LLMを用いたEDR解析で回避手法の発見を加速する手法についてSpecterOpsが報告

LLMを用いたEDR解析で回避手法の発見を加速する手法についてSpecterOpsが報告

SpecterOps – Jun 29, 2026

LLMをリバースエンジニアリング支援ツールとして利用し、EDR製品のローカル検知ロジックを解析・理解してEDR回避につながる実用的な知見を効率的に導き出す手法を、サイバーセキュリティ企業SpecterOpsが報告。Palo Alto Cortex XDRに対して行ったテストの結果を共有した。

SpecterOpsはアドバーサリー（攻撃者／敵対者）シミュレーションや検出エンジニアリング、脅威情報を基にしたサイバー防御などを専門とするサイバーセキュリティ企業。同社の上級オフェンシブセキュリティエンジニアであるAdam Chester氏は長年にわたりEDRやウイルス対策（AV）エンジンの分解やデバッグに取り組んできた人物で、カーネルデバッグ機能を有効にした仮想マシンを使ってさまざまな回避手法を探し出すことを楽しんできた反面、地道で時間のかかる作業に苛立ちを覚えることもあったと述べている。しかしAIが進化する中でリバースエンジニアリング作業を推進する能力を備えたLLMが登場したことを受け、LLMで回避手法特定のためのプロセスを加速させられるか試してみようと思い至ったという。

Day Shiftハーネスの構築

この試みを始める上で、Chester氏はまず、「Day Shift」と名付けられたシンプルな解析基盤を構築。本質的には「Ralph Wiggumループ」だと説明されるDay Shiftは、以下の要素で構成されている。

• GPT-5.5-Cyber：リバースエンジニアリングやマルウェア解析向けに最適化されたLLMで、解析結果の推論やコード生成を担当する。
• Codex CLI：LLMがコマンド実行やファイル操作を行うためのCLIインターフェースで、解析作業を自動実行する。
• Binary Ninja（MCP経由）：バイナリ解析ツール。MCP（Model Context Protocol）を介してLLMから逆アセンブル結果や関数情報にアクセスできるようにする。
• Docker：Codex CLIや解析環境をコンテナ化し、再現性の高い隔離された実行環境を提供する。
• Bashの無限ループ：LLMを繰り返し起動し、前回までの解析結果を引き継ぎながら長時間の解析を継続するための仕組み。

Chester氏はまた、Day Shiftハーネスの中核は、いくつかのMarkdownファイルで構成されていると説明した。

• REPORT.md：実行中のエージェントが、人間が確認すべき重要な発見を記録するためのMarkdownファイル。
• STATE.md：各エージェントが、解析中に発生した重要な出来事や現在の進捗状況を記録するための状態管理用ファイル。
• CODEMAP.md：解析対象の逆アセンブルコードのうち、重要または興味深い箇所への参照を保存するためのファイル。後続の解析ではこの情報を利用することで、同じ箇所を何度も探し直す必要がなくなり、解析を効率化できる。
• AGENTS.md：上記のファイルをどのように利用すべきかをLLMへ指示するためのガイドラインを記述したファイル。

その後Chester氏は、テスト対象のPalo Alto Cortex XDRと実行をトリガーするBashスクリプトを上記の実行環境に追加して前準備を整えた。

ユーザーモードDLLの解析

すると、LLMは最初にCortex XDRが各プロセスへ挿入するDLL（cyinjct.dll）を特定。どのAPIへフックしているか、初期化処理、プロセス監視方法、ドライバーとの通信などについて報告したほか、クリーンなntdllへの再マッピングやDirect System Call、マニュアルマッピングなどがバイパスポイントになる旨を伝えたという。

YARAルールの解析

続いてLLMは、ローカルに保存されているYARAルールを発見し、それらの保存場所やAESによる暗号化、復号方法を解析。またPythonコードを自動生成し、暗号化されたルール群を復号して数千件のYARAルールを抽出したとされる。なおChester氏はこの出力結果を鵜呑みにはせず、抽出したルールに一致する文字列を実行ファイルへ追加して実際に検知されるか確認するという形で裏付けを取ったと述べている。

振る舞い検知ルールの解析

さらにLLMは、静的なYARAルールだけでなく、振る舞い検知ルールを解析することにも成功。約9,350件のDSEルールと約4,209件のBIOCルールが存在することを突き止めたほか、Child ProcessルールやpasswordStealingルールなどについても報告したとされる。これについても、Chester氏は実際にコマンドライン引数を調整してChild Process検知が発生することを確認する形で、解析結果の検証を行っている。

ローカルMLモデルの解析

またChester氏は、LLMがEDR製品に使われるほかのML（機械学習）モデルの抽出に非常に長けている点も実証。テストにおいて同氏のLLMはCortex XDRにおけるモデルの保存場所やモデルの読み込み方法、また判定方式を特定し、Cortex XDRのローカルモデルがニューラルネットワークではなく決定木アンサンブルであることを突き止めたと記した。LLMはまた、抽出された7つのMLモデルについて、DLLを利用してこれらのモデルへ入力しスコアを取得するWindows用ハーネスも自動生成できたという。

CLIPSで書かれた検知ルールの解析

今回のEDR分析においてChester氏が最も高く評価しているのが、CLIPS言語で書かれた振る舞い検知ルールの一部が特定・解析された点。CLIPSはNASAが1980年代に開発した言語・実行環境で、Chester氏がこの言語を見たのは今回の調査時が初めてだったという。同氏のLLMは、暗号化された.clpファイルの暗号化方式や鍵導出方法などを解析し、これらのファイルを平文へ復号。「reg save HKLM\SAMが実行されたら検知する」など、大量の検知ルールを取得することに成功したとされる。また、ルール内には許可リストも存在しており、Chester氏は許可されたパスを指定すると検知を回避できることも実際に確認している。

LLMによるEDR回避シミュレーション

Chester氏は最後に、LLMが解析によって特定したEDRの検知ルールやモデルを利用し、それらを模倣した模擬EDRとC2フレームワークを組み合わせた仮想環境を構築。LLMが検知の再現や回避策の提案をどこまで行えるかをシミュレーションした。具体的には、「Upside Down」という模擬C2フレームワークを用意し、その中で以下2つのサブエージェントを動作させたという。

• EMULATE-WINDOWS：Windows環境を模倣するエージェント。コマンド実行やAPI呼び出しを再現する。
• EMULATE-EDR：EDRを模倣するエージェント。事前にLLMが抽出・解析したEDRのルールやモデルを参照し、その操作が検知対象かどうかを判定する。

この模擬環境の中でChester氏は、「このコマンドは検知されるか」「回避方法は何か」などをLLMに推論させた。同氏は具体例として、「reg save HKLM\SAM」というコマンドを入力した際のスクリーンショットを共有。これによれば、模擬EDRは検知を再現し、許可リストを利用した回避案まで提示することができたとされる。

LLMによるEDR解析と回避支援が現実味を帯びるように

Chester氏は今回の調査結果を受けて、LLMによるEDR解析と回避支援は、もはや理論上の話ではなく現実のものになりつつあると指摘。このようなLLMの能力は、エンドポイントセキュリティのルールが大量に流出する事態や、オフェンシブ・セキュリティツールに回避手法が組み込まれる事態を招くことになる可能性があるとの見解を示した。

一方で同氏は、それでもEDRの価値が失われるわけではないとも述べ、ホスト上での検知で得られる情報だけでなく、ホストから絶えずテレメトリデータが送信され、リモートで分析されている点もメリットになると評価。ただし、EDR単体に依存せず、予防策や他のセキュリティ対策と組み合わせた多層防御が不可欠であるという従来からの原則は変わらないと締め括っている。