ファイル名がないと検知しにくくなるのですか？

A. 従来の監視では捉えにくくなる可能性があります。

今回公表された手法では、Linuxの仕組みを組み合わせ、実ディスクを使いながら名前を持たない実行ファイルを作成します。ファイル名がないため、通常のコマンドでは見えず、標準的なファイル監視でも作成時の動きを捉えにくくなります。さらに、ファイルの場所を示すパスを使わず、ファイルの実体から直接プログラムを実行します。実行中も一時ファイルを削除した場合と似た表示になるため、攻撃による動作か正常な挙動かを区別しにくい点も特徴です。

また、従来よく使われてきた「memfd_create」とは異なる仕組みを使うため、これに特化した既存の検知ルールでは捉えにくくなります。

こうした点から、ファイル名や特定の処理だけに頼った検知ルールの見直しが必要と言えます。

---

👉 詳細のブログはこちら

「ファイル名が存在しない」実行ファイル：memfd_create 検知を突破する新たな脅威 https://constella-sec.jp/blog/hobokomo-securitynews/tips-1280/