パッカー

不審なプログラムやファイルを隔離された仮想環境で安全に実行し、その挙動を観察・分析する技術。マルウェアの動的解析に使用され、ファイル操作、レジストリ変更、ネットワーク通信などの振る舞いを記録する。マルウェア対策ソフトの検知を回避する解析妨害手法への対処も重要となる。

検体となるマルウェアの動作・目的・影響範囲を調査する技術。サンドボックスで実際に動作させる動的解析と、逆アセンブルなどでコードを読み解く静的解析がある。解析結果はインシデントの被害範囲の特定やIoCの抽出、再発防止策の立案に活用される。

実行可能形式のバイナリファイルを機械語からアセンブリ言語に変換し、プログラムの処理内容を解読する技術。マルウェアの静的解析で用いられ、コードの機能・通信先・暗号化ロジックなどを特定する。逆コンパイル（デコンパイル）と合わせて活用される。

侵入後の痕跡やマルウェアの存在を隠蔽するためのツール群。OSのシステムコールやドライバを改変してプロセス・ファイル・通信を一覧から隠すため、通常のマルウェア対策ソフトでは検知しにくい。ブート領域やファームウェアに常駐する種類もある。

感染のたびに自身のコードを暗号化して異なるパターンに変化させ、パターンマッチングによる検知を回避するウイルス。復号ルーチンは共通するため、そこを手掛かりに検知する。復号ルーチンまで変化させるものはメタモーフィック型と呼ばれる。

感染のたびにコード自体を書き換え、命令の順序や使用するレジスタまで変化させて同一の機能を実現するウイルス。復号ルーチンも残さないためポリモーフィック型より検知が難しく、振る舞い検知や動的解析が有効となる。