[セキュリティ学習] マルウェア分析、これからはAIと一緒にやろう！🤖 (Ghidra + ChatGPT 環境構築ガイド)

7月 29, 2026

—

cslab

in IT Security

こんにちは！セキュリティの卵の皆さん、そして現職の皆さん👋 今日は「生成AIを活用したマルウェア分析」プロセスの初回、分析環境構築編です。

「マルウェア分析…アセンブリ言語は全く分からないのにどうしよう？😭」ご心配なく！私たちには頼もしいAIアシスタントがいます。複雑な機械語を人間が読みやすい言語に翻訳し、このコードが何をしようとしているのかまで説明してくれる夢のような環境！

Ghidra（ギドラ）とLLM（ChatGPT）を連携させて、自分だけのAI分析ラボ（Lab）を作る方法をAからZまでお伝えします。🚀

1. なぜセキュリティで「生成AI」なのか？ 🤔

マルウェア分析、特にリバースエンジニアリング（Reverse Engineering）は参入障壁が非常に高いです。しかし、LLM（大規模言語モデル）が登場し、状況は一変しました。

コード説明（Explain）：「この関数は何の役割をしているの？」と尋ねると、複雑なアセンブリ/Cコードを分析し、「ファイルを暗号化するランサムウェアのロジックです」と要約してくれます。
変数名推奨（Renaming）：v1、arg_0のような意味のない変数名をfile_handle、encrypt_keyのように文脈に合わせて変更してくれます。
難読化解除（Deobfuscation）：絡み合ったコードを平文に解いて表示してくれます。

つまり、私たちは「AIに質問する方法（Prompt Engineering）」をしっかり習得すれば、分析時間を画期的に短縮できます！⏳

2. 準備物 (Check List) ✅

実習のために以下のツールが必要です。

仮想マシン (VMware / VirtualBox)：⚠️ 必須！マルウェアを扱うので、絶対にホスト（自分のコンピューター）で実行しないでください。
分析ツール (Ghidra)：NSA（米国国家安全保障局）が作成した無料のリバースエンジニアリングツールです。
Python 3.x：プラグインの動作に必要です。
OpenAI API Key：ChatGPTをツールと連携させるための鍵です。（有料アカウント推奨、無料は速度制限あり）

3. 詳細インストールガイド 🛠️

私たちは最も一般的で無料のGhidraに、「Gepetto（ジェペット）」というプラグインを連携させてみます。

STEP 1. Java & Ghidra インストール

GhidraはJavaベースです。

JDK 17以上をインストールしてください。（OpenJDK推奨）
Ghidra公式ホームページから最新バージョンをダウンロードし、解凍します。
ghidraRun.bat（Windows）またはghidraRun（Linux/Mac）を実行し、正常に動作するか確認します。

STEP 2. Gepetto プラグインダウンロード

Gepettoは、Ghidraで表示されるコードをOpenAI GPTモデルに送信し、説明を受け取るPythonスクリプトです。

GitHubリポジトリにアクセス：
Code > Download ZIPをクリックしてダウンロードするか、git cloneします。
解凍すると出てくる.pyファイルが重要です。

STEP 3. Ghidraにスクリプトを登録する

Ghidraに「このスクリプトを使うよ」と教えてあげる必要があります。

Ghidraを実行 -> CodeBrowser（任意のファイルを開いて分析画面に入る）
上部メニューのWindow -> Script Managerをクリック
Script Manager右上の「Script Directories」アイコン（フォルダ形状のリスト）をクリック
[+]ボタンを押し、先ほどダウンロードしたGepettoフォルダのパスを追加します。
検索窓にgepettoと入力したときにスクリプトが表示されれば成功！🎉

STEP 4. OpenAI API Key 設定 🔑

GPTに質問するにはお金（トークン）がかかりますよね？APIキーを接続します。

OpenAI PlatformにアクセスしてAPI Keyを発行します。（sk-で始まる長い文字列）
方法A（環境変数）：システム環境変数にOPENAI_API_KEYという名前でキー値を登録します。
方法B（スクリプト直接修正）：gepetto.pyファイルをメモ帳で開き、API_KEY = “ここに_キー_入力”の部分を見つけて挿入します。（セキュリティ上、環境変数を推奨！）

4. 実践テスト：AIよ、分析を頼む！ 🧪

さあ、環境設定は完了しました。実際にうまくいくか見てみましょうか？

分析するexeファイル（または実習用crackme）をGhidraにアップロードします。
Auto Analyzeが完了すると、DecompilerウィンドウにC言語のようなコードが表示されます。
解釈が難しい関数をクリックしてカーソルを置きます。
ショートカットキー（設定していれば）を押すか、Script Managerでgepetto.pyをダブルクリック！
（ドキドキ）しばらくすると…

🖥️ [Gepetto Output] 「この関数は入力された文字列の長さを確認し、特定のXOR演算を実行してキー値と比較するルーチンです。典型的なパスワード検証ロジックと見られます。」

わあ！🤩 コメント（Comment）ウィンドウにAIが分析した内容が自動的に追加されます。これで私たちはアセンブリ言語を一行一行解釈するのに頭を悩ませる必要がなくなり、AIが要約してくれた全体像を見て、核心ロジックにのみ集中できます。

5. 注意事項とヒント 🍯

🔒 データ漏洩注意：社内の機密ソースコードやマルウェアを安易にパブリックLLM（OpenAIなど）にアップロードしてはいけません！（実務ではローカルLLMやエンタープライズ版を使用します。）
💸 費用管理：APIは使用するたびに費用が発生します。必ずUsage limitを設定しておきましょう。
🤖 盲信禁止：AIは時々嘘（Hallucination）をつきます。AIが「これは安全なファイルです」と言っても、必ず分析者である皆さんがクロスチェックを行う必要があります。

終わりに 🎁

今日、私たちはGhidra + LLM環境を構築し、「アイアンマンのジャービス」を手に入れました。明日から行われる2日目の実習からは、この環境を活用して実際のランサムウェアと難読化スクリプトを分析する予定です。

分析速度が10倍速くなる経験、ご期待ください！🔥

質問があればコメントに残してください！