Windowsレジストリを悪用する「Swarmer」、EDR検知回避を確認

レジストリ悪用によるセキュリティ検知回避の実態

新たに確認された攻撃ツール「Swarmer」は、Windowsレジストリを悪用することでセキュリティ監視を回避し、システム内で持続的に活動する手法を採用している。Swarmerは、従来のEDR（Endpoint Detection and Response）製品では検知が難しい挙動を示し、特に**WindowsのレガシーユーザープロファイルやOffline Registry Library（Offreg.dll）**を不正に利用する点が特徴とされる。

同ツールは、NTUSER.MANファイルを悪用して標的ユーザー環境における永続性を確保する。ユーザープロファイルディレクトリ内に細工されたNTUSER.MANファイルを配置することで、HKCUレジストリハイブ全体を置き換えることが可能となり、管理者の直接的な操作を伴わずに、ユーザー関連の特定設定を無効化したり、レジストリ構成を改変したりできる状態を作り出す。

Offreg.dllを利用したEDR回避の仕組み

Swarmerの攻撃手法の中核には、Offline Registry Library（Offreg.dll）を用いたEDR回避戦略がある。同ライブラリが提供する ORCreateHive や OROpenHive といった関数は、レジストリハイブをオフラインで操作するために設計されており、通常のランタイム監視の対象外で処理が行われる点が悪用されている。

この手法では、複雑なレジストリハイブ構成を扱いながらも、Process MonitorやETW（Event Tracing for Windows）による一般的な監視メカニズムでは挙動を把握しにくい。その結果、EDR製品が前提とするAPIフックやイベント収集をすり抜け、レジストリ改変が検知されないまま実行される可能性がある。

セキュリティ管理者への提言

Swarmerの挙動は、Windowsに残るレガシー機能がいかに巧妙に悪用され得るかを示す警告例といえる。セキュリティ管理者は、NTUSER.MANファイルが不審に生成・配置されていないかを定期的に確認するとともに、Offreg.dllの異常なロードや使用状況を可視化・検知できる体制を整える必要がある。

特に、企業環境で運用されているユーザープロファイル管理やログ監視の仕組みが、こうした挙動を見逃さないよう注意が求められる。これらの監視と予防策は、レジストリを悪用した持続的な侵入を早期に発見し、被害拡大を防ぐ上で重要な対策となる。