CTF マルウェア & ネットワーク分析

マルウェア分析 CTF チャレンジのためのクイックリファレンス。各手法の簡潔な説明はここに、完全な詳細とコードは補足ファイルを参照してください。

前提条件

Python パッケージ (全プラットフォーム):

pip install yara-python pefile capstone oletools unicorn pycryptodome \
  volatility3 dissect.cobaltstrike

Linux (apt):

apt install strace ltrace tshark binwalk binutils

macOS (Homebrew):

brew install wireshark binwalk binutils ghidra

手動インストール:

• dnSpy — GitHub, .NET デコンパイラ (Windows)

追加リソース

• scripts-and-obfuscation.md - JavaScript 難読化解析、PowerShell 分析、eval/base64 デコード、ジャンクコード検出、hex ペイロード、Debian パッケージ分析、動的分析技術 (strace/ltrace、ネットワーク監視、メモリ文字列抽出、自動サンドボックス実行)、マルウェア検出用 YARA ルール、シェルコード分析 (Unicorn Engine、Capstone)、マルウェア用メモリフォレンジクス (Volatility 3 malfind、プロセスインジェクション検出)、アンチ分析技術 (VM 検出、タイミング回避、API ハッシング、プロセスインジェクション)、トロイの木馬化されたプラグイン分析とカスタムアルファベット C2 デコード
• c2-and-protocols.md - C2 トラフィックパターン、カスタム暗号プロトコル、RC4 WebSocket、DNS ベース C2、ネットワークインジケータ、PCAP 分析、AES-CBC、暗号化 ID、Telegram ボット復旧、Poison Ivy RAT Camellia 復号化
• pe-and-dotnet.md - PE 分析 (peframe、pe-sieve、pestudio)、.NET 分析 (dnSpy、AsmResolver)、LimeRAT 抽出、サンドボックス回避、マルウェアコンフィグ抽出、PyInstaller+PyArmor

---

ピボットが必要な場合

• サンプルが単なる通常のクラックミー、パックされたチャレンジバイナリ、またはマルウェア動作のないカスタム VM である場合は、/ctf-reverse に切り替えてください。
• メインの仕事がネットワーク復元、ディスク復旧、またはホストアーティファクト復旧である場合は、/ctf-forensics に切り替えてください。
• チャレンジが公開帰属またはインフラストラクチャトレーシングに発展する場合は、/ctf-osint に切り替えてください。

クイックスタートコマンド

# 静的分析
file suspicious_file
strings -n 8 suspicious_file | head -50
xxd suspicious_file | head -20

# PE 分析
python3 -c "import pefile; pe=pefile.PE('mal.exe'); print(pe.dump_info())" | head
peframe mal.exe

# 動的分析 (サンドボックス化!)
strace -f -s 200 ./suspicious 2>&1 | head -100
ltrace ./suspicious 2>&1 | head -50

# ネットワークインジケータ
strings suspicious_file | grep -E '[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}'
strings suspicious_file | grep -iE 'http|ftp|ws://'

# YARA スキャン
yara -r rules.yar suspicious_file

難読化されたスクリプト

• eval/bash を echo に置き換えて基礎となるコードを出力; base64/hex blob を抽出して file で分析します。scripts-and-obfuscation.md を参照してください。

JavaScript & PowerShell 難読化解析

• JS: eval を console.log に置き換え、unescape()、atob()、String.fromCharCode() をデコード。
• PowerShell: -enc base64 をデコード、IEX を出力に置き換え。scripts-and-obfuscation.md を参照してください。

ジャンクコード検出

• NOP スレッド、push/pop ペア、デッドライト、無条件ジャンプ (次の命令へ)。実際の call ターゲットを抽出するためにフィルタリング。scripts-and-obfuscation.md を参照してください。

PCAP & ネットワーク分析

tshark -r file.pcap -Y "tcp.stream eq X" -T fields -e tcp.payload

異常なポートの C2 を探します。strings | grep で IP/ドメインを抽出。c2-and-protocols.md を参照してください。

カスタム暗号プロトコル

• ストリーム暗号は両方向のキーストリーム状態を共有; すべてのペイロードを時系列順に連結。
• ChaCha20 キーストリーム抽出: nullbytes を送信 (0 XOR anything = anything)。c2-and-protocols.md を参照してください。

C2 トラフィックパターン

• ビーコニング、DGA、DNS トンネリング、カスタムヘッダー付き HTTP(S)、エンコードされたペイロード。c2-and-protocols.md を参照してください。

RC4 暗号化 WebSocket C2

• tcprewrite でポートをリマップ、TLS 復号化用 RSA キー追加、バイナリから RC4 キー検索。c2-and-protocols.md を参照してください。

暗号化アルゴリズムの識別

• AES: 0x637c777b S-box; ChaCha20: expand 32-byte k; TEA/XTEA: 0x9E3779B9; RC4: 順序付き S-box 初期化。c2-and-protocols.md を参照してください。

マルウェア内の AES-CBC

• キー = ハードコードされた文字列の MD5/SHA256; IV = 暗号文の最初の 16 バイト。c2-and-protocols.md を参照してください。

PE 分析

peframe malware.exe      # クイック トリアージ
pe-sieve                 # ランタイム分析
pestudio                 # 静的分析 (Windows)

pe-and-dotnet.md を参照してください。

.NET マルウェア分析

• dnSpy/ILSpy を使用してデコンパイル; AsmResolver をプログラム的分析に使用。LimeRAT C2: MD5 派生キーを持つ AES-256-ECB。pe-and-dotnet.md を参照してください。

マルウェアコンフィグ抽出

• .data セクション、PE/.NET リソース、レジストリキー、暗号化コンフィグファイルをチェック。pe-and-dotnet.md を参照してください。

サンドボックス回避チェック

• VM 検出、デバッガ検出、タイミングチェック、環境チェック、分析ツール検出。pe-and-dotnet.md を参照してください。

アンチ分析技術

VM 検出 (CPUID、MAC プレフィックス、レジストリ、ディスクサイズ)、タイミング回避 (sleep/RDTSC サンドボックス検出)、API ハッシング (ROR13/DJB2/CRC32 + hashdb ルックアップ)、プロセスインジェクション (ホローイング、APC、CreateRemoteThread)、環境チェック。scripts-and-obfuscation.md を参照してください。

トロイの木馬化されたプラグイン分析

悪質なプラグインを公式リリースと比較して、try/except ブロック内の注入されたコードを検出。カスタムアルファベットローテーション (C[(C.index(ch) - offset) % len(C)]) は C2 ドメインをデコード、XOR はエンドポイントパスをデコード。scripts-and-obfuscation.md を参照してください。

PyInstaller + PyArmor アンパック

• pyinstxtractor.py で抽出、PyArmor-Unpacker で保護されたコード。pe-and-dotnet.md を参照してください。

Telegram ボットエビデンス復旧

• マルウェアソースからボットトークンを使用して getUpdates および getFile API を呼び出し。c2-and-protocols.md を参照してください。

Debian パッケージ分析

ar -x package.deb && tar -xf control.tar.xz  # postinst スクリプトをチェック

scripts-and-obfuscation.md を参照してください。

マルウェア検出用 YARA ルール

YARA ルールを記述してバイトパターン、文字列、正規表現をファイルまたはメモリダンプと照合。XOR ループ ({31 ?? 80 ?? ?? 4? 75})、base64 blob、エンコードされた PowerShell を検出。yarac を使用してコンパイルし、より高速なスキャンを実現。scripts-and-obfuscation.md を参照してください。

シェルコード分析

objdump -b binary -m i386:x86-64 でディスアセンブル、Unicorn Engine でエミュレート (システムコールを安全にフック)、またはプログラム的ディスアセンブリに Capstone を使用。XOR デコーダ スタブを探します。scripts-and-obfuscation.md を参照してください。

マルウェア用メモリフォレンジクス

vol3 windows.malfind はインジェクトされたコード (マップされたファイルなしの PAGE_EXECUTE_READWRITE) を検出。windows.pstree は疑わしい親子関係を明らかにします。yarascan.YaraScan でメモリを YARA スキャン。scripts-and-obfuscation.md を参照してください。

ネットワークインジケータ クイックリファレンス

strings malware | grep -E '[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}'
tshark -r capture.pcap -Y "dns.qry.name" -T fields -e dns.qry.name | sort -u