口の総称です。攻撃者は目的に応じて、コード実行にはPowerShell、遠隔実行や永続化にはWMIやレジストリ、検知回避にはプロセスへのコード注入と、環境に備わった機能を使い分けます。
ここでは代表的な手口を見ていきましょう。
PowerShellの悪用
ファイルレス攻撃の代表的な入口が、Windows標準の管理ツールであるPowerShellの悪用です。
攻撃者は外部サーバーから悪意のあるスクリプトを取得し、ディスクにファイルを落とさずメモリ上へ直接読み込んで実行します。MITRE ATT&CKはこれをT1059.001（PowerShell）として分類しています。
PowerShellが悪用されやすいのは、システム管理に必要な強力な機能を標準で備え、多くの環境で最初から有効になっているためです。
攻撃者はコマンドをBase64などで難読化して解析を妨げ、外部サーバーからのコード取得と実行を一気に行います。ディスクに何も残らないため、事後のフォレンジックでも痕跡を追いにくくなります。
WMIとレジストリの悪用
攻撃者は足場を固めるために、WMIとレジストリという二つの正規機能も悪用します。
WMI（Windows Management Instrumentation）は、Windowsの構成情報の取得や管理操作を担う標準機能です。MITRE ATT&CKがT1047（WMI）として整理するとおり、攻撃者はWMIでリモート端末上のコマンドを実行したり、イベントを引き金に悪意あるコードを自動起動させる永続化の仕掛けを埋め込んだりします。
もう一つがレジストリの悪用です。MITRE ATT&CKはT1112（Modify Registry）として、レジストリを書き換えて活動を維持する手口を分類しています。
攻撃者は悪意あるスクリプトそのものをレジストリのキーに文字列として保存し、端末の起動時に読み出して実行させます。ディスク上に実行ファイルを置かないまま再起動をまたいで活動を継続できるため、WMIとレジストリの組み合わせはファイルレス攻撃に永続性を与える中心的な手口です。
メモリへのコード注入
検知をさらに困難にするのが、正規のプロセスになりすます手口です。
MITRE ATT&CKがT1055（Process Injection）として分類するプロセスインジェクションは、正規プロセスのメモリ空間に悪意あるコードを注入し、そのプロセスの一部として動作させる技術です。攻撃コードは信頼された正規プロセスの内側で実行されるため、外形上は正常なプログラムにしか見えません。
代表的な手法に、悪意あるDLLを標的プロセスに読み込ませるDLLインジェクション（T1055.001）、正規プロセスの中身を悪意あるコードで置き換えるプロセスハロウイング（T1055.012）があります。
いずれもディスクにファイルを残さず、正規プロセスの権限と信頼を借りて活動する点が共通し、ファイルという検知の手がかりを最後まで与えません。
ファイルレス攻撃も、最初の侵入から永続化、認証情報の窃取、内部での横展開へと段階を踏んで進みます。ここでは、攻撃者がどこから入り、侵入後にどう動くのかを解説します。
ファイルレス攻撃の主な入口は、メールの添付ファイルやマクロ、不正なWebサイト、正規の広告枠に紛れ込ませた不正広告（マルバタイジング）です。共通するのは、利用者のクリックという操作を起点に攻撃が始まる点です。
攻撃者は正規の請求書や配送通知を装った文書ファイルを送りつけ、利用者にマクロの有効化を促します。
利用者がマクロを有効にした瞬間、埋め込まれたコードがPowerShellを呼び出し、外部サーバーから攻撃コードがメモリ上へ読み込まれます。この段階でディスクに保存される実行ファイルは存在しません。
ファイルレス手法を用いた著名なマルウェアとしてはEmotetが知られています。
端末に侵入した攻撃者は、まず足場を固める永続化に取りかかります。先に述べたWMIのイベント登録やレジストリへのスクリプト保存で、再起動しても活動が復活する仕掛けを埋め込みます。
次に狙うのが認証情報です。攻撃者は端末のメモリ上に残るログイン情報を抜き取り、それを使って隣の端末やサーバーになりすまし、内部を横方向へ移動しながら被害範囲を広げ、最終的に機密データの持ち出しやランサムウェアの一斉展開へと至ります。
この永続化から認証情報窃取、横展開に至る流れは、標的型の諜報活動であるAPT攻撃や二重恐喝ランサムウェアの攻撃チェーンと共通する土台です。
ファイルレス攻撃対策では、EDRを導入すれば安心という誤解がしばしば見られます。しかし、ファイルレス攻撃はシグネチャ型の検知を原理的にすり抜けるため、ツールを一つ導入するだけでは防ぎきれず、何を手がかりに攻撃を捉えるかという検知の発想そのものを変える必要があります。
以下で、なぜ従来の対策が通用しにくいのかを整理します。
1つ目の理由が、シグネチャ型検知の限界です。
シグネチャ型のアンチウイルスは、既知の悪意あるファイルのパターンと照合して脅威を判定する仕組みです。ファイルレス攻撃には、照合すべきファイルがそもそも存在しないため、ディスク上に悪意ある実行ファイルを探すという発想自体が攻撃の実態と噛み合わず、この方式は原理的に無力になります。
2つ目の理由が、見るべき指標がIOCからIOAへと移っている点です。
IOC（Indicator of Compromise：侵害の痕跡）とは、悪意あるファイルのハッシュ値や通信先IPといった、侵害の証拠となる痕跡を指します。ファイルレス攻撃はこうした痕跡を残しにくく、IOCの照合だけでは捉えられません。
そこで必要になるのが、CrowdStrikeが提唱するIOA（Indicator of Attack：攻撃の指標）の発想です。IOAは、痕跡そのものではなく、正規プロセスが不審にPowerShellを起動したといった攻撃者のふるまいに着目します。何が残ったかではなく、何をしているかを見る発想への転換が要です。
3つ目の理由が、EDRやXDRによるふるまい検知が有効であっても、それだけでは見逃しが残る点です。
ファイルレス攻撃は正規ツールの正規の動作に紛れるため、明確な悪性と断定できないグレーな挙動が大量に発生します。アラートを待つ受け身の運用では、正規の管理作業に埋もれた攻撃を取りこぼします。
そこで必要になるのが、攻撃者が潜んでいるという仮説を立て、能動的に痕跡を探しにいく脅威ハンティングです。ふるまい検知の網を人の調査で補完してはじめて、ファイルレス攻撃は捕捉できます。
ファイルレス攻撃の多くは、認証情報の窃取を目的の一つとしています。盗まれた認証情報は、その端末の中で完結せず、ダークウェブという外部の市場へと流れ出します。ここでは、ファイルレス攻撃の出口がダークウェブにどうつながり、次の攻撃を準備するのかを見ていきましょう。
攻撃者がメモリから抜き取った認証情報やインフォスティーラーが窃取した情報は、ダークウェブ上で売買されます。
インフォスティーラーとは、ブラウザ保存のパスワードやセッションクッキー、VPNの認証情報を盗み出す認証情報窃取型のマルウェアで、その多くがメモリ上で動作するファイルレス的な性質を帯びています。
IBMのX-Force Threat Intelligence Index 2025によれば、2024年の侵入の約30%が有効な認証情報の悪用から始まっており、フィッシング経由のインフォスティーラー配布は前年比で84%増加しています。窃取された認証情報が市場へ流れ込む構造が存在しています。
この市場で認証情報を仕入れて転売するのが、初期アクセスブローカー（IAB）と呼ばれる仲介者です。IABは侵害済みの企業環境へのアクセス権を商品としてダークウェブで販売し、ランサムウェアグループなどの買い手はこれを購入して、いきなり内部活動から攻撃を始めます。
こうしてファイルレス攻撃で盗まれた1つの認証情報が、IABの手を経て次の攻撃の初期アクセスへと転用されます。自社の認証情報がどこで流通しているかを外部から把握する脅威インテリジェンスの視点は、この連鎖を早期に断つうえで欠かせません。
攻撃の出口を放置すれば、やがて次の侵入の入口になるのです。
ファイルレス攻撃への対策は、単一の製品で完結するものではありません。
ふるまいで異常を捉える検知、正規ツールの悪用余地を狭める制御、そして窃取された認証情報を源流で掴む監視という3つの層を組み合わせて設計する必要があります。ここでは、大企業の情報システム部門とCISOが押さえるべき対策を紹介します。
ふるまいで検知する（EDR／XDR・脅威ハンティング）
ファイルレス攻撃はシグネチャで捉えられない以上、検知の軸足はふるまい分析に置きます。
EDR（エンドポイント検知応答）は、不審にPowerShellを起動する、メモリ上の認証情報へアクセスするといった攻撃者のふるまいの兆候を捉えます。これを端末に加えてネットワークやIDまで横断して相関分析するのがXDR（拡張検知応答）で、動作を単体でなく一連の流れとして見ることで、正常な管理作業からの逸脱を浮かび上がらせます。
ただし、ふるまい検知だけでは正規の動作に紛れた攻撃を取りこぼします。そこで組み合わせたいのが脅威ハンティングです。これは、攻撃者がすでに内部に潜んでいるという仮説を立て、SOCのアナリストが能動的にログを掘り下げて痕跡を探す活動です。
正規ツールを制御する（PowerShellログ・アプリ制御・最小権限）
検知と並行して、悪用される正規ツールそのものの制御も欠かせません。
まず有効なのが、PowerShellのスクリプトブロックログの取得です。実行されたスクリプトの中身を記録すれば、難読化されたコードの展開後の内容まで可視化でき、脅威ハンティングの材料になります。
あわせて実行ポリシーを見直し、業務で不要なら制約された言語モードを適用して、悪用の余地を狭めましょう。
さらに、アプリケーション制御と最小権限の原則も適用します。AppLockerなどで許可したプログラムやスクリプトだけを実行できるようにすれば、攻撃者が持ち込む未許可のツールの起動を防げます。
権限を業務に必要な最小限へ絞れば、たとえ端末が侵害されても、攻撃者が奪える権限と横展開できる範囲を限定できます。正規ツールを完全には禁止できなくても、その悪用余地を運用で着実に狭められるのです。
ダークウェブ監視で窃取された認証情報を早期検知
最も上流の打ち手が、ファイルレス攻撃の目的である認証情報の窃取から逆算し、その出口で先回りすることです。
盗まれた認証情報は、次の侵入に使われる前にダークウェブ上を流通する時間差があります。この時間差のあいだに自社の流出を掴めれば、攻撃者がそれを初期アクセスに転用する前に手を打てます。
StealthMoleのダークウェブインテリジェンスは、ダークウェブやディープウェブ上で自社ドメインに紐づく認証情報の流出やIABによる初期アクセスの売買の兆候を可視化します。窃取された認証情報が市場に現れた段階で気づければ、該当するアカウントを特定して認証情報をリセットし、次の攻撃の前提そのものを崩せるのです。
内部でのふるまい検知だけに頼るのではなく、攻撃の源流（供給源）であるダークウェブを監視し、先手を打つことが、認証情報窃取型のファイルレス攻撃に対する最も効率的な防御策となります。
ファイルレス攻撃は、悪意ある実行ファイルをディスクに残さず、正規ツールとメモリ上だけで完結する攻撃であり、いまや検知される攻撃の8割超がマルウェアを使わない手口です。
照合すべきファイルが存在しない以上、既知の痕跡を探すシグネチャ型の防御では原理的に捉えきれません。攻撃者は正規の道具に紛れて足場を固め、認証情報を盗み、その情報をダークウェブという次の攻撃の市場へと送り出します。
この攻撃への対策としては、まずは何が残ったかを探す発想から、何をしているかを見る発想へと検知の転換をしましょう。
EDRやXDRでIOAとしての攻撃のふるまいを捉え、脅威ハンティングを重ねて正規の動作に紛れた兆候を掘り起こします。あわせてPowerShellのログ取得やアプリケーション制御、最小権限で正規ツールの悪用余地を狭め、最も上流では自社の認証情報がダークウェブに流出していないかを常時監視します。
こうしてダークウェブでの兆候把握、ふるまいによる検知、正規ツールの制御が機能したとき、防御側はファイルという手がかりに頼らずとも先手を打てるようになります。ファイルレス攻撃に対抗する力とは、悪意あるファイルを探し続けることではなく、ふるまいと源流を監視し続ける運用の連続性そのものです。
