みなさん、こんにちは。 SCSKの石井です。

BLOG更新停滞中で、複数人から次いつアップですか？とコアなFANも増えたこのごろです（苦笑）　7月。。。暑い、、関西ではもう気付けば
天神祭り（花火大会🎆）、も終わり夏開始！ですね。
そんな中、激辛のインドカレーを食べる筆者であった。（汗かいて痩せる目的・・・ムリか・・）

さて、BLOG停滞していたお詫びに、本BLOGのプロダクト商材である、Deep Instinctの技術解析レポートをベースに、
2026年のセキュリティ脅威環境における「正規化された悪意」の実態を解説します。
※既知のシグネチャでは検知困難な最新手法を理解することが、企業防衛の生命線となっています。

■上記画面の内容　⇒　ランサムウェア（身代金要求型マルウェア）の画面

※画像詳細については、これは典型的なランサムウェア（身代金要求型マルウェア）の画面をサンプルでアップしています。
　画像内のドイツ語を読むと、次の内容が書かれていす。

•  「重要な情報（WICHTIGE INFORMATIONEN）」
• 　RSA-2048 と AES-128 でファイルを暗号化した
• 　復号するには秘密鍵が必要
• 　復号プログラムは攻撃者のサーバーにある
• 　Torサイト（.onion）へアクセスするよう案内
• 　被害者固有のIDが表示されている
• 　復号方法について攻撃者へ連絡するよう指示
  

 

1. 2026年のランサムウェア脅威：「正規ツール悪用」が猛威を振るう

情報処理推進機構（IPA）の「情報セキュリティ10大脅威2026」によると、ランサムウェア被害が組織部門で第1位に選出されました。さらに驚くべきことに、国内の感染割合が45.8%に達し、企業規模に関わらず中小企業もターゲットになっています。

特に注目すべきは、攻撃の質的変化です。2026年現在、単なるファイル暗号化型から、より巧妙な「多段階隠蔽型」へシフトしており、その中でも「正規のインストーラーを食い物にする手法」が急速に蔓延しています。

従来のEDR（Endpoint Detection and Response）やシグネチャベースのセキュリティソリューションは、既知の悪意を追跡することに特化していました。しかし、正規のインストーラーを装った攻撃は、こうした防衛線をいとも簡単にすり抜けます。結果、企業のエンドポイント防御は見かけの堅牢性に比べて、驚くほど脆弱なままです。

2026年の統計では、EDR導入企業であっても多くが「従来の防衛では対応不可能な脅威」に直面していることが明らかになっています。

 

2. NSISインストーラーが悪用される理由

NSIS（Nullsoft Scriptable Install System）は、Windows向けのオープンソース・インストーラーシステムです。攻撃者がこれを悪用する理由は極めて戦略的です。

第一に、NSISで生成されたファイルは「正規のソフトウェアインストーラー」に見え、多くのセキュリティソリューションが「安全なツール」という先入観で見過ごしやすい。

第二に、NSIS言語は単なるファイルコピー機能にとどまらず、プログラム実行やWin32 API呼び出しが可能な本格的なスクリプティング環境です。つまり、悪意のあるコード全体をインストーラー内に隠蔽でき、外部ダウンロードを最小化できます。

第三に、セキュリティベンダー側が「NSIS＝安全」という認知バイアスを持っているため、検査の厳密さが一段劣る傾向にあります。

 

3. 三層隠蔽メカニズムの実装

第一層：XOR暗号化による隠蔽

NSISインストーラーが実行されると、初期化処理（.onInit関数）でXOR暗号化されたペイロードがメモリに読み込まれます。ペイロードはディスク上では意味不明なバイナリに見えますが、XOR鍵がファイル名そのものという巧妙さがあります。つまり、ファイルが存在する限り、復号に必要な鍵も同じ場所に存在することになり、ペイロード自体の保護が最小限で実現できるのです。

このプロセス全体がメモリ上で完結するため、ディスク上には復号済みの悪意あるコードが一切痕跡を残しません。

第二層：Heaven’s Gate によるAPI フック回避

メモリ上に展開されたペイロードは、次にWindows API フックに対する対抗措置を実行します。ここで登場するのが、臭名高い「Heaven’s Gate 技術」です。

64ビット Windows 上で動作する32ビットプロセスは、WoW64（Windows-on-Windows 64）と呼ばれる互換レイヤーを通じて実行されています。このレイヤーは32ビットと64ビットの「コード セグメント」を同時に保有しており、特定条件下では遷移が可能です。

Heaven’s Gate はこの特性を悪用し、「32ビットプロセス内から64ビット NtDll のシステムコールを直接呼び出す」ことで、32ビット NtDll に仕掛けられたセキュリティベンダーのAPI フック（例：API キャプチャ）を完全に迂回します。

従来の防衛は API フック層に依存しているため、このバイパスによって検知が完全に失敗するのです。

第三層：プロセスホローイングと共有メモリセクション

最後がプロセスホローイング（Process Hollowing）です。具体的には、システムプロセス（例：calc.exe）のコピーを SUSPENDED 状態で新規生成し、NtCreateSection と NtMapViewOfSection を用いて、新しいメモリセクションを両プロセスにマップします。

復号済みのランサムウェア PE イメージを共有セクション内に配置し、新規プロセスの PEB（Process Environment Block）内の ImageBaseAddress をランサムウェアのImageBase に書き換えることで、プロセス再開時に正規コードではなくランサムウェアが実行される仕組みです。

外部からは「calc.exe が起動した」という正規の動作に見える点が極めて巧妙です。

 

4. なぜ従来対策では検知できないのか

シグネチャベース対策の限界

ペイロードがメモリ上でのみ復号されるため、ディスク上に「悪意のあるコード」が一切存在しません。未知の亜種に対しては検知が完全に失敗します。

標準的なEDRの限界

EDR はプロセス起動やメモリアクセス、API呼び出しなどを検知しようとします。しかし Heaven’s Gate による直接システムコール実行は、API フック層をまるごとバイパスするため、EDR が設置したセンサーが一切反応しません。

さらに、プロセスホローイングは正規プロセスの起動に見えるため、多くのEDRソリューションは「異常なし」と判定してしまいます。

ふるまい検知の限界

暗号化処理やメモリ操作は「インストーラーの初期化」の延長として見なされやすく、検知ルール設定自体が困難です。

要するに、企業の防衛戦は「既知の悪意の追跡」に最適化されており、「未知の脅威パターンの予測」には極めて弱いという根本的な構造問題を抱えているのです。

 

5. 2026年の市場動向：AI駆動型防衛へのシフト

セキュリティ業界全体が「検知・対応（Detection & Response）」から「予測・予防（Prediction & Prevention）」への根本的なパラダイムシフトを遂行しています。

特に注目を集めているのが、ディープラーニングを用いた「バイナリレベルの自動特徴抽出型セキュリティ」です。

従来の機械学習は、人間のセキュリティアナリストが「どの部分を見るべきか」という特徴量を設計し、コンピュータに学習させるアプローチでした。一方、ディープラーニングは、数億規模の悪意あるファイルと安全なファイルのバイナリデータを直接投入し、AIが自動的に「悪意の本質パターン」を抽出します。

未知のランサムウェアであっても、その「バイナリの本質が悪意」であれば、予測的に検知可能なのです。

Darktrace が 2026年に実施した調査によると、セキュリティリーダーの 87% が「従来のセキュリティソリューションでは対応できない脅威が急増している」と回答し、78% が「AI駆動型の予防的防衛」への投資を検討中です。

 

6. Deep Instinct が示す防衛の未来

本稿で解説した NSIS 悪用型ランサムウェアの多層隠蔽手法は、従来のセキュリティ体系では検知不可能です。しかし、ディープラーニングを用いた予防型防衛は、この脅威に対して本質的に優位性を持ちます。

Deep Instinct が提供する「D-Brain」と呼ばれる軽量深層学習モデルは、数億規模の脅威データから学習した「悪意の本質」を端末内に搭載し、未知のランサムウェアを「実行前」にシャットアウトします。

その強みは以下の通り

• ローカル実行により即時対応が可能（クラウド問い合わせなし）
• 世界に存在しないランサムウェアであっても予測的に検知
• 誤検知率1%未満で運用負荷を根本的に削減
• マルチレイヤー検知によるメモリペイロードの検出

2026年現在、多くの企業が「従来の防衛では対応不可能な脅威」に直面しています。ランサムウェアの被害金額は平均2.2億円に上り、身代金支払い率も依然として高い水準にあります。

重要なのは「NSIS インストーラーだから安全」という誤った前提を打ち破ることです。2026年のセキュリティは、「何であるか」ではなく「その本質が何か」を問う時代へシフトしているのです。

 

【終章】未来の防衛へ向けて

セキュリティの歴史は、常に「攻撃の巧妙化」と「防衛技術の進化」のサイクルで構成されてきました。2026年現在、その競争は新しい次元に突入しています。

攻撃側が「正規ツール悪用」という賢明な戦略にシフトしたのに対し、防衛側も「シグネチャ追跡」から「AI駆動型予防」へと進化を余儀なくされています。

企業の DX 推進と並行して、セキュリティのインフラ改革も急務です。従来の「被害後対応」から「被害予防」への根本的な転換が、2026年以降のビジネス継続性を確保する唯一の道となるでしょう。

SCSKが取り扱う Deep Instinct は、この「防衛の未来」を、今日から実装可能にするソリューションです。

従来のEDRやシグネチャ型対策に限界を感じている方、未知のランサムウェアに対する抜本的な対策をご検討中の方は、ぜひ以下をご参照ください。

SCSKでは、Deep Instinct の技術力と日本企業向けの盤石なサポート体制を組み合わせ、最先端のAI駆動型セキュリティをご提供しています。

 

■ディープラーニングによる予防型エンドポイントセキュリティに興味をお持ちの方へ 

本記事でご紹介したディープラーニング（深層学習）による革新的な防御思想を、実際のプロダクトとして体現し、
多くのお客様の環境を守っているのが、SCSKが取り扱う「Deep Instinct（ディープインスティンクト）」です。 

従来のセキュリティ運用（EDRなど）に限界を感じている方、未知のランサムウェア対策を強化したい方は、ぜひ以下の製品詳細ページをご覧ください。