変更要約: 初版
1.3マルウェアと不正プログラム
自己増殖するワームや遠隔操作されるボット（ボットネット・C&Cサーバ・コネクトバック通信）、身代金要求型のランサムウェア、情報を盗み出すスパイウェア・キーロガー、管理者権限を隠蔽するルートキット、常時侵入経路を確保するバックドア、ディスクに実体を残さないファイルレスマルウェア、検知回避のためのポリモーフィック型・メタモーフィック型を学び、観測された挙動からマルウェア種別を診断し封じ込め策を選ぶ判断力を養います。
CSIRTのメンバーがマルウェア感染の疑いがある端末に対応するとき、最初に行うべきは観測された挙動（症状）からマルウェアの種別を診断することです。種別を誤ると封じ込め策も誤ります——ネットワーク越しに他端末へ拡散している症状に対してファイル削除だけで対処しても、感染は止まりません。この節ではマルウェアの類型を挙動の特徴と対応する封じ込め策とセットで学びます。
1.3.1ワームとボット
- ワーム＝他のプログラムに寄生せず単体で自己増殖し、ネットワークを通じて他の端末に自ら感染を広げるマルウェア。感染端末を隔離（ネットワーク遮断）しないと拡散が止まらない点が対応上の要点。
- ボット＝感染端末を外部の攻撃者が遠隔操作できる状態にするマルウェア。多数のボット感染端末で構成されるボットネットは、攻撃者がC&Cサーバ（Command and Controlサーバ）を通じて一斉に命令を送り、DDoS攻撃やスパム送信などに悪用する。
- コネクトバック通信＝ボット感染端末が、社内ファイアウォールの内側から外部のC&Cサーバへ自発的に接続を開始する通信方式。ファイアウォールは通常、外部から内部への接続を厳しく制限するが、内部から外部への通信は許可されがちであるため、この非対称性を悪用して検知を回避する。
1.3.2ランサムウェアとスパイウェア・キーロガー
- ランサムウェア＝感染端末やサーバ上のファイルを暗号化し、復号と引き換えに身代金を要求するマルウェア。可用性の侵害が主眼で、対策の核はオフラインまたはイミュータブルな（改変不能な）バックアップの確保。
- スパイウェア＝利用者に気づかれずに個人情報や行動履歴を収集し外部へ送信するマルウェア。キーロガーは入力されたキーストロークを記録するスパイウェアの一種で、パスワードやクレジットカード番号の盗取に使われる。
「ワーム=単体で自己増殖し拡散」「ボット=C&Cサーバから遠隔操作」「ランサムウェア=暗号化して身代金要求（可用性の侵害）」の対比が最頻出です。コネクトバック通信は「内部から外部への接続」という非対称性の悪用である点、ファイアウォールのルール設計の落とし穴として押さえましょう。
1.3.3ルートキット・バックドア・ファイルレスマルウェア・変異型
- ルートキット＝管理者権限（root権限）を奪取した攻撃者が、自身の侵入痕跡（プロセス・ファイル・通信）をOSレベルで隠蔽するためのツール一式。通常のコマンドやツールでの調査では侵入が発覚しにくく、専用の検知ツールやOS再インストールが必要になることが多い。
- バックドア＝攻撃者が正規の認証を経ずに再侵入できるよう仕込む裏口。マルウェア感染時に埋め込まれることが多く、駆除後もバックドアが残っていれば再侵入を許すため、駆除の際は侵入経路とバックドアの有無を必ず確認する。
- ファイルレスマルウェア＝実行ファイルをディスクに保存せず、OS標準のスクリプト機能やメモリ上でのみ動作するマルウェア。ファイルスキャン型のアンチウイルスでは検知しにくく、メモリ解析やビヘイビア（振る舞い）検知が有効な対策になる。
- ポリモーフィック型＝感染のたびに暗号化やコードの見た目を変化させ、シグネチャ（パターン）検知を回避するマルウェア。メタモーフィック型はさらに進み、コードの構造自体を書き換えて機能を保ったまま外形を変化させるため、シグネチャ型検知だけでは対応しきれずビヘイビア検知やヒューリスティック検知の併用が必要になる。
あるCSIRTメンバーが、社内の複数端末で次の挙動を観測したとします。(1)ある端末がファイル共有プロトコル経由で他の端末へ次々と同一の実行ファイルをコピーし感染が拡大している、(2)別の端末が定期的に見慣れない外部IPへ通信を開始しているが、社内から接続を開始しており外部からの着信ではない、(3)さらに別の端末でファイル共有サーバ上の大量のファイルが同時期に暗号化され開けなくなっている。CSIRTメンバーはまず挙動から種別を診断します。(1)は他端末への自己増殖的拡散という挙動からワームと診断し、封じ込めはネットワーク隔離（当該セグメントの遮断）を最優先します。(2)は内部から外部への発信という非対称な通信パターンからボットのコネクトバック通信と診断し、通信先IPの遮断とC&Cサーバとの通信ログの保全（他の感染端末の洗い出し）を行います。(3)は大量ファイルの一斉暗号化という可用性侵害の症状からランサムウェアと診断し、直ちにファイル共有サーバをネットワークから切り離して暗号化の拡大を止め、オフラインバックアップからの復旧計画に移行します——身代金の支払いは推奨されません（支払っても復号される保証がなく、攻撃者への資金供給にもなるため）。もし仮に、通常のアンチウイルススキャンでは何も検知されないのに端末の異常な挙動が続く場合は、ファイルレスマルウェアやポリモーフィック型の可能性を疑い、メモリ解析やビヘイビア検知ツールに切り替えるという追加の判断が必要になります。このように、観測された挙動のパターンを起点にマルウェア種別を絞り込み、種別に応じた封じ込め策を選ぶことが、被害拡大を防ぐ実務対応の核です。
| 観測された挙動 | 診断される種別 | 優先される封じ込め策 |
|---|---|---|
| 他端末へ自己増殖的に拡散 | ワーム | 感染セグメントのネットワーク隔離 |
| 内部から外部IPへ定期的に発信 | ボット（コネクトバック通信） | 通信先の遮断・C&Cログの保全 |
| 大量ファイルが一斉に暗号化 | ランサムウェア | 即時ネットワーク遮断・オフラインバックアップ復旧 |
ひっかけ： 「ランサムウェアの被害を受けたら身代金を支払うのが最も確実な復旧策である」は誤りです——支払っても復号される保証はなく、攻撃者への資金供給という副作用もあるため、オフラインバックアップからの復旧が推奨されます。また「シグネチャ型検知があればポリモーフィック型マルウェアも確実に検知できる」も誤り＝ポリモーフィック型はシグネチャ（既知パターン）を変化させて回避するため、ビヘイビア検知やヒューリスティック検知との併用が必要です。
1.3.4この節のまとめ
- ワーム＝単体で自己増殖して拡散、ボット＝C&Cサーバから遠隔操作、コネクトバック通信＝内部発信の非対称性を悪用
- ランサムウェア＝暗号化して身代金要求（可用性侵害）。復旧はオフラインバックアップ、支払いは非推奨
- ルートキット＝侵入痕跡の隠蔽、ファイルレスマルウェア＝ディスクに残らずメモリ/スクリプトで動作、ポリモーフィック/メタモーフィック型＝シグネチャ検知を回避
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. CSIRTメンバーが、ある端末がファイル共有プロトコル経由で同一の実行ファイルを他の複数端末へ次々コピーしており感染が拡大している状況を確認した。この挙動から診断される種別と、最優先の封じ込め策の組み合わせとして最も適切なものはどれか。
Q2. ある端末が、社内ファイアウォールの内側から定期的に見慣れない外部IPアドレスへ自発的に通信を開始していることが判明した。外部からの着信は一切なく、常に内部からの発信のみで確立されている。この通信方式が悪用しているファイアウォール設計上の特徴として最も適切なものはどれか。
Q3. ある企業のファイル共有サーバで大量のファイルが同時期に暗号化され開けなくなり、攻撃者から復号と引き換えに金銭を要求するメッセージが表示された。この対応として最も適切なものはどれか。