コード・ケイビング｜サイバーセキュリティ.com

  1. ホーム /
  2. セキュリティ用語集 /
  3. コード・ケイビング
             

コード・ケイビング

コード・ケイビング（Code Caving）とは、既存のプログラム内にある未使用の領域（コードケーブ、Code Cave）を利用して、悪意あるコードや追加のコードを挿入する技術です。この手法は、悪意ある攻撃者がマルウェアや不正なコードを組み込む際に、プログラム自体を改変することなく、ファイルサイズの増加を避けながら機能を拡張したり、潜伏させたりするために利用されます。コード・ケイビングは、主にリバースエンジニアリングやマルウェア作成において悪用されることが多く、一般的なウイルス対策ソフトでも検出が難しいという特徴があります。

コード・ケイビングの仕組み

コード・ケイビングの実行には、次のような手順が一般的です。

  1. コードケーブの探索
    攻撃者はターゲットとなるプログラム内で未使用の空白領域（コードケーブ）を探索します。コードケーブは、プログラムのメモリ領域やファイル内の未使用バイトなど、プログラムの動作に影響しない部分に存在します。
  2. コードの挿入
    攻撃者は、見つけたコードケーブに悪意あるコードや追加したいコードを挿入します。この操作により、プログラムの外観やファイルサイズを変えずに不正コードを埋め込むことができます。
  3. エントリーポイントの改変
    プログラムの実行フローが挿入したコードに流れるよう、元のプログラムのエントリーポイントを改変します。例えば、実行フローが一度コードケーブに移動して悪意あるコードを実行し、その後に元のプログラムの流れに戻るように設定します。
  4. 難読化と隠蔽
    コードケーブに挿入されたコードが検出されにくくなるよう、難読化や暗号化を施すこともあります。これにより、静的解析やウイルス対策ソフトでの検出がさらに難しくなります。

コード・ケイビングの用途

コード・ケイビングは、悪意のある目的で利用されることが多く、以下のような用途で悪用される場合があります。

  1. マルウェアの隠蔽
    マルウェア作成者はコードケーブを利用し、既存の実行ファイルにマルウェアコードを隠蔽します。これにより、ウイルス対策ソフトでの検出を回避しつつ、感染を拡大させることが可能です。
  2. 改造ソフトの作成
    プログラムの挙動を不正に変更し、改造版のソフトウェアを作成するためにコードケイビングを用いることがあります。例えば、ゲームや業務アプリケーションの機能を不正に拡張するために使用されるケースです。
  3. 不正なバックドアの作成
    コードケーブにバックドアコードを挿入し、ターゲットプログラムの内部に潜伏する形でリモートアクセスを可能にする場合があります。攻撃者はバックドアを通じて定期的にアクセスすることで、情報収集やさらなる攻撃を行うことができます。
  4. 証拠隠滅のための隠蔽
    セキュリティ監査やフォレンジック分析を逃れるため、悪意あるコードをコードケーブに隠し、通常のプログラムとして動作させることで、調査からの隠蔽を図るケースもあります。

コード・ケイビングの検出と対策

コード・ケイビングは検出が困難ですが、以下のような方法で発見や対策を行うことが可能です。

  1. 静的解析とハッシュチェック
    元のプログラムと比較し、コードケーブを含む不審なメモリ領域やコードの有無をチェックします。また、プログラムのハッシュ値を照合し、改ざんがないかを確認することが重要です。
  2. 動的解析
    プログラムの実行時に挙動を監視し、不正コードが実行されるプロセスを検出します。特に、通常の実行フローにない異常な動作がないかをモニタリングすることで、コードケイビングの存在を検出できる場合があります。
  3. ウイルス対策ソフトの利用
    一部の高度なウイルス対策ソフトは、コードケイビングに関わるパターンや異常な動作を検出する機能を持っており、これを利用して不正コードを発見することができます。
  4. デバッグツールによる検査
    デバッガーやリバースエンジニアリングツールを用いて、プログラムのコードケーブやエントリーポイントを調査し、不正な挙動を確認することも効果的です。

コード・ケイビングのリスク

コード・ケイビングは、高度な悪意ある攻撃に利用されることが多く、以下のようなリスクが伴います。

  1. セキュリティ侵害のリスク
    コードケーブを悪用されると、知らない間にマルウェアが動作し、個人情報の窃取やシステムの操作が可能になります。
  2. ウイルス対策の回避
    コードケイビングによってコードが隠蔽されると、ウイルス対策ソフトが検出しにくくなり、通常のセキュリティ対策では不正コードの検出が困難になる場合があります。
  3. システムの安定性の低下
    改ざんされたプログラムにより、システムが不安定になったり、予期せぬ挙動を示す可能性があり、ビジネス環境や日常の利用に悪影響を与えるリスクがあります。

まとめ

コード・ケイビングは、既存のプログラム内の未使用領域を活用して不正なコードを隠す手法であり、マルウェアやバックドアの挿入、改造ソフトの作成などで悪用されることがあります。検出が難しいため、静的解析や動的解析、デバッグツールを駆使しての対策が必要です。コードケイビングのリスクを理解し、組織やシステムにおいては、コードの改ざんや不正コードの挿入を未然に防ぐための対策を講じることが重要です。

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）


SNSでもご購読できます。