マルウェアの陰謀を一目で！ 🕸️ レジストリとファイル動作の「つながり」を図式化する (AIと共に)

7月 14, 2026

—

cslab

in IT Security

※この投稿は、Coupangパートナーズ活動の一環として、一定額の報酬を受け取っています。

こんにちは、全体像を捉えるセキュリティアナリストの皆さん！ 🕵️‍♂️

前回、私たちはAIを利用して、数万行のログの山の中から「異常な行動（Anomaly）」だけをピンポイントで選び出しました。

「あれ？怪しいファイル（payload.exe）をこっそり作ったな？」
「あれ？レジストリのスタートアッププログラム（Run Key）に何か登録したな？」

しかし、まだこれらの事件は「点（Dot）」としてしか存在しません。これらの点を「線（Line）」でつなげて初めて、マルウェアの全体的な作戦地図（Big Picture）が見えてきます。

「このファイルが生成されたから → レジストリに登録されたのだ」という因果関係（Causality）を把握する必要があります。

今日は、テキスト形式のログをAIに与え、「事件の流れを見やすい図（Diagram）で描いて！」と依頼する視覚化の実習を行います。複雑な事件の関係図が、探偵の捜査ボードのように一目でわかるようになるでしょう！ 📊✨

1. 🧶 なぜ「関連性」を見る必要があるのですか？

マルウェアは単独で動くことはありません。緻密な連携動作を実行します。最も代表的なパターンが、「持続性（Persistence）」の確保です。

ファイル生成（Dropper）： malware.exeが実行され、C:Tempbackdoor.exeを生成します。（原因）
レジストリ登録（Registration）： malware.exeが、Windowsが起動するたびにbackdoor.exeが実行されるようにレジストリに登録します。（結果）

これら2つのログがバラバラだと危険に見えないかもしれませんが、つなげると明確な悪意が明らかになります。

2. 📝 [準備物] 精製された核心ログ

前回の実習でフィルタリングした核心ログデータを準備します。

[入力データ例]

プレーンテキスト

1. [Process Create] Parent: downloader.exe (PID: 1234) -> Child: cmd.exe (PID: 5678)
2. [File Create] Process: cmd.exe -> Path: C:UsersPublicupdate.vbs
3. [RegSetValue] Process: cmd.exe -> Key: HKCU...RunWinUpdate -> Data: wscript.exe C:UsersPublicupdate.vbs
4. [Network Connect] Process: wscript.exe -> Dest: 192.168.10.5:4444

テキストだけだと頭が痛くなりますよね？ 😵‍💫 これを視覚化してみましょう。

3. 🎨 [実習] AIに「Mermaidダイアグラム」を描いてもらう

私たちはペイントを開きません。AIに「Mermaid.js」の文法でコードを作成してもらうと、非常にすっきりとしたフローチャートが自動的に生成されます。

🗣️ 視覚化リクエストプロンプト

[役割] あなたはサイバー犯罪捜査官であり、データ視覚化の専門家です。

[作業] 以下に提供されたマルウェアの行動ログを分析し、事件の因果関係を示すフローチャート（Flowchart）を作成してください。

[要請事項]

1. フォーマット： Mermaid.jsコード形式で作成してください。（左から右へ流れるLR方向）

2. 構造：

– プロセス（Process）は[四角形]で表現

– ファイル（File）は(楕円)で表現

– レジストリ（Registry）は{{六角形}}で表現

– ネットワーク（Network）は((円))で表現

3. 関係表現： 矢印の上にどのような行動（Drop, Execute, Connectなど）であるかラベルを付けてください。

4. 強調： 悪意のある行動の核心的な流れが明確にわかるようにスタイルを適用してください。

[ログデータ] （上記の入力データ例を貼り付け）

4. 🖼️ [結果] テキストが絵に変わる魔法

AIは次のようなMermaidコードを生成します。

🤖 AIが生成したコード（例）

コードスニペット

graph LR
    P1[downloader.exe] -- Spawns --> P2[cmd.exe]
    P2 -- Drops --> F1(update.vbs)
    P2 -- Registers Persistence --> R1{{HKCU Run Key}}
    R1 -. Points to .-> F1
    F1 -- Executed by --> P3[wscript.exe]
    P3 -- C2 Connect --> N1((192.168.10.5))

    style P1 fill:#f9f,stroke:#333,stroke-width:2px
    style R1 fill:#ff9,stroke:#f66,stroke-width:2px
    style N1 fill:#9cf,stroke:#333,stroke-width:2px

このコードをMermaid Live Editor（ウェブサイト）やNotion、GitHubなどに貼り付けると、以下のような素晴らしいダイアグラムがパッと現れます。

🔍 ダイアグラムの解釈：

downloader.exeが開始点（Patient Zero）だったのか！
途中でcmd.exeが手先として働いたな。
結局、update.vbsというファイルを仕込み、これをレジストリに埋め込んで永続的に実行されるようにしたのか。
最終的な目的は192.168.10.5サーバーに接続することだったんだ！

文字で見るよりもはるかに直感的ですよね？ 😎

5. 💡 ヒント：図式化がもたらす強力な利点

レポートにテキストばかりが並んでいるのと、このようなダイアグラムが一つ入っているのとでは、雲泥の差があります。

非専門家の説得が容易： 経営陣や非技術職の同僚に「こいつがこのように侵入し、このように接続しました」と説明する際に最適です。
攻撃チェーン（Kill Chain）の特定： 攻撃の段階（侵入 → インストール → コマンド＆コントロール）が一目でわかるため、どのつながりを断ち切れば防御できるかを把握しやすくなります。
欠落情報の確認： 図を描いたのに途切れたつながりがある場合、「あれ？このファイルは誰が実行したんだ？」と追加分析のポイントを見つけることができます。

🎉 終わりに：すべての点が繋がった！

おめでとうございます！ 👏 あなたはこれで、難解なログデータを一つの完璧な犯罪シナリオとして再構築しました。単なる「ログアナリスト」から、事件の全貌を見抜く「サイバー捜査官」へと進化されたのです。

さあ、私たちは：

コードを分析し（静的）
行動を捕捉し（動的）
重要なものだけを抽出し（フィルタリング）
事件関係図まで描きました（視覚化）。

残るはただ一つ！これらすべての過程を整理し、最終成果物（レポート）を作成することです。次回、待望の最終実習「専門家レベルのマルウェア分析レポート自動生成」編でお会いしましょう。

皆さんの分析が芸術になるその日まで、ファイト！ 🎨🖌️