こんにちは、シャーロック・ホームズを夢見るセキュリティアナリストの皆さん！ 🔎
私たちはこれまで、かなり長い道のりを歩んできました。
- 静的分析: コードの中に隠された暗号化ツールや脅迫メッセージを見つけ、
- 動的分析: サンドボックスで実行し、レジストリを操作する現場を押さえ、
- MITRE ATT&CK: これらの行為をT1486、T1490のような専門用語に変換するところまで行いました。
今、皆さんの机の上には技術的な手がかり(Technical Artifacts)が山積しています。しかし、経営陣や顧客が本当に知りたいのは「それで、どのファイルが改ざんされたの？」ではありません。
「それで、このハッカーは何を望んでいるのですか？お金ですか、情報ですか？それともシステム破壊ですか？」
まさに「攻撃者の意図(Intent)」と「目的(Objective)」です。数百の技術的な断片を一つの「犯罪シナリオ」にまとめ上げる作業です。これを人間が行うにはかなりの洞察力が必要ですが、私たちにはAIプロファイラーがいます。
今日は、これまで集めたすべての分析データをAIに渡し、「この攻撃の全体像(Big Picture)を描いてくれ」と依頼する実習をしてみましょう。🧠✨
1. 🧩 入力データ準備：私たちが持つ断片
まず、AIに伝える情報を整理してみましょう。（前回の実習結果です。）
- [静的分析]
- API: CryptEncrypt, CryptGenKey, WriteFile, DeleteFile
- Strings: ALL YOUR FILES ARE ENCRYPTED, restore_guide.txt, .locked
- [動的分析]
- 行為: cmd.exeがvssadmin.exe Delete Shadowsを実行（復旧無力化）
- 持続性: HKCU…Runキーに自己登録
- [MITRE ATT&CK]
- T1486 (Data Encrypted for Impact)
- T1490 (Inhibit System Recovery)
これらは「Fact（事実）」です。次はAIに「Insight（洞察）」を求める番です。
2. 🗣️ [プロンプト] AIを「サイバー犯罪プロファイラー」にする
単に要約を求めるだけでなく、攻撃者の心理と戦略を分析するように依頼する必要があります。
📝 意図分析専用プロンプト
[役割] あなたはサイバー犯罪心理分析家であり、脅威インテリジェンス(TI)の専門家です。
>
[作業] 下記に提供された技術的分析データ(Technical Findings)に基づき、攻撃者の「意図(Intent)」、「目的(Objective)」、「攻撃シナリオ(Narrative)」を推論して要約してください。
>
[分析データ]
>
1. 主要API: CryptEncrypt, InternetOpen
2. 発見された文字列: “Your files are encrypted”, “bitcoin wallet address…”
3. 主要行為: シャドウコピーの削除(vssadmin)、スタートアッププログラムへの登録
4. MITRE ID: T1486, T1490, T1547
>
[要請事項] 次の3つの項目に分けて、ビジネスの観点から説明してください。
>
1. 攻撃の核心目的: (例: 金銭強奪、産業スパイ、ハクティビズムなど)
2. 攻撃シナリオの再構築: 侵入から目的達成までの流れを物語のように記述してください。
3. 深刻度および意図分析: 攻撃者が被害者にどのような心理的圧力をかけようとしたのか、復旧可能性は残されていたのかなどを分析してください。
3. 📤 [結果] AIが書き下ろした犯罪の全貌
AIは断片化された技術用語を繋ぎ合わせ、一つの完璧なストーリーを作り出します。
🤖 AI分析結果（例）
🕵️♂️ 攻撃者意図およびシナリオ分析レポート
>
1. 攻撃の核心目的: 金銭的利益 (Financial Gain) この攻撃は明らかに金銭強奪を目的とするランサムウェア(Ransomware)キャンペーンです。情報流出やシステム破壊よりも、データを人質に取り、身代金(Bitcoin)を要求することに最適化されています。
>
2. 攻撃シナリオの再構築 (The Kill Chain)
>
潜伏 (Persistence): 攻撃者はマルウェアを実行するとすぐにレジストリ(Run Key)に自身を登録し、ユーザーがPCを再起動しても攻撃が持続するように「拠点」を確保しました。
>
– 無力化 (Impact): 本格的な攻撃の前に、vssadminコマンドでWindowsの「シャドウコピー（バックアップ）」を静かに削除しました。これは、被害者がお金を払わずに自力で復旧できる「退路」を遮断したものです。
– 実行 (Action): その後、CryptEncrypt APIを利用してユーザーファイルを高強度暗号化アルゴリズムでロックし、デスクトップにrestore_guide.txtを残して交渉を試みています。
>
3. 深刻度および意図分析
>
– 意図: 「復旧無力化(T1490)」技術を使用していることから、攻撃者は単なるいたずらではなく、確実にお金を受け取ろうとする計画的な意図を持っていると見られます。
– 圧迫戦術: ユーザーが復旧を試みた際にバックアップがないという絶望感を与え、支払い確率を高める高度な心理的圧迫戦術を駆使しています。
4. 💡 このプロセスがなぜ重要なのでしょうか？ (The “So What?”)
技術分析だけで終わらせると（例：「T1486が検出されました」）、経営陣はこう尋ねます。「それでどうしろと？ (So What?)」
しかし、上記のように意図を把握すると、対応戦略が変わります。
- 金銭目的（ランサムウェア）なら？ ➡️ 即座にネットワーク遮断、バックアップサーバー隔離、ハッカーとの交渉の有無を決定。
- 情報窃取（スパイ）なら？ ➡️ 流出したデータ把握、ログ分析による流出経路追跡、法的対応準備。
- 破壊目的（ワイパー）なら？ ➡️ システム再構築準備、事業継続計画(BCP)発動。
つまり、AIが要約してくれたこの「意図」は、意思決定者が正しい判断を下すための羅針盤となります。
🎉 終わりに：これでレポート作成準備完了！
おめでとうございます！ 👏 皆さんはもう技術的分析家(Technician)の領域を超え、事件の本質を見抜く脅威インテリジェンス分析家(Analyst)の視点を持つようになりました。
私たちはこれで全ての材料を準備しました。
- Fact: コード、ログ、MITRE ID
- Insight: 攻撃者の意図、シナリオ、目的
残るはただ一つ！この美味しい材料を美しい皿に盛り付けることです。次回、待望の最終講義「[最終] AIで専門家レベルのマルウェア分析レポート（PDF形式）を自動生成する」で、この全過程を華麗に締めくくりましょう。
皆さんの分析ストーリーが完璧になるその日まで！頑張ってください！ 📝🚀
コメントを残す