ポリモーフィック型マルウェア とは？

悪意ある機能を保ちながら、ファイルのバイト列などを変えるんだ。登録済みの固定パターンだけで調べると見逃しやすくなる。ただし「普通のマルウェアは必ず同じコード」「ポリモーフィックなら絶対検出できない」と分けられるわけではないよ。

代表的な方式は、異なるキーで本体を暗号化し、復号する部分のコードも変えることだよ。実行時には復号して悪意ある機能を動かす。作成や更新の段階で違うファイルになる例もあり、変化するタイミングを感染のたびと一律には決められないんだ。

復号処理をエミュレートして現れた本体を調べたり、コードの特徴や動作を分析したりできるよ。MicrosoftのDexphot調査でも、ファイルが変化する攻撃に振る舞い検知などを組み合わせて対処している。ただし振る舞い検知だけで必ず検出できるという保証ではないんだ。

関連する方式にメタモーフィック型があるよ。同じ機能を保ったまま、本体の命令などを書き換える方式なんだ。違いは「ポリモーフィックはエンジンが固定、メタモーフィックだけがエンジンを変える」ではない。復号部分を変える方式と、本体自体を書き換える方式の違いで考えると分かりやすいよ。