ポリモーフィック型マルウェア

ポリモーフィック型マルウェアは、暗号化/パッカー層と小さな変異する復号ルーチンを使い、復号後のペイロードが同一でもファイル毎に外観を変える。これによりハッシュやバイト列に基づくシグネチャ検知を大きく無効化する。命令の並び替え、ジャンクコード挿入、レジスタの動的選択など多様な手法が用いられる。メタモーフィック型と異なり、ペイロード本体は書き換えられず、外側のラッパーのみが変化する。対策としては、ふるまい検知、アンパック後のメモリスキャン、復号後文字列を狙う YARA ルール、EDR/XDR、そしてファイルバイトのみでなく動的特徴に基づく機械学習分類器が有効である。