理Kotowary

マルウェア — 勝手に動く悪いプログラム

大人こども
初級中級上級

概要 — まず全体をつかむ

初級では「種類・入口・防ぎ方」を押さえました。中級では、種類の正確な区別・感染経路の広がり・検知と復旧の設計へ進みます。

アニメーション『マルウェアの種類と感染の入口』を開く
マルウェアの種類勝手に悪さをするプログラムの総称ウイルス他ファイルに寄生ワーム自己増殖して広がるトロイの木馬正規を装うランサムウェア暗号化して身代金スパイウェアこっそり情報収集感染の入口ここから入り込むメール添付不正サイトUSB偽アプリ入口を塞ぎ、更新とバックアップで備える

詳細 — 1段階ずつ追う

どんな種類がある？（正確に区別する）

「増える」「装う」「金を取る」など、性質で区別すると混同しません。

  • ウイルス — 他のファイルに寄生し、それが実行されると増える
  • ワーム — 寄生せず自己増殖し、ネットワークを渡って自動で拡散
  • トロイの木馬 — 正規ソフトを装って忍び込む（自己増殖はしない）
  • ランサムウェア — データを暗号化し身代金を要求。近年は暗号化前にデータを盗み「払わなければ公開する」と脅す二重脅迫が主流（バックアップは復旧に効くが、情報の暴露は別に防ぐ必要がある）
  • スパイウェア／キーロガー — こっそり入力・画面などの情報を盗む
  • ボット — C2（指令サーバ）で遠隔操作され、攻撃の踏み台にされる
この部分をもっと深く（上級）

マルウェアの本番は「実行された後」です。侵入した端末で生き残り、権限を広げ、身を隠し、外部とつながる——この4つの動きを押さえると、なぜ検知が難しいかが分かります。

  • 持続化（persistence）※1 — 再起動やログオフでも消えないよう、自動起動の登録・タスクの仕込み・設定への埋め込みで居座り続ける
  • 権限昇格（privilege escalation） — 最初は一般ユーザー権限でも、脆弱性や設定ミスを突いて管理者権限を奪い、できることを一気に広げる
  • 回避 — 中身を圧縮・暗号化して隠すパッカー※2、コードを変形して署名を変える難読化、そしてディスクに実体を残さない fileless※3（メモリ常駐）で検知をかわす
  • C2通信（指令サーバ）— 外部の指令サーバとつながり、追加の道具をダウンロードしたり、盗んだ情報を送り出したりする

登場人物メモ:

  • ※1 persistence（持続化）— 端末を再起動されても復活する仕込み。これがあると「消したつもり」でも生き返る
  • ※2 パッカー — 実行ファイルを圧縮・暗号化して中身を隠す道具。実行時に自分で展開するため、静的な署名照合をかわしやすい
  • ※3 fileless — ファイルとしてディスクに残らず、正規プロセスのメモリ上だけで動く形。ファイル走査の前提を崩す
やさしく言うと（初級）
  • ウイルス／ワーム — 増殖して広がる
  • トロイの木馬 — 便利なソフトを装って忍び込む
  • ランサムウェア — データを暗号化し、身代金を要求
  • スパイウェア／キーロガー — こっそり情報（入力・画面）を盗む
  • ボット — 乗っ取られ、攻撃の手先（踏み台）にされる

感染の入口（経路の広がり）

  1. メールの添付・リンク — 開かせて実行させる（標的型では業務を装う）
  2. ドライブバイダウンロード — 改ざんサイトを見ただけで脆弱性を突かれ感染
  3. USBなどの外部媒体 — 閉じた環境にも持ち込まれる
  4. サプライチェーン — 正規ソフトの更新や取引先経由で紛れ込む
やさしく言うと（初級）
  1. メールの添付・リンク — 開かせて実行させる
  2. 不正サイト・偽の広告 — アクセスだけで、または偽ソフトを入れさせる
  3. USBなどの外部媒体
  4. 偽・海賊版ソフト — 中に仕込まれている

防ぎ方（多層で構える）

  • パッチ管理 — OS・アプリを最新に保ち、既知の穴を塞ぎ続ける
  • EDR・振る舞い検知 — 署名で捕れない未知の動きを、挙動から検知・隔離
  • 最小権限 — 感染しても被害が広がりにくいよう権限を絞る
  • オフラインバックアップ — ランサムの切り札。切り離して保管し復元できる状態にする
この部分をもっと深く（上級）

守る側も、隠れる相手に合わせて検知の考え方を変えてきました。「既知のパターン照合」から「怪しい振る舞いの観察」へが大きな流れです。

  • シグネチャ（署名） — 既知マルウェアのパターンと照合する。速く確実だが、未知や変形（パッカー・難読化）には弱い
  • ヒューリスティック・振る舞い検知 — 「正規ツールが不自然に使われた」「短時間に大量ファイルを暗号化した」など、挙動の怪しさで判断する。fileless や未知にも届く
  • サンドボックス — 疑わしいファイルを隔離した環境で実際に動かして観察する。ただし「解析環境だと気づくと大人しくする」回避もあるため万能ではない
  • EDR — 端末の挙動を継続的に記録し、感染後でも「何が起きたか」を遡って追跡・封じ込める。侵入を前提に、早期発見と対応を担う
アニメーション『攻撃の段階』を開く
攻撃は段階を踏む左から右へ順に進む。どこか一段で検知・遮断できれば、被害を止められる。1偵察狙いを調べる・情報収集🛡 ここで止める公開情報を絞る不審なアクセスを監視2初期侵入フィッシング・脆弱性で入り込む🛡 ここで止めるパッチメール対策多要素認証3権限昇格・横展開内部で広がり・強い権限を奪う🛡 ここで止める最小権限内部の分離・監視4目的遂行情報窃取・暗号化・破壊🛡 ここで止めるバックアップ持ち出し検知即対応一撃ではなく順に進む。各段で止める＝多層防御。
やさしく言うと（初級）
  • 更新 — OS・アプリを最新に（既知の穴を塞ぐ）
  • 開かない — 不審な添付・リンク・ソフトを実行しない
  • 対策ソフト — 検知・隔離
  • バックアップ — ランサムウェアの切り札（戻せれば身代金は不要）

⚠️ 特に注意

  • 区別の混同に注意 — ワームとウイルス、トロイの木馬は増え方・入り方が違う
  • 払っても戻る保証はない — ランサムは備え（バックアップ）が最重要
  • 気づきにくい — スパイ型・ボットは静かに潜み、加害側の踏み台にされることも
  • オンライン同期だけでは不十分 — 暗号化がバックアップにも波及し得るため、オフライン保管が要る
この部分をもっと深く（上級）
  • 入口の署名だけでは漏れる — fileless・未知・living-off-the-landは署名をすり抜ける。だから振る舞い検知やEDRを重ねる
  • 感染は前提に置く — 「入れない」だけでなく「入られても広げさせない・早く気づく」。最小権限で権限昇格の実りを減らし、内部の監視で横展開を捉える
  • バックアップは切り離す — 二重脅迫では暗号化がオンライン同期先にも波及し得る。オフライン保管でこそ復旧の切り札になる（ただし暴露は別に防ぐ必要がある）
  • 攻撃全体の段取りは 代表的な攻撃手法、侵入の入口は 不正アクセス・侵入、検知と攻撃の変遷は 攻撃と防御の歴史 で深めるとつながる
やさしく言うと（初級）
  • ランサムウェア — 個人も企業も被害。払っても戻る保証はない。備え（バックアップ）が最重要
  • 気づきにくい — スパイ型は静かに潜む
  • 踏み台化 — 自分の被害だけでなく、加害側にされることも

関連する知識

理解度チェック

そのまま解けます（成績は保存されません）。無料アカウントを作ると、学習の記録と進捗の山登りが始まります。

問1. 攻撃者が乗っ取った端末に指令を送り、遠隔操作する仕組みを指すのは？

問2. 「自分自身をコピーしてネットワーク越しに自動で広がる」性質を最もよく表すのは？

問3. 「他のファイルに寄生し、それが実行されると増える」性質を持つのは？

問4. 「正規ソフトを装って忍び込むが、自己増殖はしない」のは？

問5. 近年のランサムウェアで主流の「二重脅迫」とは？

問6. 「改ざんされたサイトを見ただけで脆弱性を突かれて感染する」入口を指すのは？

問7. 感染しても被害が広がりにくいよう、利用者やプロセスに与える権限を必要最小限に絞る原則を何と呼ぶか。

問8. ランサムウェア対策の切り札として、暗号化の波及を避けるためネットワークから切り離して保管するバックアップをカタカナで何と呼ぶか。