ファイルレスマルウェア とは？

メモリ（RAM）上で直接コードを実行するんだよ。普通のマルウェアは「悪意のあるファイル」をPCに保存するけど、ファイルレスマルウェアはPowerShellなどのOS標準ツールを経由してメモリに直接読み込まれるから、ファイルとしては存在しないんだ。

メモリ上のコード自体は消えるけど、再起動後も動作するようにレジストリやタスクスケジューラに自動実行の設定を仕込むことが多いんだ。だから再起動しても毎回メモリ上に復活するよ。

従来のアンチウイルスは「ディスク上のファイルをスキャン」して悪意のあるパターンを探す仕組みだからね。ファイルが存在しなければスキャン対象がないんだ。しかもPowerShellやWMIはWindowsの正規ツールだから「正当な操作」と区別がつきにくいんだよ。

「現地調達」っていう意味の軍事用語から来ていて、OSにもともと入っているツールだけで攻撃する手法のことだよ。追加のマルウェアをインストールしないから検知されにくい。セキュリティ業界ではLOLBins（Living off the Land Binaries）なんて呼ばれているよ。

EDR（Endpoint Detection and Response）が有効だよ。プロセスの挙動やメモリの状態を監視して、不審な動作を検知するんだ。他にもPowerShellのログを有効化したり、AMSI（Antimalware Scan Interface）を活用したりする方法があるよ。ファイルレス攻撃は今や全マルウェア攻撃の半数以上を占めるとも言われていて、対策は急務なんだよ。