マルウェア

ルートキットるーときっと

マルウェア権限昇格ステルスバックドアカーネルフォレンジック

ルートキットについて教えて

簡単に言うとこんな感じ！

ルートキットは「侵入した泥棒が、家の防犯カメラやセンサーを全部無効化して、自分の存在を完全に隠してしまう」ようなマルウェアだよ。ウイルス対策ソフトにすら気づかれないように、OSの奥深くに潜り込んで「自分は見えない」状態を作り出すんだ！

ルートキットとは

ルートキット（Rootkit）とは、攻撃者がコンピューターに不正侵入した後、その痕跡を隠蔽しつつ継続的なアクセスを維持するために使う悪意のあるソフトウェアの集合体です。名前の由来は、UNIX系OSにおける最高権限ユーザー「root（ルート）」と、道具一式を意味する「kit（キット）」を組み合わせたもので、「root権限を維持・隠蔽するための道具セット」という意味を持ちます。

ルートキットの最大の特徴はステルス性にあります。一般的なウイルスやトロイの木馬が「感染してから発見される」のに対して、ルートキットはOSそのものやセキュリティソフトの監視機能を書き換え・乗っ取ることで、自身のプロセス・ファイル・通信を完全に隠蔽します。その結果、感染していても通常の方法では検知が非常に困難という危険な性質を持ちます。

実務上は、ルートキット単体が直接的な被害をもたらすというより、バックドア（裏口）の維持・隠蔽や、他のマルウェアを守るための「隠れ蓑」として機能することが多いです。企業のサーバーや重要システムに長期間潜伏し、情報を盗み続けるAPT攻撃（高度持続的脅威）の重要な構成要素として使われます。

ルートキットの種類と仕組み

ルートキットは「OSのどの層に潜り込むか」によっていくつかの種類に分類されます。深い層に入り込むほど除去が困難になります。

種類	潜伏する場所	特徴	除去難易度
ユーザーモードルートキット	アプリケーション層	OSのAPIを書き換えて自身を隠す。比較的検出しやすい	★★☆☆☆
カーネルモードルートキット	OS中核（カーネル）	OSのコア機能を改ざん。非常に強力でセキュリティソフトも騙される	★★★★☆
ブートキット（ブートローダー型）	MBR/UEFI（起動領域）	OSが起動する前に動く。OSを丸ごと乗っ取れる	★★★★★
ハイパーバイザー型	仮想化レイヤー	OS全体を仮想マシン上で動かし完全制御。Blue Pillなど	★★★★★
ファームウェア型	BIOS/HDDファームウェア	ハードウェア自体に潜伏。OSの再インストールでも除去不可	★★★★★

覚え方：「深く潜るほど手強い」

ルートキットは潜伏が深いほど除去が難しくなります。「海に潜るダイバー」で覚えましょう。

海面（アプリ層）    ← ユーザーモード：素潜りで届く
  ↓
浅瀬（OS層）       ← カーネル：スキューバが必要
  ↓
深海（起動層）      ← ブートキット：潜水艦が必要
  ↓
海底の岩（HW層）    ← ファームウェア：掘削しないと取れない

ルートキットが使う主なステルス技術

APIフッキング：OSの関数呼び出しを横取りして、ルートキット関連の情報を結果から除外する
DKOM（Direct Kernel Object Manipulation）：カーネル内部のプロセスリストなどを直接書き換えて自身を消す
タイムストンピング：ファイルの更新日時を偽装して、調査者の目をごまかす
ネットワーク隠蔽：自身の通信をパケットフィルタリングで非表示にする

歴史と背景

1990年前後：UNIX系システム向けに「管理者権限を奪取・維持するための管理ツールセット」として初期のルートキットが登場。当初は攻撃者が手動でインストールする「道具箱」だった
1994年：「Linux rootkit」がセキュリティコミュニティで広く認識される。lsやpsコマンドを偽物にすり替える手法が使われた
2000年代前半：Windows向けルートキットが急増。カーネルモードで動作する高度なものが登場し始める
2005年：ソニーBMGのCDにルートキット技術を用いたコピー防止ソフトが組み込まれていたことが発覚（ソニーBMGルートキット事件）。一般社会に「ルートキット」という言葉が広まる契機に
2007年頃：ブートキットが登場。MBR（マスターブートレコード）に感染し、OS起動前から活動するものが出現
2010年：イランの核施設を標的にしたStuxnetが発見される。高度なルートキット技術を組み込んだ国家レベルのサイバー兵器として衝撃を与えた
2010年代〜現在：ファームウェアやUEFIに感染する超高度なルートキットが国家支援型ハッカーに使われるようになり、企業のAPT対策の重要課題となっている

検出・対策・他のマルウェアとの比較

通常のウイルスとルートキットでは、性質も対策方法も大きく異なります。

ルートキットの主な検出・対策方法

感染したOSの中から検出しようとしても、OSそのものが改ざんされているため信頼できません。「外から・起動前に・別のOSで」確認するのが鉄則です。

対策手法	内容	特徴
専用スキャナーによるクロスビュー検査	正規OSのAPIと低レベルAPIの結果を比較し矛盾を検出	カーネル型ルートキットに有効
ライブCDからのスキャン	別のOSメディアから起動してスキャン	感染OSに依存しないため信頼性が高い
メモリフォレンジック	メモリダンプを解析してプロセス隠蔽などを検出	高度な技術が必要
UEFI/セキュアブート	正規の署名があるソフトウェアしか起動させない	ブートキット対策として有効
Trusted Platform Module（TPM）	起動プロセスの改ざんを検出するハードウェア機能	ファームウェア型対策に有効
EDR（Endpoint Detection and Response）	振る舞い検知で通常のウイルス対策ソフトを補完	最新のエンドポイント対策として普及中

⚠️ 発注・調達担当者が知っておくべき実務ポイント

「ウイルス対策ソフトを入れているから大丈夫」はルートキットには通用しない場合があります。特にサーバーや重要インフラのセキュリティ要件を検討する際は、EDRの導入・定期的なフォレンジック調査・セキュアブートの有効化を要件に含めることを検討しましょう。

規格・参考資料	内容
NIST SP 800-83	マルウェアインシデント対応ガイド。ルートキット対応も含む
NIST SP 800-155	BIOSの完全性測定ガイドライン（ブートキット対策の参考）
UEFI Secure Boot仕様	起動時の署名検証によりブートキットを防ぐ業界標準
Common Criteria (ISO/IEC 15408)	セキュリティ製品の評価基準。ルートキット対策製品の選定指標になる