Black Hat USA 2026において、Check Point Researchは4つのセッションで、これまで誰も目にしたことのない知見を発表する機会を得た。2日間にわたり、同社の研究者たちは、10年以上前から存在するWindowsドライバー、ほとんどのツールが解析できないマルウェア形式、今日のAIエージェントフレームワークの内部構造とそれを封じ込めるべきサンドボックスを分解し、それぞれに共通するパターンを発見した。攻撃者たちは、我々がデフォルトで信頼している層へと侵入しているのである。

以下、各発表の概要を紹介する。

Jiří Vinopal:信頼されたドライバーの裏側

Jiří Vinopalは、不快な前提から始まる講演でその日の口火を切った。Windows Defenderの内部には、通常の削除では取り除けないマルウェアをクリーンアップするために構築されたカーネルドライバーが存在する。このドライバーはRing 0で動作し、ディスクから暗号化された命令を受け取り、処理が完了すると自身を削除する。10年以上にわたってすべてのWindowsマシンに搭載されているにもかかわらず、その実際の動作について分析を公表した者は誰もいなかった。

Jiříは、ドキュメントもシンボル情報もない状態で、生のバイナリから解析を開始した。対象は、Windows 7から最新のWindows 11 25H2まで、18個の署名済みビルドに及んだ。すべてのビルドに同じハードコードされた暗号化キーが含まれていた。このドライバーの言語を理解できるようになると、Defenderの命令の代わりに自分自身の命令を渡すことが可能になった。

この講演では、その機能が実際に何を可能にするかを詳しく説明した。Ring 0でのファイルおよびレジストリ操作の完全なセット、ファイルシステムが起動しDefender自身の保護が有効になる前のブートフェーズのウィンドウ、そして完全にパッチが適用され保護された状態のマシンからDefenderスタック全体を削除するライブデモである。このドライバーはMicrosoftが構築した通りに正確に動作しているため、CVEは発行されず、パッチも提供されない。Jiříはセッションの最後に、自身のツールBTR_CLIをオープンソースとして公開し、シグネチャではなく振る舞いに基づく検知ガイダンスも提供した。

講演を最も的確に要約した一言:防御技術が攻撃能力になった。

Shahar TalとYarden Porat:プロンプトインジェクションの本当の脅威

Shahar TalとYarden Poratは、業界がプロンプトインジェクションをどのように捉えているかに異議を唱える講演を行った。これを純粋にモデルの動作の問題、あるいは純粋にツールの誤用として扱うことは、実際の被害がどこで発生するかを見逃している。被害は、攻撃者が制御するコンテンツがフレームワーク自身の内部構造——シリアライゼーション、キャッシング、ファイルパーサー——に侵入したときに発生する。これらはいずれも敵対的な入力を処理するようには設計されていない。

ShaharとYardenは、業界が実際にエージェントを構築しているフレームワークを監査した:LangChain、GoogleのADK、Microsoft Agent Framework、そしてCrewAIである。4つのフレームワーク全体で、12件のCVEを発見した。聴衆に最も印象を残したのは、攻撃者がほとんど何もする必要がないという点だった。いくつかのケースでは、誰も危険な関数を直接呼び出していない。汚染されたドキュメントがエージェントのメモリに配置されると、フレームワーク自身の保存と再読み込みの動作が自動的にペイロードを起動するのである。

彼らの締めくくりの指摘は強烈だった:これらのバグのほとんどは、セキュリティコミュニティがすでに修正方法を知っているものである。課題は、それらがスタックの新しい部分に移動したときに認識することである。

Aleksandra “Hasherezade” Doniec:非定型マルウェアの解析

Aleksandra “Hasherezade” Doniecは、シンプルでありながら厄介な質問を軸にした講演で、Check Point Researchのこの日の発表を締めくくった。ツールが乏しい非定型のマルウェア形式を解析しなければならないとき、どうすればよいのか?

Aleksandraは、Check Point Researchが2025年初頭から追跡している暗号通貨狙いのスティーラーJSCealを調査中にこの問題に直面した。ペイロードは、コンパイル済みのV8 JavaScriptバイトコードとして到着し、Brotli圧縮でラップされ、バンドルされたNode.jsランタイムで実行される。元のJavaScriptはコンパイル前に難読化されている。標準的なリバースエンジニアリングツールは、この形式をほとんど扱えない。ペイロードが生成された元のJavaScriptは配布されず、アナリストがコピーを入手する頃には技術的に失われている。

Aleksandraは、振る舞い分析だけで妥協するのではなく、読み取り可能な状態に戻すための完全な難読化解除パイプラインを構築した。このパイプラインは、この形式専用に構築されたディスアセンブラView8を活用し、文字列エンコーディングを解読し、制御フロー平坦化を元に戻し、プロキシ関数の層を剥がす一連のカスタムパスと組み合わせている。最終段階では、クリーンアップされた出力をLLMに渡し、コードが実際に何をしているかに基づいて意味のある関数名を提案させることで、意味不明な識別子の壁をアナリストが追えるものに変換する。

20個の実際のJSCealペイロードに対して実行したところ、このパイプラインは、ブラウザと暗号通貨の窃取、Telegramセッションの収集、キーロギング、スクリーンショットキャプチャ、そして攻撃者が制御する証明書をインストールするローカルHTTPS傍受プロキシを静的に復元した。Aleksandraは講演の最後にこのツールキットをオープンソースとして公開し、他の研究者が利用できるようにした。

彼女の締めくくりの言葉は、この日にふさわしいものだった:コンパイル済みのV8バイトコードは密閉された箱のままである必要はない。適切なパイプラインがあれば、コードとして解析できるものに戻すことができる。

Shahar TalとYarden Porat再び:サンドボックスの境界

CloudflareのCode Modeは、本当に興味深い賭けに基づいて構築されている。モデルにツールを1つずつ呼び出させるのではなく、小さなプログラムを書かせ、そのプログラムをロックダウンされたサンドボックス内で実行させるというものだ。ShaharとYardenは、そのサンドボックスが本当に機能するかどうかを確認することにした。モデル自体を追うのではなく、それを動かしているランタイム、つまりCloudflareのネットワーク上のトラフィックの10分の1以上を処理している同じコードを持つworkerdに直接挑んだ。

彼らは5つのメモリ破壊脆弱性を発見し、そのうち2つはCriticalと評価された。2つが講演の中心となった。1つ目は、URLPatternの欠陥で、攻撃者がテナントを分離するための境界を越え、すべての防御が完全に有効な状態で、隣接する顧客のシークレットを共有メモリから直接取得できるというものだった。2つ目は、node:zlibのuse-after-freeバグで、この2人は任意のメモリの読み書きまで連鎖させ、そこから完全なサンドボックス脱出を実現した。これはセルフホスト型のworkerd上で、プロンプトインジェクション以外の何物でもないところから始めて実証された。

Cloudflareは完全な開示プロセスを実行し、workerd v1.20260619.1ですべての修正を提供した。

ShaharとYardenが聴衆に残した考えはシンプルで、熟考に値するものだった:サンドボックスはエンジンを保護するが、それをまとめている接着剤は保護しない。モデルがコードを書く側になると、その接着剤が境界になり、そのように監査される必要がある。

まとめ

今年の4つの講演すべてを貫くテーマ:脆弱なポイントは、攻撃者が書いたコードではなく、我々がすでに信頼することに合意していたコードにあった。誰も疑問を持たなかったカーネルドライバー、ほとんどのツールが読み取ることさえできないマルウェア形式、エージェントフレームワーク自身の内部構造、サンドボックスをつなぎ合わせる接着コードに至るまで。そのギャップを埋めるのは、防御だけでなく、精査である。

各講演の詳細な技術レポートは、research.checkpoint.comで公開される予定である。今週、Check Point社と意見交換のために立ち寄ってくださったすべての方々に感謝する。そして、これらの講演の背後にある研究を行ったJiří、Aleksandra、Shahar、Yardenに感謝する。