PapelShip
今すぐ始めるログイン
外観

qPAnalyzer/AIによるランタイムの脅威検知

ブラックリストでは見えないリバースエンジニアリングツールを検知

qPAnalyzerは、エンドユーザーの端末でアプリケーションと並行して動作します。デバッガーや解析ツールを、見た目と動作によって認識します。名前を変えたものや独自のツールも対象で、すべてのスキャンを100点満点で採点します。

app.papelship.com · qPAnalyzer

動作環境

エンドユーザーの端末

検知対象

名前を変えたツールと独自ツール

必要条件

qPapel Auth v5.5以降

含まれるプラン

PapelShip+

操作の流れ

qPAnalyzerの動作を見る スキャン、フラグの付いたウィンドウ、ダッシュボードの結果を、短いツアーでご覧いただけます。

  • クライアントで検知

    解析は、リバースエンジニアリングが実際に行われる場所である、アプリケーションと並行して動作します。

  • サーバーで判断

    ライセンスとBANの判断はPapelShip上で行われ、次回のチェックで適用されます。

  • ひとつの場所で確認

    スキャン、証拠、フラグの付いたバイナリは、キーや売上と同じダッシュボードにまとまります。

ブラックリストの先へ

名前を変えるだけで、ブラックリストを回避できてしまいます

リストはプロセス名、ウィンドウタイトル、クラス名に一致させます。そのため、公開されているツールはほぼコストをかけずに止められますが、名前を変えたもの、非公開のもの、新しいものは見逃されます。qPAnalyzerは、ツールの名前ではなく、ツールそのものを見て判断します。

静的なブラックリストだけでは不十分な理由

DESKTOP-23X9F上のプロセス

PID 4812
イメージ名x64dbg.exenotes_helper.exe名前だけ変更され、ほかは同じ

プロセスのブラックリスト

名前、タイトル、クラスに一致

一致 · ブロック

qPAnalyzer

ツールの正体を判定

デバッガーを検出 · 92 / 100
UIレイアウトウィンドウハンドルメモリのシグネチャウィンドウのスクリーンショット
  • 名前を変えたツール

    名前だけで照合するリストは、名前しか分かりません。名前を変えられると、一致はなくなってしまいます。

  • 非公開のツール

    特定の対象のために書かれたユーティリティは、公開リストには一切掲載されません。

  • 新しいツール

    新しいリリースやフォークは、リストを維持するよりも速く現れます。

仕組み

名前ではなく、正体で認識。 環境チェック、ウィンドウの解析、スクリーンショットの確認を組み合わせて、100点満点のスコアに一つにまとめます。

名前を変えたツールや独自のツールをqPAnalyzerが検知する仕組み

スキャン · DESKTOP-23X9F

DemoApp · 定期チェック

スキャン中
  1. 01環境チェックデバッグフラグ、ハードウェアブレークポイント、ハイパーバイザー、カーネルデバッガー1件のシグナル
  2. 02プロセスとウィンドウ214のプロセス、19のウィンドウ1つのウィンドウが目立つ
  3. 03UIレイアウトのパターン既知の解析ツールと比較デバッガーに一致
  4. 04ウィンドウのスクリーンショット取得して確認済み解析ツール

リスクスコア

– / 100

04070100

証拠

ウィンドウの取得時にレポートへ添付

ウィンドウ

notes_helper.exe

デスクトップ

全画面キャプチャ

判定日時
AIビジュアルチェック
検出ツール
1
次に
証拠とともに記録され、このスコアに対するルールが適用されます。
  1. 01

    環境チェック

    ハイパーバイザーの兆候、ハードウェアブレークポイント、プロセスのデバッグフラグ、カーネルデバッガーの有無など、アンチデバッグとアンチ改ざんのチェック。

  2. 02

    プロセスとウィンドウ

    UIレイアウトのパターン、ウィンドウハンドル、メモリのシグネチャを使い、ファイル名に関係なくツールを認識します。

  3. 03

    スクリーンショット解析

    不審なウィンドウを取得し、そのインターフェースを確認します。メモリビュー、逆アセンブルのペイン、レジスタの一覧からツールの正体が分かります。

  4. 04

    リスクスコア

    シグナルを組み合わせて100点満点の調整済みスコアを算出するため、かすかな類似と明確な一致は区別して扱われます。

  5. 05

    お客様のルール

    検知結果は証拠とともに記録され、警告からBANまで、設定したアクションが適用されます。

スキャンレポート

すべての判定には、その証拠が付きます。

各スキャンはレポートになります。結果、100点満点のリスクスコア、判定した段階、検出されたツール、文章による評価が含まれ、取得したスクリーンショットも添付されます。

  • セッション内のすべてのスキャンを、最初のチェックから最新の再スキャンまで順にたどれます。
  • 前回のスキャンからの変更点を、プロセス数とウィンドウ数まで確認できます。
  • 詳細な分析を開いたり、選んだ言語でレポートを読んだりできます。
  • 証拠を保存するため、すべてのBANを確認し、説明することができます。

スキャンレポート · #1040

DESKTOP-23X9F

jdoe · DemoApp · 定期チェック · 2026年10月17日 14:20:41

このセッションの9件中、7件目のスキャンレポートの言語: English

結果

クリーン

リスクスコア

0 / 100

判定日時

AIビジュアルチェック

3,904 ms

検出ツール

0

評価

表示されているウィンドウはすべて一般的なアプリケーションです。Webブラウザ、チャットクライアント、音楽プレーヤー、エクスプローラーです。リバースエンジニアリングツールや不審なアクティビティは検出されませんでした。

変更点:定期の通常スキャン(198のプロセス、14のウィンドウ)

詳細な分析

証拠

デスクトップ

全画面キャプチャ

閉じる

セットアップ

リモート設定でオンにできます。 qPAnalyzerはqPapel Authのリモート設定の1つのステップなので、変更に新しいビルドが必要になることはありません。

DemoApp

リモート設定 · ステップ 7 / 8

QP Analyzer

各セッションをAIで検査し、リバースエンジニアリングの試みに対応します。

解析

解析機能が収集する情報と、実行頻度。

AIによる脅威解析

ライブのセッションテレメトリーを確認し、対応を判断します。

ウィンドウのスクリーンショット推奨

視覚的に確認するため、不審なツールのウィンドウを取得します。

デスクトップのスクリーンショット

脅威が見つかった場合、デスクトップ全体の取得を解析に加えます。

バックグラウンド再スキャン

セッションが開いている間、解析を繰り返します。

再スキャン間隔

60秒
キャンセル次へ

セッション · DESKTOP-23X9F

DemoApp · 60秒ごとに再スキャン

セッション中
0:001:002:003:004:005:00
  • 0:00定期クリーン

バックグラウンドの再スキャンは、セッションが開いている間も解析を繰り返します。そのため、セッションの途中で開かれたツールも検知されます。

対応

検知したものを採点し、その後の対応を決める。

すべてのシグナルは、100点満点のスコア一つに集約されます。コンソールでは40〜69点をフラグ、70点以上をブロックとして扱います。ルールによって、セッションに警告、制限、終了、BANのいずれを適用するかを決めます。

  • リスクエンジンで、警告、制限、終了、BANのしきい値を製品ごとに設定できます。
  • 遅延アクションモードでは、ランダムな遅延の後にペナルティを適用します。対応が検査と結び付いて見えないようにするためです。
  • BANはPapelShipのサーバーで判断され、次回のチェックで適用されます。配布するビルドは不要です。
  • 自動ルールは、条件を満たすたびに選んだアクションを実行します。

ポリシーの例 · DemoApp

リスクエンジン

スキャン 7

0クリーン

スキャン 8

48フラグ付き

スキャン 9

92ブロック

04070100
  • スコア40〜69log_only
  • スコア70以上close_app
  • 同じキーで繰り返しブロックban
遅延アクション待機中

マシン

端末全体を、マシンごとに1マスで表示。 スキャン結果が届くとマスが点灯し、各マシンの状態、リスク、スキャン履歴を保持します。

app.papelship.com · qPAnalyzer · マシン
  • 状態で絞り込み

    すべて、稼働中、フラグ付き、BAN済み、信頼済みで絞り込めます。各フィルターには件数が表示されます。

  • 任意のマシンを検索

    マシン名、ユーザー、HWID、IPで検索でき、最近のアクティビティ、リスク、名前で並べ替えできます。

  • 行の情報を読む

    製品、状態、最終スキャン、24時間のリスク、スキャン回数、マシンがアプリを開いた日時を確認できます。

Threat Vault

フラグの付いたバイナリをすべて、ファミリーごとに分類。 スキャンでツールにフラグが付くと、クライアントはハッシュ、インポート、ビルドパス、AIの判定とともに、そのツールをVaultにアップロードします。

app.papelship.com · qPAnalyzer · Threat Vault

シグネチャのナレッジベース

PapelShip全体でエンジンが学習したプロセスとウィンドウのシグネチャを、脅威またはクリーンとしてマークしたものです。確認済みの脅威は、ルールの段階05ですぐにブロックされます。

  • サンプルをカテゴリー、ファミリー、亜種ごとに分類。
  • すべてのサンプルから重大なものだけまで、リスクで絞り込み。
  • Not a threatで、誤検知をワンクリックで削除。

シグネチャのナレッジベース

PapelShip全体でエンジンが学習したプロセスとウィンドウのシグネチャ。確認済みの脅威は、ルールの段階05ですぐにブロックされます。

プロセス、ウィンドウ、ツールで検索
シグネチャ判定
逆アセンブル、レジスタ、メモリのペイン脅威
notes_helper.exe脅威
updater_x64.exe脅威
obs64.exeクリーン
値の検索とメモリ一覧脅威

誤検知

解析ツールには厳しく、それ以外には寛容に。 qPAnalyzerを製品ごとの対象ユーザーに合わせて調整し、お金を払っているお客様が疑われることのないようにします。

製品ごとのホワイトリスト

お客様が正当に使用しているツールを、特定の製品では安全としてマークできます。解析機能に、対象のユーザー層を伝える独自の指示も追加できます。

脅威ではない

無害と判明した検知結果は、ワンクリックでThreat Vaultから削除されます。

信頼済みデバイス

テスト用のPCなど、信頼できるマシンは、コンソール全体で信頼済みとしてマークされたままになります。

厳しくする前に確認

最初の数日間は、ログ記録のみのルールでqPAnalyzerを実行します。Threat Vaultを確認し、お客様が正当に使用しているものをホワイトリストに登録したうえで、初めて自動での終了やBANを有効にしてください。

qPapel Authの一部

保護スタックの1つのレイヤー。

ブラックリストは、今でもよく知られたツールをほぼコストをかけずに止めます。qPapel Authは、誰がどの端末でソフトウェアを実行できるかを、引き続き判断します。qPAnalyzerは、どちらにも見えないものを監視します。

qPapel Authを詳しく見る
  1. 01静的ブラックリスト既知のプロセス名、ウィンドウタイトル、クラスx64dbg.exe名前でブロック
  2. 02挙動チェックデバッガー、仮想マシン、改変されたコードパッチ適用済みのビルド整合性チェックに失敗
  3. 03qPAnalyzer名前を変えたツール、非公開のツール、新しいツールを採点notes_helper.exeデバッガーのUI · 92 / 100
  4. 04サーバー側の判定BANは次回のチェックで全体に適用PAPEL-N1XY-55JQキーとデバイスをBAN

導入

5つのステップで本番運用へ。 まずは観察から始め、その後、スコアに基づいて対応を決めます。

  1. 01

    ライブラリを更新

    qPapel Auth v5.5以降を使用してください。Exampleプロジェクトの最新のLibとIncludeファイル、およびDownloadsからのqPapelAuth64.dllを使用します。

  2. 02

    有効にする

    製品のリモート設定で、QP Analyzerのステップをオンにします。後から変更する場合も、新しいビルドは不要です。

  3. 03

    まずは観察

    閉じることもBANすることもなく検知結果を記録し、数日間はマシンとThreat Vaultを確認します。

  4. 04

    ホワイトリストを調整

    お客様が使う正当なツールを、その特徴を説明する独自の指示とともに追加します。

  5. 05

    アクションをオンにする

    しきい値を設定し、遅延アクションを有効にして、フラグの付いたマシンを定期的に確認します。

料金

PapelShip+に含まれています。

qPAnalyzerはPapelShip+プランに含まれています。スキャンはAI残高から実コストで課金され、すべてのスキャンにウィンドウのスクリーンショット解析が含まれます。

PapelShip+

€14.99/ 月

高い上限とqPAnalyzerを含みます。

  • qPAnalyzer込み
  • 製品ごとに95,000キー
  • スタッフ750名、リセラー250名
  • 暗号資産とカード決済の手数料0%

AI残高 履歴

$14.87

残りスキャン数:約29,742回

残高を追加
  • 各スキャンの実コストで課金
  • すべてのスキャンでウィンドウのスクリーンショットを解析

よくある質問

ランタイムの検知と誤検知について、詳しくはヘルプセンターをご覧ください。

ヘルプセンターを見る

PapelShipが提供する、AIを活用したランタイムの脅威検知です。エンドユーザーの端末で、アプリケーションと並行して動作します。ブラックリストでは見逃される、名前を変えたツールや独自のツールを含め、デバッガーや解析ツールにフラグを付けます。PapelShip+に含まれています。

実行ファイルの名前には依存しません。UIレイアウトのパターン、ウィンドウハンドル、メモリのシグネチャを調べ、フラグの付いたウィンドウのスクリーンショットを解析します。詳しくはqPAnalyzerが名前を変えたツールや独自のツールを検知する仕組みをご覧ください。

そうならないように調整されています。製品ごとに、解析機能への独自の指示とともにツールをホワイトリストに登録できます。Threat Vaultでは、どの検知結果もNot a threatとマークでき、信頼できるマシンは信頼済みデバイスとして保持できます。

設定した場合のみです。すべてのシグナルは1つのスコアに集約され、警告からBANまで、各しきい値でどうなるかを選べます。遅延アクションモードでは、ランダムな遅延の後にペナルティが適用されます。

はい。各スキャンのレポートには、結果、リスクスコア、判定した段階、検出されたツール、文章による評価が表示され、取得したスクリーンショットが証拠として添付されます。フラグの付いたバイナリはThreat Vaultに保存されます。

アプリケーションが実行される環境に関するセキュリティシグナル、フラグの付いたウィンドウのスクリーンショット、リモート設定で有効にした場合はデスクトップのキャプチャ、そしてスキャンがフラグを付けたバイナリです。すべてダッシュボードに表示されます。

qPapel Auth v5.5以降と、最新のLib、Include、qPapelAuth64.dllです。その後、リモート設定でQP Analyzerのステップを有効にします。新しいビルドを配布することなく、いつでも変更できます。

PapelShip+(月額€14.99)に含まれています。スキャンはAI残高から実コストで課金され、すべてのスキャンにウィンドウのスクリーンショット解析が含まれます。全プランの比較は料金ページをご覧ください。