ランサムウェアの低エントロピー化｜検知回避の研究

ランサムウェアの検知は長らく「大量のファイルが一気に高ランダム化される」という前提に支えられてきました。2026年8月にarXivで公開された研究論文は、その前提を遺伝的アルゴリズムで意図的に崩せることを示しています。攻撃側が「速く全部暗号化する」から「統計的に目立たない範囲で長く潜む」へ舵を切ったとき、振る舞い検知はどこまで持つのか。情シスにとっては、検知製品への期待値と、ログ保持・復旧体制の設計を見直す材料になる話です。

この記事でわかること

  • 「エントロピーによる検知」とは何で、なぜ効いてきたのか
  • 今回の研究（SSBSE 2026採択・arXiv公開）が何を示したのか
  • 実在のランサムウェアがすでに使っている「間欠暗号化」との関係
  • 単一指標の検知に頼らないために、情シスが今できる現実的な打ち手

前提：エントロピーによる検知とは何か

エントロピー（情報エントロピー）とは、データのランダムさを数値化した指標です。0に近いほど規則的、最大値に近いほどランダムに見える、という尺度だと考えてください。

暗号化されたデータはほぼ完全なランダム列になります。WordやCSVにある文字・書式の偏りが、暗号化すると消えて「意味のないノイズ」に近づくためです。そこで多くの製品は、書き換え前後でエントロピーが急上昇したファイルが、短時間に大量発生していないかを見て暗号化処理を検知します。ファイルI/Oの回数や書き込み量も、同じ「大量・高速」の前提に立った指標です。

この指標は、単体製品として導入した覚えがなくても、EDR／EPP、バックアップ製品、NAS・ストレージ側のランサム保護機能に組み込まれて動いていることが多いものです。「うちはエントロピー検知なんて入れていない」ではなく、自社の保護機能が何を根拠に検知しているかをベンダーに確認するところが出発点になります（EDRとは？仕組みとEPP・XDRの違いを解説）。

どんな研究か

一文でいうと、「ランサムウェアの暗号化のしかたを、検知されにくさを制約条件とした最適化問題として解いた」研究です。

論文は「Survival of the Stealthiest: Evolving Low-Entropy Ransomware via Genetic Algorithms」（Efrat Levenberg、Kristina Sviazhina、Ayelet Butman、Pierre Parrend、Harel Berger）。2026年8月20日にarXivで公開され、国際会議 SSBSE 2026（Search-Based Software Engineering、2026年7月・モントリオール）のChallengeトラックに採択されています（pp.142-147）。

抄録によれば、著者らはランサムウェアの実行を「探索ベースソフトウェア工学（SBSE）の最適化問題」として定式化し、平常時のシステム挙動からの統計的なズレを「ハードな制約」として課したうえで、遺伝的アルゴリズム（GA）で暗号化のしかたを進化させたとしています。結果として、進化させた攻撃パターンが振る舞い監視をすり抜けられることを示した、という主張です。

何が新しいのか

「暗号化を減らして検知を避ける」という発想そのものは新しくありません（後述のとおり実在のランサムウェアが実装済みです）。この研究で目を引くのは2点です。

  • 回避を「手作業のチューニング」ではなく「自動探索」にしたこと。攻撃者が防御製品のしきい値を勘で探るのではなく、制約付き最適化として機械的に詰められることを示しています。
  • 目標が「速さ」から「潜伏の長さ」に移っていること。抄録は、現代の脅威に見られる「数分ではなく数時間、発覚せずに居続けようとする」ギャップを埋めるアプローチだと述べています。従来の「短時間で全部暗号化して逃げ切る」モデルとは前提が違います。

同種の研究は他にもあり、2023年の「RansomAI」は強化学習で暗号化パラメータを動的に調整して検知を回避したと報告しています。今回の論文は、その流れを進化計算の側から追ったものです。

実在のランサムウェアはすでに「部分暗号化」を使っている

ここが実務上いちばん重要な点です。この研究は机上の話ではなく、実際の攻撃側がすでに同じ方向へ動いていることの延長線上にあります。ファイル全体ではなく一部だけを暗号化する「間欠暗号化（intermittent encryption）／部分暗号化」は、2021年のLockFile以降、複数のランサムウェアファミリで採用されてきました。

ファミリ 暗号化のしかた（公開情報より）
LockFile（2021） 16バイトおきに暗号化する方式を採用した初期の例
BlackCat／ALPHV（Rust） 全体暗号化のほか、先頭Nバイトのみ、一定間隔、ブロック内のP%のみ、拡張子とサイズで自動選択、など複数モード
Black Basta 4KB超のファイルは64バイト暗号化＋128バイトスキップを繰り返す（サイズ帯で挙動が変わる）
PLAY ファイルサイズに応じて1MB単位のチャンクを2〜5個だけ暗号化
Agenda（Go） skip-step／fast／percent の3モードをアフィリエイトが選択可能
Qyick（Go） 間欠暗号化による「速さ」を売り文句にして販売

攻撃側が宣伝している利点は「速い」と「見つかりにくい」の2つです。書き込み量が減れば処理は速く終わり、同時にファイルI/Oの激しさも、暗号化前後のファイルの違いも小さくなります。つまり「大量・高速・高ランダム」を前提にした統計的検知がまとめて鈍るわけです。今回の研究は、この調整を人手のオプション設定から自動最適化へ押し上げるとどうなるかを示した、と読むのが実務的でしょう。

情シスにとって何が変わるのか

検知は「破られる」のではなく「遅れる」

「もう検知製品は無意味」という結論に飛びがちですが、それは誤りです。正確には検知の前提が一つ弱くなり、気づくまでの時間が延びるということ。攻撃側の目標が数分の逃げ切りから数時間〜数日の潜伏に移るなら、問われるのは検知の瞬発力よりあとから遡って追える体制です。エンドポイントやファイルサーバのログを2週間しか持っていない組織で、数週間かけて静かに暗号化が進んでいたら、気づいた時点で「いつ、どこから始まったか」を辿る材料が残っていません。侵入経路が特定できなければ、復旧しても同じ穴から戻られます。

バックアップの汚染窓が広がる

潜伏が長くなるほど、「壊れたデータを正常だと思って取り続けたバックアップ」の世代が増えます。部分暗号化はファイルサイズや更新日時の見た目を大きく変えないこともあり、バックアップ側の異常検知にも引っかかりにくい。世代数と保持期間、そして実際に戻して開けるかを確かめる復元テストの重要度が上がります（バックアップの3-2-1ルールとは？ランサム対策の基本）。

単一指標への依存を点検する

エントロピーは有用ですが、一本足の検知は前提が崩れます。圧縮ファイル・動画・仮想ディスク・バックアップアーカイブなども高エントロピーになるため、誤検知の側からも限界は指摘されてきました。エントロピーを「多変量モデルの一変数」として扱うほうが、回避のコストを上げられます。プロセスの系統、シャドウコピーの削除、認証情報へのアクセス、バックアップ削除、外部への大量送信といった別種の兆候を何本組み合わせて見ているかが分かれ目です。

現場目線の課題

正直に書くと、この論文を読んでも情シスが自分の手で直せる部分はほとんどありません。「エントロピーのしきい値」などという設定項目は、まず管理コンソールに出てきません。検知ロジックはベンダー側のブラックボックスで、我々にできるのは製品を選ぶことと、破られた前提で備えることだけ。脆弱性対応で「パッチが出るまで待つしかない」ときのもどかしさに似ています。

そのうえで現実的な手は2つあります。ひとつはベンダーへの質問材料にすること。「部分暗号化を行う検体に対して、御社の検知はどの指標で反応しますか」「エントロピー以外にどの振る舞いを見ていますか」と聞ける根拠ができました。更新契約や製品比較の場で、カタログの検知率だけでなくロジックの多層性を問う一言が効きます。

もうひとつは「検知が遅れる」前提での投資の組み替えです。新しい検知製品を足すより、ログ保持期間の延長、復元テスト、インシデント時の連絡・判断フローの練習のほうが、この文脈では費用対効果が高い場面が多いはずです。検知AIの精度自体が時間とともに劣化する問題も指摘されており、検知を過信しない設計は一貫して重要です（マルウェア検知AIの精度劣化｜ドリフト検知研究）。

情シスはどうすべきか

対策チェックリストを自前で組むより、公的機関の指針で自社の穴を確認するのが確実です。

地道な利用者への啓発も引き続き効きます。侵入の入口はフィッシングや認証情報の使い回しであることが多く、暗号化の巧妙さ以前で止められる余地は残っています。「ファイルの一部だけ開けない」「Officeが修復を促す」といった従来のランサム被害らしくない違和感も報告してもらえるよう、相談窓口の敷居を下げておくと潜伏型の発見が早まります。

この研究の限界・留意点

  • 短報である：SSBSE 2026のChallengeトラック採択、6ページ（pp.142-147）。査読を経た国際会議の採択論文ではありますが、大規模な実証研究ではありません。
  • 公開情報が抄録に限られる：本稿執筆時点でarXivに全文HTML版はなく、抄録には回避率・エントロピー値・検証環境・対象とした検知製品名などの数値の記載がありません（本文はSpringerの会議録に収録）。「どの製品がどれだけ回避されたか」は本記事では断定できません。
  • 一般化しすぎない：示されたのは「特定の条件下で回避が成立した」ことであり、あらゆる振る舞い検知が無力だという意味ではありません。また部分暗号化自体は数年前から実運用されており、新規性は自動探索の適用にあります。

まとめ

  1. ランサムウェアの検知が前提としてきた「大量・高速・高エントロピー」は、部分暗号化によってすでに崩れつつあり、今回の研究はその調整を遺伝的アルゴリズムで自動化できることを示した。
  2. 攻撃側の目標が「速い逃げ切り」から「長い潜伏」に移るなら、防御側で効くのはログ保持期間の延長と、バックアップの世代管理・復元テストである。
  3. エントロピー単体ではなく複数の兆候を組み合わせて見ているか、自社の検知製品のロジックをベンダーに確認する材料として使うのが、情シスにとっての実利。

ランサムウェアの基礎から確認したい場合はランサムウェアとは？仕組み・二重恐喝・対策を解説もあわせてご覧ください。

出典

タイトルとURLをコピーしました