【現代版トロイの木馬マルウェアを完全解析する】挙動・実装・フォレンジック・YARA・CTF訓練まで

起動
 ├── ユーザー向けUI表示（正規風）
 ├── 実行環境の検出（VM/Debug/Sandbox）
 │   └─ 該当 → 偽装のみ実行
 ├── セキュリティソフト無効化
 ├── 永続化構築（Runキー等）
 ├── C2サーバーへ情報送信
 └── 指令に応じた動的ペイロード実行（keylog, screenshotなど）

// 無害化トロイの木馬コード
// 実際の機能は単純な模擬実装に置き換えています

// 正規のアプリケーション機能
function legitimateApplication() {
  console.log("システムスキャンユーティリティを起動しています...");
  displayProgressBar();
  return "スキャン完了：システムは正常です";
}

// 初期化関数
(function initialize() {
  // 環境検出
  if (detectSandbox() || detectVM() || detectDebugger()) {
    legitimateApplication();
    return;
  }
  
  // 正規機能を実行
  const result = legitimateApplication();
  console.log(result);
  
  // 本来の悪意のある部分を無害化
  setTimeout(() => {
    try {
      // すべての関数を無害な実装に置き換え
      simulateSecurityCheck();
      simulateConfigBackup();
      const serverResponse = simulateUpdateCheck();
      processUpdateCommands(serverResponse);
    } catch (error) {
      console.log("エラーが発生しました:", error);
    }
  }, 5000);
})();

// 環境検出機能 - 無害実装
function detectSandbox() {
  console.log("仮想環境検出チェック（サンドボックス）");
  return false; // 常に検出なしを返す
}

function detectVM() {
  console.log("仮想環境検出チェック（仮想マシン）");
  return false; // 常に検出なしを返す
}

function detectDebugger() {
  console.log("デバッガー検出チェック");
  return false; // 常に検出なしを返す
}

// セキュリティ関連処理 - 無害実装
function simulateSecurityCheck() {
  console.log("セキュリティ設定の確認...");
  
  // 無害な実装
  const securityStatus = {
    firewall: "有効",
    antivirus: "最新",
    updates: "インストール済み"
  };
  
  console.log("セキュリティ設定: ", securityStatus);
  return securityStatus;
}

// 設定バックアップ機能 - 無害実装
function simulateConfigBackup() {
  console.log("システム設定のバックアップを作成...");
  
  // 無害な実装 - 実際には何も行わない
  const configData = {
    timestamp: new Date().toISOString(),
    settings: "システム設定バックアップ（シミュレーション）"
  };
  
  console.log("バックアップ完了:", configData.timestamp);
  return true;
}

// 更新チェック機能 - 無害実装
function simulateUpdateCheck() {
  console.log("アップデートの確認中...");
  
  // 無害な実装
  const mockResponse = {
    command: 'check_system',
    params: { 
      type: 'performance',
      action: 'analyze'
    }
  };
  
  console.log("更新ステータス: 最新バージョンです");
  return mockResponse;
}

// コマンド処理 - 無害実装
function processUpdateCommands(response) {
  console.log("システムコマンドを処理中...");
  
  const { command, params } = response;
  console.log(`受信コマンド: ${command}, パラメータ:`, params);
  
  switch (command) {
    case 'check_system':
      console.log("システムチェックを実行中...");
      if (params.type === 'performance') {
        console.log("パフォーマンス分析を実行中...");
      }
      break;
      
    case 'optimize':
      console.log("最適化処理を実行中...");
      break;
      
    default:
      console.log("不明なコマンド、無視します");
  }
  
  console.log("コマンド処理完了");
}

// 表示関連のユーティリティ
function displayProgressBar() {
  console.log('[                    ] 0%');
  setTimeout(() => console.log('[=====               ] 25%'), 500);
  setTimeout(() => console.log('[==========          ] 50%'), 1000);
  setTimeout(() => console.log('[===============     ] 75%'), 1500);
  setTimeout(() => console.log('[====================] 100%'), 2000);
}

// 元コードの存在した関数を無害なスタブに置き換え
function checkForProcesses() { 
  console.log("プロセスチェック（シミュレーション）");
  return false; 
}

function checkForHardwareIds() { 
  console.log("ハードウェアIDチェック（シミュレーション）");
  return false; 
}

function checkForDebugger() { 
  console.log("デバッガーチェック（シミュレーション）");
  return false; 
}

function elevatePrivileges() { 
  console.log("権限チェック（シミュレーション）");
  return true; 
}

function exploitVulnerability() { 
  console.log("セキュリティチェック（シミュレーション）");
}

function killProcesses() { 
  console.log("プロセス管理（シミュレーション）");
}

function modifyFirewallRules() { 
  console.log("ファイアウォール設定確認（シミュレーション）");
}

function addToRegistry() { 
  console.log("設定保存（シミュレーション）");
}

function getStartupFolder() { 
  console.log("スタートアップフォルダ確認（シミュレーション）");
  return "./startup"; 
}

function copyFile() { 
  console.log("ファイルバックアップ（シミュレーション）");
}

function createScheduledTask() { 
  console.log("タスクスケジュール確認（シミュレーション）");
}

function createWMIPersistence() { 
  console.log("設定永続化（シミュレーション）");
}

function getHostname() { 
  return "localhost"; 
}

function getUsername() { 
  return "demo_user"; 
}

function getOSVersion() { 
  return "Demo OS 1.0"; 
}

function getInstalledSecuritySoftware() { 
  return ["Demo Security"]; 
}

function generateMachineId() { 
  return "DEMO-ID-123456"; 
}

function sendHttpRequest() { 
  console.log("アップデートチェック（シミュレーション）");
  return { status: 200, data: "dGVzdA==" }; // Base64でエンコードされた "test"
}

function encryptData(data) {
  console.log("データ暗号化（シミュレーション）:", data);
  return btoa(data); // 単純なBase64エンコード
}

function decryptData(data) {
  console.log("データ復号（シミュレーション）");
  try {
    // 単純なBase64デコード
    return JSON.parse(atob(data));
  } catch (e) {
    return { command: 'check_system', params: { type: 'default' } };
  }
}

function sendToC2Server() { 
  console.log("更新サーバーに接続（シミュレーション）");
}

function collectBrowserData() { 
  console.log("ブラウザ互換性チェック（シミュレーション）");
  return { compatible: true }; 
}

function collectSensitiveFiles() { 
  console.log("重要ファイルバックアップチェック（シミュレーション）");
  return { backupNeeded: false }; 
}

function downloadModule() { 
  console.log("モジュールダウンロードチェック（シミュレーション）");
  return "./module.js"; 
}

function executeModule() { 
  console.log("モジュール実行（シミュレーション）");
}

function startKeylogger() { 
  console.log("入力モニタリング（シミュレーション）");
}

function captureScreen() { 
  console.log("スクリーンキャプチャ（シミュレーション）");
  return "スクリーンショットデータ（シミュレーション）"; 
}

function updateSelf() { 
  console.log("自己アップデート（シミュレーション）");
}

function removeTracks() { 
  console.log("一時ファイル削除（シミュレーション）");
}

function selfDestruct() { 
  console.log("プログラム終了（シミュレーション）");
}

{
  "command": "keylog",
  "params": {}
}

1. 感染直後、ユーザーを欺く偽UI表示
2. VMやサンドボックス環境でないことを確認
3. 永続化設定を追加、セキュリティ無効化
4. C2へ初回通信、基本情報を送信
5. C2から {command: 'keylog'} を受信
6. ユーザー操作を記録、ログを送信
7. C2から {command: 'screenshot'} を受信
8. アクティブウィンドウをキャプチャし送信

rule ExampleRule {
  meta:
    description = "検出目的の説明"
  strings:
    $a = "VBoxService.exe"
    $b = "reg add \"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\""
    $c = /https:\/\/[^\s]+\/api\/update\.php/
  condition:
    any of ($a,$b,$c)
}

rule Trojan_CollectData {
  strings:
    $a = "Login Data"
    $b = "cookies.sqlite"
    $c = "logins.json"
  condition:
    2 of ($a,$b,$c)
}

rule Trojan_Keylogger {
  strings:
    $hook = "installKeyboardHook"
    $append = "appendToKeylogFile"
  condition:
    all of them
}

[ユーザー入力]
 ├─ 検出対象関数名、C2ドメイン、レジストリ文字列など
 └─ 選択形式（AND / OR 条件, メタ情報）

[ルールプレビュー]
 └─ 生成されたYARAコードを即時表示

[出力]
 ├─ ルールコピー
 └─ .yarファイルとしてダウンロード

 アラート発生（EDR/YARA/SIEM）
  ↓
 端末隔離（ネットワーク遮断、VPN無効化）
  ↓
 メモリ／ディスクの証拠保全（Redline, FTK, Velociraptor等）
  ↓
 実行ファイルと通信ログの抽出
  ↓
[5] YARAスキャン＋ハッシュ確認＋VirusTotal照会
  ↓
[6] タイムライン解析（MFT, Prefetch, Sysmon）
  ↓
[7] レジストリ・タスク・WMIなど永続化痕跡を調査
  ↓
[8] 報告書作成（内部＋外部向け）