マルウェア

白瀬真琴

まずは代表的なマルウェアを確認していきます。
ただし、実際のマルウェアは、必ず一つの種類にきれいに分けられるわけではありません。

白瀬真琴

例えば「Emotet」という有名なマルウェアがあります。
Emotetはトロイの木馬に分類されますが、ワームのように感染を広げる機能や、感染したコンピュータを外部から操るボットのような特徴も持っています。

白瀬真琴

はい。
ですから、これから説明する種類は、必ずどれか一つだけに当てはめるものだとは考えないでください。
まずは、それぞれの名前と特徴を覚えるようにしましょう。

白瀬真琴

最初は、コンピュータウイルスです。
コンピュータウイルスは、ほかのプログラムやファイルなどに自分自身を付け加えて感染し、増殖するマルウェアです。

白瀬真琴

イメージとしてはそれで大丈夫です。
そして、感染したファイルが実行されることで、ウイルスも活動を始めます。

白瀬真琴

いいえ。必ずしも利用者が自分でファイルを開いたり、プログラムを実行したりするとは限りません。
感染したプログラムがOSの起動時などに自動的に実行されたり、ファイルを開く処理の中で感染したコードが実行されたりすることで、ウイルスが活動を始めることもあります。

白瀬真琴

そうですね。
大事なのは、「ウイルスは感染したファイルやプログラムが実行されることで活動する」という点です。
実行のきっかけが、必ずしも利用者の操作とは限りません。

白瀬真琴

コンピュータウイルスの一種に、マクロウイルスがあります。
WordやExcelなどには、決められた処理を自動化するマクロという機能があります。このマクロを悪用して感染するのがマクロウイルスです。

白瀬真琴

そうですね。
そのため、出所の分からない文書ファイルで、マクロを有効にするよう求められても、安易に有効にしないことが大切です。
WordやExcelでは、「コンテンツの有効化」など、マクロを有効にするための表示が出ることもありますが、出所の分からない文書では安易に操作しないでください。

白瀬真琴

もう一つ、ブートセクターウイルスも覚えておきましょう。
これは、ブートセクターやMBRなど、コンピュータの起動に使われる領域に感染するウイルスです。

白瀬真琴

Master Boot Recordの略です。
従来のコンピュータで、OSを起動するために使われていたディスク上の重要な情報だと思ってください。

白瀬真琴

そうですね。
そのため、感染している状態でコンピュータを起動すると、起動処理と一緒にウイルスが活動を始めることがあります。
また、再起動した場合でもウイルスが活動を始めることがあるので注意が必要です。

白瀬真琴

はい、そのとおりです。
特にブートセクターウイルスの感染が疑われる場合は、安易に再起動せず、まず管理者や担当者へ相談した方が安全です。

白瀬真琴

次はワームです。
ワームも自分自身を増やして感染を広げますが、コンピュータウイルスとは違って、ほかのプログラムやファイルに寄生する必要がありません。

白瀬真琴

はい。
ネットワークなどを利用して、自分自身をほかのコンピュータへ送り込んで感染を広げるものがあります。

白瀬真琴

そのため、短時間で大量のコンピュータへ感染が広がることがあります。
試験では、「ほかのプログラムに寄生せず、自己増殖を繰り返して感染を広げるマルウェア」といった形で出題されることもあります。

白瀬真琴

次はトロイの木馬です。
トロイの木馬は、有益なソフトウェアに見せかけて利用者のコンピュータに侵入し、悪意のある動作をするマルウェアです。
中には、本来の有益な機能も普通に利用できる一方で、裏では悪意のある動作を行うものもあります。

白瀬真琴

そうですね。いろいろなタイプがあるので、必ずこういう形とは言いにくいのですが、大きく分けると2種類の偽装の仕方があると思います。
例えば、有益なソフトウェアを装っているだけのタイプです。

白瀬真琴

はい。例えばWebサイトで「大人気の過去問アプリです」と言って配布されていて、それをダウンロードしてインストールしようとすると、いきなり悪意のある動作をするタイプのものです。

白瀬真琴

もう一つのパターンは、実際に過去問アプリとしての機能も果たしつつ、裏で悪意のある動作をしているタイプです。
こちらは本来の有益な機能も提供しているので、一見するとマルウェアに見えず、発見が難しいという厄介な特徴を持っています。

白瀬真琴

トロイの木馬の由来は……。

白瀬真琴

バロンくん、ストップです。

白瀬真琴

トロイの木馬の由来は、ほぼバロンくんが言ったとおりですね。
有益なものを装って内部に侵入し、内部で悪さをするのがトロイの木馬です。
なお、トロイの木馬は、コンピュータウイルスやワームのように、自分自身を増殖させることを特徴とするものではありません。

白瀬真琴

その整理で大丈夫です。

白瀬真琴

トロイの木馬と関連して、RATも覚えておきましょう。

白瀬真琴

RATと聞くと、英語のrat、つまりネズミを連想しますよね。
コンピュータの中に潜り込んで動き回る様子から、ネズミになぞらえて説明されることもあります。
ただし、用語としてのRATは、Remote Access Trojanなどの略です。
感染したコンピュータを外部から遠隔操作するために使われます。

白瀬真琴

はい。トロイの木馬は、英語ではTrojan horse、または短縮してTrojanと表記されます。
つまり、Remote Access Trojanは、遠隔操作型のトロイの木馬という意味です。
ただし、RATはRemote Access Toolの略として使われることもあるので、試験対策では「遠隔操作」という特徴を押さえておくのが重要です。
攻撃者が感染したコンピュータを操作したり、ファイルを盗んだり、ほかのマルウェアを実行したりするために使われます。

白瀬真琴

RATと似たところでは、ボットというマルウェアもあります。

白瀬真琴

そのボットとマルウェアのボットは別物です。
どちらも指示どおりに動作するロボットを語源にしていますが、バロンくんの言うボットは、レベルを上げたり、アイテムを収集したりといった処理を自動的に行うプログラムのことですね。
マルウェアのボットに感染したコンピュータは、攻撃者からの指示を受けて、さまざまな処理を実行させられます。
また、多数のボットに感染したコンピュータで構成されるネットワークを「ボットネット」といいます。

白瀬真琴

攻撃者はボットネットを構築し、多数のコンピュータを支配下に置きます。
そのボットネットを使って、大量のコンピュータから一斉にデータを送り付けるといった攻撃を行うことがあります。

白瀬真琴

そうですね。実際に一台一台へ指示を送るのは大変なので、ボットネットではC&Cサーバから指示を出す形で、多数の端末をまとめて操ることができます。

白瀬真琴

Command and Controlサーバのことで、ボットに感染したコンピュータに指示を出す、司令塔のようなサーバです。

白瀬真琴

そうですね。
ボット、ボットネット、C&Cサーバはセットで覚えておいてください。

白瀬真琴

次はスパイウェアです。
スパイウェアは、利用者に知られないように情報を収集するマルウェアです。

白瀬真琴

そうですね。
キーボードから入力された情報を記録して、外部へ送信するタイプもあります。

白瀬真琴

はい、そのとおりです。
このようにキーボードの入力を記録する仕組みを、キーロガーといいます。

白瀬真琴

そうですね。
キーロガーという仕組み自体は、正当な目的で利用される場合もあります。
ただし、利用者に無断でキー入力を記録して、外部へ送信するようなものは、スパイウェアなどのマルウェアとして扱われます。

白瀬真琴

アドウェアという言葉もあります。
AdはAdvertisement、つまり広告のことで、広告を表示するソフトウェアです。

白瀬真琴

そのとおりです。
広告を表示するソフトウェアすべてがマルウェアというわけではありません。
ただし、利用者が望まない広告を大量に表示したり、勝手に情報を収集したりするような悪質なアドウェアは、マルウェアとして扱われます。

白瀬真琴

次はルートキットです。
ルートキットは、システムに侵入したあと、侵入した痕跡を隠したり、再び侵入するためのバックドアを作ったりする機能などをまとめた、不正なプログラムやツールです。

白瀬真琴

はい。ルートキットもマルウェアに分類されます。
攻撃者が侵入したことを見つかりにくくして、その後も攻撃を続けやすくするために使われます。

白瀬真琴

今のルートキットの説明でも出てきましたが、最後に「バックドア」について確認しておきましょう。
Back Door、つまり「裏口」という意味です。

白瀬真琴

はい。
通常の認証などを通らずにシステムへ侵入できるよう、攻撃者が密かに作った入口だと考えてください。

白瀬真琴

そうですね。
ルートキットでは、このようなバックドアを作る機能と、侵入の痕跡を隠す機能などが組み合わされていることがあります。

白瀬真琴

ここでは、マルウェア対策ソフトがどうやってマルウェアを見つけているのかを学習します。

白瀬真琴

そうですね。
代表的な方法の一つが「パターンマッチング方式」です。
既に見つかっているマルウェアには、そのマルウェア特有のデータの特徴があります。
この特徴をパターンやシグネチャコードというのですが、この特徴を登録しておいて、検査するファイルと照合することでマルウェアを検出します。

白瀬真琴

そうなんです。
パターンマッチング方式は、まだ特徴が登録されていない新しいマルウェアを見つけにくいという弱点があります。

白瀬真琴

もう一つ、プログラムの動作を見て判断する「ビヘイビア方式」があります。

白瀬真琴

Behaviorは「挙動」という意味です。
ファイルの中身だけを見るのではなく、実行されたプログラムがどのような挙動をするかを監視します。

白瀬真琴

そうですね。
例えば、不自然に大量のファイルを書き換えたり、通常とは異なる怪しい動作をしたりすれば、マルウェアの可能性があると判断できます。

白瀬真琴

その可能性があります。
ただし、正常なプログラムでも似た動作をすることがありますので、正常なプログラムを誤ってマルウェアだと判断することもあります。

白瀬真琴

そのとおりです。

白瀬真琴

怪しいプログラムを調べる方法として、「サンドボックス」という言葉も覚えておきましょう。

白瀬真琴

Sandboxは砂場という意味です。
公園などで見かける砂場もサンドボックスですが、海外では砂遊びをするための砂を敷き詰めた箱のことをサンドボックスと呼んでいます。
子どもが砂遊びをしても砂が箱の外に散らばらない、つまり、ほかのシステムへ影響を与えにくい隔離された環境の中で、怪しいプログラムを動かして調べます。

白瀬真琴

そういうイメージです。
サンドボックス内で不審な動作をするかを確認することで、マルウェアの検出や分析に利用できます。

白瀬真琴

どれだけ対策をしていても、マルウェアに感染する可能性を完全になくすことはできません。
最後に、感染した場合の対応を確認しておきましょう。

白瀬真琴

その前に、まず被害が広がらないようにすることが重要です。
感染したパソコンをネットワークから切り離します。

白瀬真琴

はい。
マルウェアによっては、ネットワークを通じてほかのコンピュータへ感染を広げたり、外部へ情報を送信したりすることがあります。

白瀬真琴

はい、そのとおりです。

白瀬真琴

会社や学校などで使っているコンピュータであれば、利用者が自分の判断だけでいろいろ操作するのではなく、システム管理者や情報セキュリティの担当者へ連絡します。

白瀬真琴

組織の場合は、勝手に削除すると、原因を調べるために必要な情報まで失ってしまうことがあります。
まずネットワークから切り離して、決められた連絡先へ報告するのがよいですね。

白瀬真琴

はい。

白瀬真琴

一方、管理者側では、感染した端末を隔離した上で、どこまで被害が広がっているかを確認します。
その後、マルウェアの駆除、必要な調査、システムの復旧などを進めます。

白瀬真琴

そうですね。
ほかの端末にも感染していないか、情報が外部へ流出していないかなども確認する必要があります。

白瀬真琴

また、コンピュータウイルスの発見や感染については、IPAへ届出を行う制度もあります。
必要に応じて届出や情報提供を行うことで、同じような被害の拡大や再発防止にも役立てられます。

白瀬真琴

そういうことですね。