Analog Triageレポートから読み解く不審な実行ファイル「FD3E3.exe」群の挙動分析

Windows環境で未知の実行ファイルを解析する際、サンドボックスレポートは非常に重要な手がかりとなる。特に近年は、マルウェアの挙動が高度化しており、単純なウイルススキャンだけでは判断できないケースも増えている。

本記事では、解析ツール「Analog Triage」によるレポートログを整理し、不審な実行ファイル「FD3E3.exe」群の挙動を読み解きながら、Windowsレジストリアクセスの意味やセキュリティ観点でのチェックポイントを詳しく解説する。ログのノイズを排除しながら、実際に何が起きているのかを分かりやすく整理していく。

Analog Triageレポートから読み解く不審な実行ファイル「FD3E3.exe」群の挙動分析

Analog Triageとは何か

Analog Triageは、マルウェアや不審なプログラムの挙動を解析するためのトリアージ型分析ツールである。主に以下のような情報を自動収集する。

・プロセス挙動
・ファイルアクセス
・レジストリ操作
・ネットワーク通信
・エラーコード

このようなログを総合的に分析することで、未知のプログラムの安全性や潜在的な危険性を判断する材料が得られる。

特にインシデント対応やマルウェア解析の現場では、短時間で状況を把握するための重要なツールとして利用されている。

解析対象となった実行ファイル群

レポートには多数の実行ファイルが確認されている。

主な対象ファイルは以下の通りである。

FD3E3 (1).exe
FD3E3 (2).exe
FD3E3 (3).exe
FD3E3 (4).exe
FD3E3 (5).exe
FD3E3 (6).exe
FD3E3 (7).exe
FD3E3 (8).exe
FD3E3 (9).exe
FD3E3 (10).exe
FD3E3 (11).exe
FD3E3 (12).exe
FD3E3 (13).exe
FD3E3 (14).exe
FD3E3 (15).exe
FD3E3 (16).exe
FD3E3 (17).exe
FD3E3 (18).exe
FD3E3 (19).exe
FD3E3 (20).exe
FD3E3 (21).exe
FD3E3 (22).exe
FD3E3 (23).exe
FD3E3 (24).exe
FD3E3 (25).exe
FD3E3 (26).exe
FD3E3 (27).exe

すべてWindows10の64bit環境で解析されている点が特徴だ。

ファイル名の規則性から考えると、以下のような可能性が考えられる。

・同一マルウェアのバリエーション
・自動生成されたドロッパーファイル
・解析回避のためのファイル複製
・サンプル収集用の複数ハッシュ

特に同一ベース名＋番号という構成は、マルウェア検体の整理やテスト環境でよく見られる形式である。

レジストリアクセスログの解析

レポートには多数のレジストリアクセスが記録されている。代表的なアクセスを整理すると以下の通りだ。

Windows Error Reporting関連キー

アクセスされた主なキー

HKLM\SOFTWARE\Policies\Microsoft\Windows\Windows Error Reporting\TraceFlags
HKLM\SOFTWARE\Policies\Microsoft\Windows\Windows Error Reporting\Consent
HKLM\SOFTWARE\Policies\Microsoft\Windows\Windows Error Reporting\DontSendAdditionalData

Windows Error Reporting（WER）は、アプリケーションのクラッシュ情報をMicrosoftに送信する仕組みである。

マルウェアがこれらを参照する理由としては以下が考えられる。

・クラッシュ時の挙動確認
・デバッグ環境の検知
・解析環境の判定

つまり、実行環境が研究用サンドボックスであるかどうかを確認する目的で参照している可能性がある。

AppCompat関連レジストリ

ログには以下のキーも確認されている。

HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\AmiOverridePath
HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\AmiCacheVersion

AppCompatFlagsは、Windowsのアプリケーション互換性機能に関連する領域である。

ここを参照するプログラムは以下の挙動を取る場合がある。

・既存アプリの存在確認
・仮想環境検出
・特定ソフトウェアのチェック

マルウェアの中には、特定のセキュリティツールや分析ツールを検出するためにこれらの情報を確認するものも存在する。

OLE関連レジストリ

次のキーもアクセスされている。

HKCU\Software\Classes\Local Settings\Software\Microsoft\Ole\FeatureDevelopmentProperties

OLEはWindowsのオブジェクト連携技術であり、COMコンポーネントなどの機能と関係する。

ここを参照するプログラムは

・COM機能の利用
・システム構成確認
・開発環境チェック

などの目的を持つ場合がある。

RPCポリシー関連キー

以下のキーも確認されている。

HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Rpc

RPC（Remote Procedure Call）は、Windows内部やネットワークでの通信処理に使われる仕組みである。

ここを参照する理由としては

・通信機能の有効確認
・セキュリティポリシー確認
・ネットワーク機能の状態チェック

などが考えられる。

エラーコード「0xC0000034」の意味

レジストリアクセスの多くで確認されたステータスコードは次の通りである。

0xC0000034

これはWindowsのNTSTATUSコードであり、意味は

STATUS_OBJECT_NAME_NOT_FOUND
（指定されたオブジェクトが存在しない）

つまり、プログラムは以下の処理を行っていると考えられる。

特定のレジストリキーを探す
存在しなければエラーになる
結果に応じて動作を分岐する

このような処理は、マルウェアの環境判定ロジックで頻繁に使われる。

特定のキーが存在する場合のみ実行されるペイロードなどが存在する可能性もある。

この挙動はマルウェアなのか

ログだけで断定することはできないが、以下の点は注意が必要だ。

・多数の同名実行ファイル
・レジストリ環境チェック
・ポリシー設定の参照
・互換性情報の確認

これらはマルウェアの初期動作としてもよく見られる特徴である。

特に「環境調査」を行うプログラムは、次の段階で

・ペイロードダウンロード
・キーログ
・情報窃取
・遠隔操作

などの挙動に進むケースもある。

不審な実行ファイルを見つけた場合の対処

もし同様の不明な実行ファイルを発見した場合は、次の手順を推奨する。

直接実行しない
ハッシュ値を取得
マルウェアデータベースで検索
サンドボックスで解析
ネットワーク通信を確認

特に企業環境では、EDRやログ監視を併用することで早期検知が可能になる。

まとめ

Analog Triageのログを分析すると、不審な実行ファイル「FD3E3.exe」群はWindowsレジストリの複数領域を参照しており、環境調査を行っている可能性が高いことが分かる。

特にWindows Error ReportingやAppCompat関連キーへのアクセスは、マルウェアが解析環境を判定する際によく利用されるポイントである。

ただしログだけでは最終的な悪性判定はできないため、ファイルハッシュ、ネットワーク通信、プロセス生成などの追加分析が不可欠だ。

サイバー攻撃が高度化する現代において、ログを読み解く能力はセキュリティ対策の重要なスキルの一つとなっている。今回紹介したようなレジストリアクセスの意味を理解することで、未知の脅威に対する判断力を高めることができるだろう。