JSをCへ変換する「porffor」がアルファ到達、マルウェア解析回避への転用に注意

JavaScriptを事前コンパイルしてC言語に変換するオープンソースプロジェクト「porffor」が、ついにアルファ版に到達したと発表された。作者のOliver Medhurst氏によれば、Node.jsやブラウザのV8エンジンを介さず、JSコードをそのままネイティブバイナリやWebAssemblyへ変換できるという。目的は起動の高速化と実行ファイルの軽量化で、IoTやエッジ環境での活用が見込まれている。

「読めないJS」が生まれる構造 #

これまでJSマルウェアの解析は、テキストとして読める難読化コードを剥がし、文字列やAST(構文木)のパターンから悪性コードを識別する手法が主流だった。EDRやAV(アンチウイルス)のシグネチャも「JSはテキストである」という前提の上に組まれてきた。porfforのようなツールでJSがネイティブバイナリへ変換されると、この前提が崩れる。逆コンパイルしない限り元のロジックを読み解けなくなり、静的解析ベースの検知網をすり抜けやすくなる。

Python悪用の前例が示す将来 #

同じ構図は既にPythonで先行している。PyInstallerやNuitkaでコンパイルされたPython製マルウェアは情報窃取ツールなどで急増し、セキュリティ各社が繰り返し警告を発してきた。porfforはまだアルファ版で攻撃観測例はないが、成熟すれば同様の「コンパイル済みマルウェア」ルートがJSにも開かれる可能性は高い。オープンソースで誰でも試せる点も、悪用のハードルを下げる要因になり得る。

防御側に求められる視点転換 #

対策の軸は、ファイル形式やシグネチャに依存しない挙動監視への移行だ。ネイティブバイナリ化されても、ネットワーク通信やレジストリ操作といった実行時の振る舞いは隠せない。開発ツールの進化を止める話ではなく、防御側が「読めないコードは動きで見る」体制を前倒しで整えておくべき局面と言える。