理Kotowary

マルウェア — 勝手に動く悪いプログラム

大人こども
初級中級上級

概要 — まず全体をつかむ

初級では種類・入口・防ぎ方を、中級では正確な区別・経路・多層防御を押さえました。上級では、感染したあとマルウェアがどう生き延び・隠れ・指令を受けるか、そしてそれを捕らえる検知技術がどう進化したかへ進みます。なぜ単一の対策では防げないのかが見えてきます。

アニメーション『マルウェアの種類と感染の入口』を開く
マルウェアの種類勝手に悪さをするプログラムの総称ウイルス他ファイルに寄生ワーム自己増殖して広がるトロイの木馬正規を装うランサムウェア暗号化して身代金スパイウェアこっそり情報収集感染の入口ここから入り込むメール添付不正サイトUSB偽アプリ入口を塞ぎ、更新とバックアップで備える

詳細 — 1段階ずつ追う

感染後に何をするか

マルウェアの本番は「実行された後」です。侵入した端末で生き残り、権限を広げ、身を隠し、外部とつながる——この4つの動きを押さえると、なぜ検知が難しいかが分かります。

  • 持続化（persistence）※1 — 再起動やログオフでも消えないよう、自動起動の登録・タスクの仕込み・設定への埋め込みで居座り続ける
  • 権限昇格（privilege escalation） — 最初は一般ユーザー権限でも、脆弱性や設定ミスを突いて管理者権限を奪い、できることを一気に広げる
  • 回避 — 中身を圧縮・暗号化して隠すパッカー※2、コードを変形して署名を変える難読化、そしてディスクに実体を残さない fileless※3（メモリ常駐）で検知をかわす
  • C2通信（指令サーバ）— 外部の指令サーバとつながり、追加の道具をダウンロードしたり、盗んだ情報を送り出したりする

登場人物メモ:

  • ※1 persistence（持続化）— 端末を再起動されても復活する仕込み。これがあると「消したつもり」でも生き返る
  • ※2 パッカー — 実行ファイルを圧縮・暗号化して中身を隠す道具。実行時に自分で展開するため、静的な署名照合をかわしやすい
  • ※3 fileless — ファイルとしてディスクに残らず、正規プロセスのメモリ上だけで動く形。ファイル走査の前提を崩す
やさしく言うと（中級）

「増える」「装う」「金を取る」など、性質で区別すると混同しません。

  • ウイルス — 他のファイルに寄生し、それが実行されると増える
  • ワーム — 寄生せず自己増殖し、ネットワークを渡って自動で拡散
  • トロイの木馬 — 正規ソフトを装って忍び込む（自己増殖はしない）
  • ランサムウェア — データを暗号化し身代金を要求。近年は暗号化前にデータを盗み「払わなければ公開する」と脅す二重脅迫が主流（バックアップは復旧に効くが、情報の暴露は別に防ぐ必要がある）
  • スパイウェア／キーロガー — こっそり入力・画面などの情報を盗む
  • ボット — C2（指令サーバ）で遠隔操作され、攻撃の踏み台にされる

ランサムの「オペレーション」化

中級で触れた二重脅迫は、いまや組織的な攻撃オペレーションとして運用されています。

  • 二重脅迫の実務 — 暗号化する前にデータを盗み出し、「払わなければ暴露する」と脅す。専用のリークサイトで一部を公開して圧力をかける。さらにDDoSや取引先への連絡を重ねる三重脅迫もある
  • RaaS（Ransomware as a Service） — ランサム一式を開発者が提供し、アフィリエイト（実行役）が攻撃して身代金を分配する分業モデル。高い技術がなくても攻撃に参加でき、参入障壁が下がったことが被害拡大の一因

つまり相手は「一人の天才」ではなく「分業した組織」。だからバックアップだけでは足りず、そもそも盗ませない・広げさせない設計が要ります。

検知はこう進化した

守る側も、隠れる相手に合わせて検知の考え方を変えてきました。「既知のパターン照合」から「怪しい振る舞いの観察」へが大きな流れです。

  • シグネチャ（署名） — 既知マルウェアのパターンと照合する。速く確実だが、未知や変形（パッカー・難読化）には弱い
  • ヒューリスティック・振る舞い検知 — 「正規ツールが不自然に使われた」「短時間に大量ファイルを暗号化した」など、挙動の怪しさで判断する。fileless や未知にも届く
  • サンドボックス — 疑わしいファイルを隔離した環境で実際に動かして観察する。ただし「解析環境だと気づくと大人しくする」回避もあるため万能ではない
  • EDR — 端末の挙動を継続的に記録し、感染後でも「何が起きたか」を遡って追跡・封じ込める。侵入を前提に、早期発見と対応を担う
アニメーション『攻撃の段階』を開く
攻撃は段階を踏む左から右へ順に進む。どこか一段で検知・遮断できれば、被害を止められる。1偵察狙いを調べる・情報収集🛡 ここで止める公開情報を絞る不審なアクセスを監視2初期侵入フィッシング・脆弱性で入り込む🛡 ここで止めるパッチメール対策多要素認証3権限昇格・横展開内部で広がり・強い権限を奪う🛡 ここで止める最小権限内部の分離・監視4目的遂行情報窃取・暗号化・破壊🛡 ここで止めるバックアップ持ち出し検知即対応一撃ではなく順に進む。各段で止める＝多層防御。
やさしく言うと（中級）
  • パッチ管理 — OS・アプリを最新に保ち、既知の穴を塞ぎ続ける
  • EDR・振る舞い検知 — 署名で捕れない未知の動きを、挙動から検知・隔離
  • 最小権限 — 感染しても被害が広がりにくいよう権限を絞る
  • オフラインバックアップ — ランサムの切り札。切り離して保管し復元できる状態にする

なぜ単一対策では防げないか

  • 入口の署名だけでは漏れる — fileless・未知・living-off-the-landは署名をすり抜ける。だから振る舞い検知やEDRを重ねる
  • 感染は前提に置く — 「入れない」だけでなく「入られても広げさせない・早く気づく」。最小権限で権限昇格の実りを減らし、内部の監視で横展開を捉える
  • バックアップは切り離す — 二重脅迫では暗号化がオンライン同期先にも波及し得る。オフライン保管でこそ復旧の切り札になる（ただし暴露は別に防ぐ必要がある）
  • 攻撃全体の段取りは 代表的な攻撃手法、侵入の入口は 不正アクセス・侵入、検知と攻撃の変遷は 攻撃と防御の歴史 で深めるとつながる
やさしく言うと（中級）
  • 区別の混同に注意 — ワームとウイルス、トロイの木馬は増え方・入り方が違う
  • 払っても戻る保証はない — ランサムは備え（バックアップ）が最重要
  • 気づきにくい — スパイ型・ボットは静かに潜み、加害側の踏み台にされることも
  • オンライン同期だけでは不十分 — 暗号化がバックアップにも波及し得るため、オフライン保管が要る

関連する知識

理解度チェック

そのまま解けます（成績は保存されません）。無料アカウントを作ると、学習の記録と進捗の山登りが始まります。

問1. マルウェアが外部の指令サーバとつながり、追加ツールの取得や盗んだ情報の送信を行う通信を、英数字2文字で何と呼ぶか。

問2. ランサムウェアが「開発者が道具を提供し、実行役が攻撃して身代金を分配する」形で分業・サービス化した仕組みを指すのは？

問3. ディスクにファイルを残さず、正規プロセスのメモリ上だけで活動して従来のファイル走査型の検知を逃れる性質を指すのは？

問4. 「再起動やログオフをしても消えず、自動起動の登録やタスクの仕込みで居座り続ける」動きを指すのは？

問5. 実行ファイルを圧縮・暗号化して中身を隠し、実行時に自分で展開することで静的な署名照合をかわす道具は？

問6. シグネチャ（署名）型検知の弱点として正しいのは？

問7. 感染を前提に、端末の挙動を継続的に記録し、感染後でも「何が起きたか」を遡って追跡・封じ込めるのは？

問8. 疑わしいファイルを隔離した環境で実際に動かして観察する検知手法をカタカナで何と呼ぶか。