誤ってマルウェアを実行してしまった私が、AIとREA（Reverse Engineer Anything）に救われた話

Posted at 2026-10-30

マルウェアおよびC2サーバーに関する警告
本記事は、Google検索やRedditで見つけた CxxCxx Pro のアクティベーター（有効化ツール）を装ったマルウェアを、私が実際にダウンロード・実行してしまった際の体験談と解析記録です。

安全のため、以下に記載する配布元URLおよびC2サーバー（指令サーバー）のIPアドレス・ドメインには絶対にアクセスしないでください。

マルウェア検体 #1（CxxCxx Pro Activator - WebRTC RAT）:
- Reddit投稿URL: hxxps[:]//www.reddit[.]com/r/cracked_soft/comments/1t2hnx4/cxxcxx_pro_activator/
- 配布ファイル: cxxcxx_pro-master $\rightarrow$ Pro.rar（パスワード: 2026）$\rightarrow$ CxxCxx pro activator.exe
- C2サーバーのIPアドレス:
  - hxxp[:]//217.60.102[.]156 (現在は接続不可)
  - hxxp[:]//91.92.243[.]204 (現在も稼働中)
マルウェア検体 #2（CxxCxx Pro Full Version - Electron Dropper）:
- Reddit投稿URL: hxxps[:]//www.reddit[.]com/r/PodcastX/comments/1pvbuwa/cxxcxx_pro_crack_free_full_version_download_for/
- 配布ファイル: hxxps[:]//deplay[.]cc/dl/appget?... $\rightarrow$ Setup.zip $\rightarrow$ Setup_Installer.exe
- 最終ペイロード配信用C2ドメイン:
  - hxxps[:]//threedrows[.]net/uploads/5243f78f37e542daa21cd90bb1fe47ad.exe

はじめに

先日、Googleで CxxCxx Pro について調べていた際、検索結果の1ページ目に2つのRedditの投稿が目に留まりました。開いてみると、投稿日時も新しく、コメント欄には「問題なく動いた」といった書き込みがいくつもあり、さらに言語統計が JavaScript 98% と表示されたソースコードリポジトリへのリンクまで貼られていて、一見するとかなりもっともらしい内容でした。

私は試しに2つのパッケージを自分の個人用PCにダウンロードしてみました。ダウンロードから解凍までの間、Windows Defenderからは一切警告が出ませんでした。そこで1つ目のパッケージを開き、CxxCxx pro activator.exe を実行してみました。しかし画面には何も表示されず、一瞬ディスク使用率が100%になってPCが少し重くなった後、すぐに元に戻りました。「ツールが壊れているか、環境に合わないのだろう」と思った私は、通常のアプリを消すのと同じようにそのフォルダを削除しました。

その後、ふとした好奇心から、最近GitHubで大きな話題になっている REA (reverse-engineer-anything) という新しいツールとAIを組み合わせて、ダウンロードしたファイルの中身を調べてみることにしました。そしてこの時初めて、自分が先ほど実行してしまったものの本当の正体を知ることになります。

1. AIと大ブームを巻き起こしているREA（>400k Stars）

最近、エンジニア界隈で REA (reverse-engineer-anything) というオープンソースプロジェクトが大きな話題になっています。10月3日時点ではまだ500スター強だったにもかかわらず、月末にはなんと GitHubで400,000スター を突破するほどの爆発的な伸びを見せています。

「Reverse Engineer Anything（あらゆるものをリバースエンジニアリングする）」 という名前とAIの組み合わせを聞くと、多くの方がまずこう疑問に思うのではないでしょうか。
「このツールを使えば、ソフトウェアのクラック（不正な制限解除）や、アプリの機能改造（Mod）ができるのか？」

結論から言うと、答えは「NO」です。しかし、防御側（ホワイトハット）の視点で正しく使ったときに得られる価値は、ソフトのクラックなど比較にならないほど大きなものでした。

REAの特徴は、大きく次の2点に集約されます。

ソフトウェアのクラックや改ざんはできない:
有料ソフトであれ無料ソフトであれ、機能を書き換えるような改造（Mod）をREAで行うことはできません。REAは設計思想として 完全な読み取り専用（Read-Only） で作られています。つまり、ファイルの内部構造を読み取って解析するだけであり、バイナリへのパッチ当てや元の実行ファイルへの上書きコンパイルは一切行いません。また、安全基準を備えたAIモデルと組み合わせて使うため、著作権保護の回避に関わるリクエストはAI側でも拒否されます。
機械語レベルの解析が圧倒的に速く、深い:
通常、見知らぬ .exe や .dll ファイルが内部で何をしているのかを調べるには、IDA ProやGhidraといった専門ツールを使いこなし、何時間もかけてアセンブリや機械語を追う必要があります。REAは、そのバイナリ解析能力をAIのスキルとして提供します。電子署名の検証、メモリ構造、.dll 内部の隠し関数、さらには暗号化レイヤーの特定までをAIが自動で実行してくれるため、自然言語で指示するだけで、怪しいソフトの内部構造をわずか数分で詳細に把握できます。

2. MITMの仕組みを調べるつもりが、マルウェアだと判明

動作しなかった先ほどのツールを削除した後、私は「せっかくREAがあるのだから、中身がどうなっているのか見てみよう」と思い立ちました。

最初は純粋な技術的興味でした。私はてっきり、この CxxCxx Pro ツールは MITM（中間者攻撃 / ローカルプロキシ） の仕組みを使っており、サーバーからのレスポンスに偽のデータを差し込むことで、アプリ側に「Proアカウントである」と誤認させているのだろうと推測していました。そこで、ダウンロードした cxxcxx_pro-master フォルダをAIとREAに読み込ませ、自分の推測が合っているかソースコードを確認させてみました。

わずか30秒ほどで、AIから返ってきた結果を見て背筋が凍りました。

AI + REAによるソースコード解析結果:
cxxcxx_pro-master フォルダ全体の中に、MITMやプロキシ、あるいは CxxCxx に関連するコードすら1行も存在しませんでした。

中に入っていた大量の .js や .css ファイルは、実は2019年頃の Fxxxxxxx Dxxxxxxxxx（ドキュメントサイト生成ツール）の初期テンプレートそのままでした。攻撃者がこのサンプルファイル群をそのまま残していたのは、単にリポジトリの言語統計バーを JavaScript 98% と表示させ、まともなオープンソースプロジェクトに見せかけるためでした。
唯一書き換えられていたのは README.md だけで、そこにはパスワード 2026（ブラウザやウイルス対策ソフトの自動スキャンを回避するためのパスワード）が設定された Pro.rar のダウンロードリンクが貼られていました。

ここまで読んで、事態を完全に理解しました。MITMツールなど最初から存在せず、私が先ほど何回かクリックして実行してしまった CxxCxx pro activator.exe は、偽装されたマルウェアだったのです。

3. マルウェア検体 #1 (`CxxCxx pro activator.exe`) の解剖：私のPCで何をしていたのか？

自分がマルウェアを実行してしまったと分かり、正直かなり焦りました。しかし、闇雲にWindowsをクリーンインストールする前に、まずはAIとREAを使ってこのマルウェアを徹底的にリバースエンジニアリングし、以下の4点をはっきりさせることにしました。

なぜWindows Defenderに検知されずにすり抜けたのか？
起動した後、裏で具体的に何をしていたのか？
通常のアプリのようにフォルダを削除しただけで、PC内に何か残っていないのか？
そして最も重要な点として、PC内のどんなデータを狙っていたのか？

AIとREAで Pro フォルダ内の各ファイルを解析した結果、このマルウェアの巧妙な動きが4つのステップとして浮かび上がってきました。

3.1. Windows Defenderの回避：本物の電子署名を悪用し、データファイルにコードを隠す

解凍して実行した際にWindows Defenderが全く反応しなかったのは、攻撃者が3つの偽装工作を組み合わせていたためでした。

本物の電子署名を持つ .exe ファイルの悪用（DLL Side-Loading）:
私がクリックした CxxCxx pro activator.exe 自体には、悪意のあるコードは一切含まれていませんでした。実はこれ、大手ソフトウェア企業 Txxx-Txx Interactive の本物の電子署名が付いた、Uxxxx プラットフォームの正規ランチャーファイルだったのです。実行ファイル自体がクリーンで有効な署名を持っているため、Windowsは安全だと判断してそのまま実行を許可してしまいます。
同梱された .dll へのマルウェア仕込みと、28個のクリーンなファイルによるカモフラージュ:
正規の .exe が起動すると、Windowsの仕様により同じフォルダにある UxxxxPlayer.dll が自動的に読み込まれます。攻撃者が悪意のあるコードを仕込んでいたのは、この .dll ファイルの方でした。さらに、ウイルス対策ソフトの自動スコアリング（不審度判定）をごまかすため、フォルダ内には MicrosoftやGoogleの本物の電子署名が付いた無害な .dll ファイルが28個 も詰め込まれていました。
manifest.json 内部へのマルウェア本体の隠蔽:
マルウェア本体を実行ファイルとして露出させるのではなく、UxxxxPlayer.dll が同じフォルダ内の manifest.json を密かに読み込みます。拡張子が .json なので一見するとただの設定ファイルに見えますが、中身は暗号化されたマルウェアの塊であり、実行時にそれを復号して直接RAM（メモリ）上に展開していました。

3.2. 実行後の動き：Windowsのシステムライブラリを複製してRAM上に隠れる

最初に CxxCxx pro activator.exe をクリックした際、画面に何も出なかったため、私は合計7回ダブルクリックしていました。REAの解析により、まさにその7回のクリックこそが一時的にディスク使用率100%を引き起こした原因だと判明しました。

私がクリックするたびに、マルウェアは C:\ProgramData\ の奥深くにランダムなアルファベット7文字の名前のフォルダを密かに作成していました。
各フォルダの中に、Windowsの標準システムライブラリである windows.storage.dll を awindows.storage.dll という名前でコピーし、その内部に復号したマルウェアのコードを埋め込んでいました。
こうすることで、マルウェアがRAM上で動く際、メモリ検査ツールからは「Windowsの正規システムライブラリが動いているだけ」に見えるようになります。7回連続でクリックしたことで、数十MBあるライブラリ群のコピー処理が ProgramData 内で立て続けに走り、ディスクに一時的な高負荷がかかっていたというわけです。

3.3. 自動復元の仕組み：Microsoftの名を借りて4つの断片に分割・潜伏

これが今回のマルウェアで最も驚かされた部分です。ダウンロードしたフォルダを普通のアプリのように削除しただけでは、このマルウェアは全く消えていませんでした。

一般的なマルウェアは、.exe ファイルをドライブ内にコピーしてWindows起動時に自動実行させようとしますが、そのやり方だと定期スキャンで簡単に見つかってしまいます。そこでこのマルウェアの作者は、分散ストレージなどで使われる リード・ソロモン（Reed-Solomon）符号 というデータ分割・復元アルゴリズムを悪用していました。

マルウェアのコア部分を 4つのバラバラなデータ断片（拡張子 .dat および .bin）に分割します。
その4つの断片を、%LOCALAPPDATA%\Microsoft\ 配下のMicrosoftの正規サービスに似せた4つの異なるフォルダ（SyncServices、OneDriveStandalone、DeviceSync、Terminal Server Client）に分散して隠し、さらに OneDriveSync を装った自動起動レジストリキーを登録します。

なぜこの「4分割方式」が危険なのか？

ハードディスク上にはマルウェア本体の .exe ファイルが一切存在しません。バラバラに置かれた4つの .dat / .bin ファイルは、単体で見ればただの意味不明なバイト列でしかないため、ウイルス対策ソフトがスキャンしても素通りしてしまいます。
リード・ソロモン符号の特性上、4つの断片のうちどれか2つでも残っていれば、次回PCを起動した際にローダーが計算を行い、RAM上で元のマルウェアを100%完全に復元してしまいます。仮に怪しいフォルダを1つや2つ見つけて削除したとしても、残りの2つの断片から何事もなかったかのように復活する仕組みになっていました。

3.4. 本当の危険性：どのようなデータを盗み、どんな被害をもたらすのか？

AIに分割された断片を結合させて内部の設定を読み解かせたところ、このマルウェアの正体は 情報窃取型マルウェア（Info-Stealer） と 遠隔操作ツール（WebRTC RAT） を組み合わせた Olympic という内部名称のマルウェアであることが分かりました。

バックグラウンドで起動してC2サーバーに接続すると、PC内の最も機密性の高い4種類のデータを標的にします。

ブラウザのセッションCookieと保存済みパスワードの窃取 (client-recovery):
PC内のブラウザ（Chrome、Edge、Brave、Firefoxなど）に保存されているすべてのパスワード、自動入力データ（クレジットカード情報など）、そして何より セッションCookie（Session Cookies） を回収します。パスワードの漏洩以上に危険なのがこのセッションCookieです。ログイン状態のCookieを奪われると、攻撃者はパスワードを知る必要すらなく、二要素認証（2FA/OTP）もバイパスしてしまいます。盗んだCookieを攻撃者のブラウザに読み込ませるだけで、ログイン中のGmail、Facebook、GitHub、Discord、各種ウォレットなどにそのまま侵入できてしまいます。
画面のリアルタイム監視とバックグラウンドでの隠密操作 (screen-viewer & hidden-desktop):
WebRTCプロトコルを使って、被害者のPC画面をリアルタイムで攻撃者にストリーミング配信します。さらに恐ろしいのが Hidden Desktop 機能です。被害者のPC内部に「見えない仮想デスクトップ画面」を裏で立ち上げ、被害者自身のPCとIPアドレスを使って勝手にブラウザを開いたり、アカウント操作や送金を行ったりすることができます。その間、メインの画面で作業している本人はマウスカーソルが動くことすら気づきません。
ディスク内のファイル探索、クリップボードの盗み見、キーロガー (file-manager, clipboard, input-logger):
攻撃者は遠隔からハードディスク内を自由に探索し、社外秘の業務ファイル、プロジェクトのソースコード、.env 設定ファイル、SSH 秘密鍵、身分証の画像などをダウンロードできます。また、ブラウザにパスワードを保存せず手入力したり、パスワードマネージャーからコピー（Ctrl+C）して貼り付けたりしていても、キーロガーとクリップボード監視機能によってすべて読み取られてしまいます。
位置情報の特定とデバイスプロファイルの収集 (device-profile):
接続直後に、実際のIPアドレス、プロバイダ情報、地理的な位置情報（都道府県・市区町村、緯度・経度）、ハードウェア構成、インストール済みソフトの一覧、さらには OneDrive（個人用・法人用）のアカウント情報までC2サーバーへ送信します。攻撃者はこのプロファイルを見て、個人のPCか企業の業務用PCかを即座に判別し、さらなる攻撃を仕掛けるかどうかを判断します。

窃取ツールをRAM上に直接読み込む巧妙な手口:
最初からパスワード読み取り機能を詰め込むとウイルス対策ソフトに検知されやすいため、PC内に置かれるマルウェア本体は「中継役」として最小限の構成で作られています。C2サーバーとの接続が確立した後に初めて、パスワード窃取用やキーロガー用のモジュールをダウンロードし、ハードディスクには一切保存せず RAM上で直接実行 する仕組みになっていました。

4. Windowsの再インストールをせずに、すべての痕跡を完全に消去

4つに分割されてシステムフォルダのあちこちに潜伏するようなマルウェアに感染した場合、通常であればWindowsを丸ごと再インストールするしか安全を確保する方法はありません。しかし今回は AI + REA がマルウェアの作成したファイルパス、フォルダ名、レジストリキーをすべて正確に特定してくれたおかげで、わずか数分で根こそぎクリーンアップすることができました。

自動起動レジストリと設定情報の削除: Windows起動時に実行される偽の OneDriveSync キーを削除し、マルウェアの設定や識別IDが保存されていたレジストリツリー（OlympicProject、DesktopStreamClient）を完全に消去しました。
リード・ソロモン符号の4つの断片を同時に削除: %LOCALAPPDATA%\Microsoft\ にアクセスし、断片が隠されていた4つの場所（SyncServices、OneDriveStandalone、DeviceSync、および Terminal Server Client 内の隠しファイル）をすべて同時に削除して、自己復元の手段を完全に断ちました。
C:\ProgramData\ 内の7つの隠しフォルダの削除: 偽装された awindows.storage.dll が入ったランダムな7文字のフォルダをすべて削除し、260 MB 以上の空き容量を取り戻しました。
WindowsファイアウォールでC2サーバーのIPをブロック: 念のため、C2サーバーの2つのIPアドレスに対するアウトバウンド（送信）通信をファイアウォールで完全に遮断しました。

5. マルウェア検体 #2 (`Setup_Installer.exe`) の解析：さらに凶悪だったが、実行していなくて本当に良かった

1つ目の検体を駆除し終えた後、もう1つのRedditリンクからダウンロードしていた2つ目のパッケージ（Setup_Installer.exe）が手元に残っていることを思い出しました。幸い、このファイルはまだ一度も実行していませんでした。2つのリンクが同じ犯行グループによるものなのか気になった私は、引き続きAIとREAを使って Setup_Installer.exe を静的解析してみました。

その結果には再び冷や汗をかきました。こちらは1つ目とは全く異なる系統のマルウェアであり、システムへの破壊力は私が実行してしまった1つ目よりもはるかに凶悪だったのです。

このマルウェアの動作フローは以下の4ステップで構成されています。

5.1. 偽装の構造：解析を拒む3重の保護レイヤー

ウイルス対策ソフトの検知をすり抜け、エンジニアによるコード解析を防ぐため、Setup_Installer.exe には3重の保護が施されていました。

インストーラーの外装と21個のダミーファイル: 外見は通常のソフトウェアインストーラーとしてパッケージングされており、偽の自己署名証明書（NxxxIxxxxxxxxxx Technologies）が付与されていました。さらに同梱の Config/ フォルダには、中身が何万個もの空バイト（0x00）で埋められた21個の偽データベースファイルが入っており、ウイルス対策ソフトのスキャン時の不審度スコアを下げるおとりとして使われていました。
バックグラウンド展開とRAM上での復号: 実行されると、一時フォルダ（%TEMP%）にバックグラウンドアプリを密かに展開し、暗号化されたデータファイル（runtime5a13.dat）を読み込んで直接RAM上に展開します。
改ざん検知による自己防衛機能: 暗号化レイヤーの内部には、非常に厄介な自己防衛機構が組み込まれていました。実行前に自分自身のコードが書き換えられていないか、あるいは解析用の監視ツール（フック）が仕掛けられていないかを自らチェックします。もし1文字でも改ざんを検知すると、復号キーが自動的に狂い、内部のコードがすべて意味不明なゴミデータに変わる仕組みです。AIはこの整合性チェックを騙すための仮想環境を構築することで、マルウェア自身にコードを復号させ、内部の挙動をすべて暴き出しました。

5.2. 攻撃フロー：管理者権限を要求し、Windows Defenderを無効化して証拠を消す

もし誤ってこの Setup_Installer.exe を実行してしまった場合、わずか数秒のうちに以下の処理が実行されます。

管理者権限（UAC）の要求: 起動するとすぐにWindowsのUACダイアログを表示し、管理者権限（Run as Administrator）を要求します。ユーザー自身が Setup_Installer.exe（セットアップインストーラー）という名前のファイルを自分の意思で開いた直後であるため、ほとんどの人は疑うことなく 「はい（Yes）」 を押してしまいます。
PC全体のWindows Defenderを完全に無力化: 管理者権限を手に入れた瞬間、裏でPowerShellを実行し、Windows Defenderの除外設定を追加します。最も危険なのが以下の2行です。
defender_blindfold.ps1
```
Add-MpPreference -ExclusionExtension '.exe' -ErrorAction SilentlyContinue;
Add-MpPreference -ExclusionExtension '.tmp' -ErrorAction SilentlyContinue;
```
これは、PC内のすべての .exe ファイルと .tmp ファイルをWindows Defenderのスキャン対象から除外するという命令です。この瞬間から、Windows標準のウイルス対策機能は完全に目隠しされた状態になります。
最終段階のマルウェアをダウンロードして隠密実行: Windows Defenderが無力化された状態で、C2サーバーから本命のマルウェア（payload.exe）を一時フォルダにダウンロードし、Windows標準のシステムツールを悪用してバックグラウンドで起動します。
画面キャプチャの送信と自己削除による証拠隠滅: 最後に、PCの画面全体のスクリーンショットを撮影してIPアドレスとともにC2サーバーへ送信し、一時フォルダ内のインストーラー一式を自ら削除するスクリプトを実行して消え去ります。画面を見ているユーザーには「何も起きなかった（インストーラーがエラーで落ちた）」ようにしか見えず、裏で感染が完了したことに気づけません。

5.3. 2つのマルウェア検体の比較

比較項目	検体 #1: `CxxCxx pro activator.exe` (実行してしまったもの)	検体 #2: `Setup_Installer.exe` (実行しなかったもの)
主な目的	画面の遠隔監視・操作およびアカウント情報の窃取（WebRTC RAT）	ウイルス対策ソフトの無効化と最終マルウェアの投下
検知回避の手口	本物の署名付き `.exe` の悪用 + 28個の正規 `.dll` ファイル	偽の証明書 + 21個のダミーファイル + 3重の暗号化
実行時の権限	一般ユーザー権限で動作（UACダイアログを出さない）	起動直後に管理者権限（UAC）を要求
Windows Defenderへの干渉	設定は変更せず、RAM上での実行とファイル分割で回避	直接無力化: すべての `.exe` と `.tmp` をスキャン除外に設定
潜伏・永続化の仕組み	4つのデータ断片に分割し `Microsoft` フォルダ配下に潜伏（自動復元）	一時フォルダにペイロードを投下後、インストーラー自身を完全削除

6. 不幸中の幸い：なぜ私のパスワードとデータは守られたのか？

マルウェアを完全に駆除した後も、一番気がかりだったのは*「1つ目のマルウェアが裏で動いていた間に、ブラウザのパスワードやCookieはすでに抜かれてしまったのではないか？」*という点でした。AIとREAを使ってシステムログを詳しく調査した結果、3つの幸運が重なり、私のデータは安全に守られていたことが確認できました。

最新ブラウザの v20 暗号化（App-Bound Encryption）による保護: 新しくセットアップした私の環境では、ブラウザのCookieやパスワードがすべてChromiumの最新規格である v20 で暗号化されていました。この規格では復号権限がシステムレベル（SYSTEM）に強く紐付けられています。1つ目のマルウェアは怪しまれないようUACを出さずに一般ユーザー権限で動いていたため、この v20 データを自力で復号することができませんでした。
Windowsの実行履歴（Prefetch）によりブラウザ未アクセスを確認: Windowsカーネルが記録しているファイルアクセス履歴を照合した結果、マルウェアのプロセスはどのブラウザのフォルダにも一度もアクセスしておらず、ブラウザの復号用サービス（elevation_service.exe）も一切呼び出されていませんでした。
ローカルブラウザ「Cốc Cốc」を使っていたことによる思わぬ幸運: 私のPCではChromeやEdgeにはパスワードを一切保存しておらず、すべて Cốc Cốc というブラウザに保存していました。Cốc Cốcはベトナム国内では非常に広く使われている定番ブラウザですが、世界全体のシェアでは当然Chromeには及びません。それが思わぬ幸いとなりました。海外で作られたこのマルウェアの内部にハードコードされていた「標的ブラウザ18種」のリストに、Cốc Cốcのパスが全く含まれていなかったのです。さらに、攻撃者のC2サーバー側で追加のパスワード窃取モジュールを配信するURLがその時点で 404 エラーになっていたことも重なり、私のアカウント情報は完全に無傷でした。

振り返ってゾッとしたこと:
もしあの日、2つ目のファイル（Setup_Installer.exe）を先に実行してUACダイアログで「はい」を押していたら、管理者権限を奪われた上でWindows Defenderも無効化されていたため、ブラウザの v20 保護すら突破されていた可能性が極めて高かったと思います。

7. 今回の件から得た教訓と対策

今回の冷や汗ものの体験から、皆さんにもぜひ気をつけていただきたい4つのポイントをまとめます。

Google、Reddit、GitHub上の「Crack / Activator」は絶対に信用しない: 最近のマルウェア配布の手口は非常に巧妙です。SEO対策でGoogle検索の1ページ目に表示させ、サクラのアカウントで「動いた！」とコメントを書き込み、投稿日時を常に最新に更新し、さらには JavaScript 98% と表示される偽のリポジトリやパスワード付き圧縮ファイル（.rar / .zip）を使ってウイルススキャンをすり抜けてきます。
OSやソフトウェアは常に最新バージョンにアップデートしておく: アップデートには極めて重要なセキュリティパッチが含まれています。例えば最近も PHP で非常に危険な脆弱性が発見され、古いバージョンは軒並みリモートから権限を奪われる危険に晒されましたが、新しいバージョンではすでに修正されていました。私のPCでも、ブラウザを最新の状態にしていたおかげで v20 暗号化 が有効になっており、Cookieやパスワードの流出を防ぐことができました。
UACの許可とパスワード管理の習慣を見直す:
- 実行元の信頼性が100%確認できないファイルで UAC（管理者として実行） の画面が出た場合は、惰性で「はい」を押さないようにしてください。
- 重要なパスワードはブラウザに直接保存せず、専用のパスワードマネージャーと二要素認証（2FA / パスキー）を併用することをおすすめします。
- ダウンロードしたファイルを削除したり普通にアンインストールしたりしても、マルウェアが消えたとは限らない（すでに分割されてシステムフォルダに潜んでいる可能性がある）という点に注意してください。
過去に怪しいファイルを実行した心当たりがある場合はPowerShellで確認する:
もし過去に怪しいファイルをクリックして「何も画面が出なかった」という経験がある方は、PowerShell を開いて以下のスクリプトを実行してみてください。Windows Defenderに不審な除外設定が追加されていないか、今回の2つのマルウェアの痕跡がないかを簡単にチェックできます。

security_health_check.ps1

# 1. Windows Defenderに不審な除外設定（.exe, .tmp, 見知らぬフォルダなど）が追加されていないか確認
Write-Host "=== 1. WINDOWS DEFENDER 除外設定の確認 ===" -ForegroundColor Cyan
Get-MpPreference | Select-Object ExclusionPath, ExclusionExtension, ExclusionProcess | Format-List

# 2. 現在のユーザーのレジストリ自動起動設定（Run）を確認
Write-Host "=== 2. レジストリ自動起動 (HKCU) の確認 ===" -ForegroundColor Cyan
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run"

# 3. Olympic RATの痕跡（4分割ファイルおよびレジストリキー）を確認
Write-Host "=== 3. APPDATA内の隠しマルウェア痕跡の確認 ===" -ForegroundColor Cyan
$suspiciousPaths = @(
    "$env:LOCALAPPDATA\Microsoft\SyncServices",
    "$env:LOCALAPPDATA\Microsoft\OneDriveStandalone",
    "$env:LOCALAPPDATA\Microsoft\DeviceSync",
    "$env:LOCALAPPDATA\Microsoft\Terminal Server Client\state.bin",
    "$env:LOCALAPPDATA\Temp\Local\bin",
    "HKCU:\Software\OlympicProject"
)
foreach ($p in $suspiciousPaths) {
    if (Test-Path $p) {
        Write-Host "[警告] 不審なパスが検出されました: $p" -ForegroundColor Red
    }
}

# 4. C:\ProgramData 内に awindows.storage.dll を含むランダムな7文字のフォルダがないか検索
Get-ChildItem -Path "C:\ProgramData" -Directory -ErrorAction SilentlyContinue |
    Where-Object { $_.Name -match "^[a-zA-Z]{7}$" -and (Test-Path "$($_.FullName)\awindows.storage.dll") } |
    ForEach-Object { Write-Host "[警告] 偽装DLLを含む隠しフォルダが検出されました: $($_.FullName)" -ForegroundColor Red }

8. おわりに

今回のトラブルを振り返ってみると、最悪の事態を免れることができた最大の要因は、最新のセキュリティ保護が適用された新しいPC環境と、AIおよびREA (reverse-engineer-anything) の強力な解析能力の組み合わせでした。

REAはソフトウェアをクラックしたり改造したりするためのツールではありません。しかし、ホワイトハットな防御・調査の目的で活用すれば、エンジニアにとってこれほど心強い味方はありません。

マルウェア配布に使われている偽のソースコードリポジトリを即座に見抜く。
本物の電子署名を悪用したWindows Defenderの回避、RAM上でのステルス実行、Microsoft フォルダ配下への4分割潜伏と自動復元、さらには管理者権限を奪ってウイルス対策を無効化する手口まで、マルウェアの内部動作を正確に解き明かす。
具体的な証拠に基づいてシステム内のすべての痕跡を根こそぎ除去し、OSを再インストールすることなく、個人データの安全性を確実に検証する。

最近のマルウェアはますます巧妙になり、正規ファイルを装って潜伏し、削除されたと思っても自動で復元する仕組みを備えています。私のこの失敗談が、ネット上の無料ツールに対する注意喚起になるとともに、AIを活用して自分自身の環境を守るための参考になれば幸いです。

参考文献・使用ツール

静的解析・リバースエンジニアリングツール: morluto/rea (reverse-engineer-anything CLI & Agent Skills)
Chromiumブラウザのセキュリティ仕様: Improving the security of Chrome cookies on Windows (App-Bound Encryption v20)
MITRE ATT&CK 攻撃手法分類:

You get articles that match your needs
You can efficiently read back useful information
You can use dark theme

What you can do with signing up