ポリモーフィック型マルウェア.

ポリモーフィック型マルウェアは、暗号化/パッカー層と小さな変異する復号ルーチンを使い、復号後のペイロードが同一でもファイル毎に外観を変える。これによりハッシュやバイト列に基づくシグネチャ検知を大きく無効化する。命令の並び替え、ジャンクコード挿入、レジスタの動的選択など多様な手法が用いられる。メタモーフィック型と異なり、ペイロード本体は書き換えられず、外側のラッパーと復号器のみが変化する。

この技術には数十年の歴史がある。1260(V2PX) ウイルスは、1990 年に Mark Washburn が Ralf Burger による Vienna ウイルスの逆アセンブルをもとに作成したもので、復号ルーチンをランダム化してシグネチャを変える最初のポリモーフィックウイルスと広く見なされている。1992 年初頭には Dark Avenger の Mutation Engine(MtE) がポリモーフィズムを再利用可能なツールキットに変え、どのウイルス作者でも組み込めるようにした。感染ごとに新しい復号器とランダム鍵を生成し、Norton は 1992 年末までに約 90 万種の変異を検出したと報告している。現代のローダーやパッカーも同じ考え方を大規模に応用している。

ペイロードは一度アンパックされれば不変であるため、有効な防御はファイルのバイトから離れる方向に進む。すなわち、ふるまい/EDR テレメトリ、復号器の実行後のメモリスキャン、メモリ内の復号済み文字列を狙う YARA ルール、サンドボックスでの起爆、そして動的特徴で学習した機械学習分類器である。

flowchart LR
  A[不変のペイロード] --> B[ランダム鍵で暗号化]
  B --> C[変異する復号器 + ジャンクコードを前置]
  C --> D[感染ごとに一意の新ファイル]
  D -->|回避| E[シグネチャ/ハッシュ型 AV]
  D --> F[実行時: 復号器がメモリ内で展開]
  F --> G[同一のペイロードが露出]
  G -->|検知| H[EDR / メモリスキャン / ふるまい ML]