最近のルートキット検出はどのように機能しますか？

あなたはおそらく、コンピュータウイルス、アドウェア、スパイウェア、およびその他の悪意のあるプログラムに精通しているでしょう。これらは、ほとんどの場合脅威と見なされています。ただし、異なる形式またはクラスのマルウェア（ルートキット）は、それらすべての中で最も危険な場合があります。 「危険」とは、悪意のあるプログラムが引き起こす可能性のある損害のレベルと、ユーザーがプログラムを見つけて削除するのが難しいことを意味します。





ルートキットとは何ですか？

ルートキットは、許可されていないユーザーにコンピューター（またはコンピューター上の特定のアプリケーション）へのアクセスを許可するように設計されたマルウェアの一種です。ルートキットは、特権アクセスを維持している間、非表示（見えない）のままになるようにプログラムされています。ルートキットがコンピューターの内部に入ると、その存在を簡単に隠してしまい、ユーザーが気付くことはほとんどありません。

ルートキットはPCにどのように害を及ぼしますか？

基本的に、ルートキットを介して、サイバー犯罪者はコンピューターを制御できます。このような強力な悪意のあるプログラムを使用すると、PCに何かを強制することができます。彼らはあなたのパスワードや他の機密情報を盗み、あなたのコンピュータで実行されているすべての活動や操作を追跡し、そしてあなたのセキュリティプログラムを無効にすることさえできます。

ルートキットがセキュリティアプリケーションを乗っ取ったり、停止したりする優れた機能を考えると、平均的な悪意のあるプログラムよりも、検出や対峙が非常に困難です。ルートキットは、検出を回避して重大な損害を与えながら、コンピュータ上に長期間存在または動作する可能性があります。



高度なルートキットが使用されている場合、悪意のあるプログラムを削除したい場合は、ユーザーはコンピューター上のすべてを削除して最初からやり直すしかありません。

すべてのマルウェアはルートキットですか？

いいえ。どちらかといえば、マルウェアのごく一部だけがルートキットです。他の悪意のあるプログラムと比較すると、ルートキットは設計とプログラミングの点でかなり進んでいます。ルートキットは、平均的なマルウェアよりもはるかに多くのことを実行できます。

厳密な技術的定義に従うとすれば、ルートキットは悪意のあるプログラムの形式や種類ではありません。ルートキットは、マルウェアをターゲット（通常は特定のコンピューターまたは個人または組織）に展開するために使用されるプロセスに対応しているだけです。当然のことながら、ルートキットはサイバー攻撃やハッキングに関するニュースで頻繁に登場するため、この用語は否定的な意味合いを持つようになりました。



公平を期すために、ルートキットはマルウェアとまったく同じように実行されます。彼らは被害者のコンピューターに制限なく操作することを好みます。彼らは、保護ユーティリティがそれらを認識または検出することを望んでいません。彼らは通常、ターゲットコンピュータからものを盗もうとします。最終的に、ルートキットは脅威です。したがって、それらはブロックされるか（そもそも侵入を防ぐため）、または対処される必要があります（すでに侵入を見つけた場合）。

ルートキットが使用または選択されるのはなぜですか？

攻撃者は多くの目的でルートキットを使用しますが、ほとんどの場合、マルウェアのステルス機能を改善または拡張するためにルートキットを使用しようとします。ステルス性が高まると、悪意のあるプログラムがネットワークからデータを盗み出したり削除したりする間、コンピューターに展開された悪意のあるペイロードが検出されないままになる可能性があります。

ルートキットは、許可されていないアクター（ハッカーや政府関係者）がシステムへのバックドアアクセスを取得するための便利な方法またはプラットフォームを提供するという点で非常に便利です。ルートキットは通常、ログインメカニズムを破壊して、コンピューターに別の個人の秘密のログインアクセスを許可することにより、ここで説明する目的を達成します。



ルートキットを展開してコンピュータを危険にさらしたり圧倒したりして、攻撃者が制御を取得し、特定のタスクを実行するためのツールとしてデバイスを使用できるようにすることもできます。たとえば、ハッカーはルートキットを使用してデバイスを標的とし、それらをDDoS（分散型サービス拒否）攻撃のボットとして使用します。このようなシナリオでは、DDoSのソースが検出および追跡された場合、実際のコンピューター（攻撃者）ではなく、侵害されたコンピューター（被害者）につながります。

このような攻撃に関与する侵害されたコンピューターは、一般にゾンビコンピューターとして知られています。 DDoS攻撃は、攻撃者が侵害されたコンピューターで行う悪いことだけではありません。ハッカーは、被害者のコンピュータを使用してクリック詐欺を実行したり、スパムを配布したりすることがあります。

興味深いことに、ルートキットが管理者または通常の個人によって適切な目的で展開されるシナリオがありますが、そのような例はまだ非常にまれです。攻撃を検出または認識するためにハニーポットでルートキットを実行している一部のITチームに関するレポートを確認しました。このようにして、タスクが成功した場合、エミュレーション技術とセキュリティアプリケーションを強化することができます。彼らはまた、盗難防止保護装置を改善するために適用できる知識を得るかもしれません。



それでも、ルートキットを扱う必要がある場合は、ルートキットがあなた（またはあなたの利益）に対して使用されている可能性があります。したがって、そのクラスで悪意のあるプログラムを検出する方法と、それらから自分自身（またはコンピューター）を防御する方法を学ぶことが重要です。

ルートキットの種類

ルートキットにはさまざまな形式またはタイプがあります。感染モードとコンピューターでの動作レベルに基づいて分類できます。さて、これらは最も一般的なルートキットタイプです：

  1. カーネルモードのルートキット：

カーネルモードのルートキットは、オペレーティングシステムのカーネルにマルウェアを挿入して、OSの機能やセットアップを変更するように設計されたルートキットです。 「カーネル」とは、ハードウェアとアプリケーション間の操作を制御またはリンクするオペレーティングシステムの中心部分を意味します。

攻撃者は、カーネルモードのルートキットを展開するのが難しいと感じています。そのようなルートキットは、使用されているコードが失敗した場合にシステムをクラッシュさせる傾向があるためです。ただし、展開に成功した場合、ルートキットは通常、システム内で最高の特権レベルを持っているため、ルートキットは信じられないほどの損害を与える可能性があります。言い換えれば、カーネルモードのルートキットが成功すれば、攻撃者は被害者のコンピュータを簡単に利用できるようになります。

  1. ユーザーモードのルートキット：

このクラスのルートキットは、通常のプログラムまたは通常のプログラムとして機能することによって実行されるものです。これらは、アプリケーションが実行されるのと同じ環境で動作する傾向があります。このため、一部のセキュリティ専門家はそれらをアプリケーションルートキットと呼んでいます。

ユーザーモードのルートキットは、（カーネルモードのルートキットよりも）展開が比較的簡単ですが、その能力は低くなります。カーネルルートキットよりもダメージが少ないです。理論的には、セキュリティアプリケーションは、（他の形式またはクラスのルートキットと比較して）ユーザーモードのルートキットを処理する方が簡単です。

  1. ブートキット（ブートルートキット）：

ブートキットは、マスターブートレコードに感染することにより、通常のルートキットの機能を拡張または改善するルートキットです。システムの起動中にアクティブ化される小さなプログラムは、マスターブートレコード（MBRと略されることもあります）を構成します。ブートキットは基本的にシステムを攻撃するプログラムであり、通常のブートローダーをハッキングされたバージョンに置き換えるように機能します。このようなルートキットは、コンピュータのオペレーティングシステムが起動して落ち着く前でもアクティブになります。

ブートキットの感染モードを考えると、攻撃者は、システムが起動したときに（防御的なリセット後でも）実行するように構成されているため、より永続的な形式の攻撃に使用できます。さらに、セキュリティアプリケーションやITチームが脅威をスキャンすることはめったにない場所であるシステムメモリでアクティブなままになる傾向があります。

  1. メモリルートキット：

メモリルートキットは、コンピュータのRAM（一時メモリと同じものであるランダムアクセスメモリの頭字語）内に隠れるように設計されたルートキットの一種です。これらのルートキット（メモリ内に入ると）は、バックグラウンドで（ユーザーが知らないうちに）有害な操作を実行するように機能します。

幸いなことに、メモリルートキットの寿命は短い傾向があります。それらは、セッションの間、コンピュータのRAMにのみ存在できます。 PCを再起動すると、それらは消えます–少なくとも理論的には、そうなるはずです。それでも、シナリオによっては、再起動プロセスだけでは不十分です。ユーザーは、メモリルートキットを取り除くためにいくつかの作業をしなければならない可能性があります。

  1. ハードウェアまたはファームウェアのルートキット：

ハードウェアまたはファームウェアのルートキットは、コンピューターにインストールされている場所から名前が付けられます。

これらのルートキットは、システムのファームウェアに組み込まれているソフトウェアを利用することが知られています。ファームウェアとは、特定のハードウェア（またはデバイス）に低レベルで制御または命令を提供する特別なプログラムクラスを指します。たとえば、ラップトップには、製造元によってロードされたファームウェア（通常はBIOS）があります。ルーターにもファームウェアがあります。

ファームウェアルートキットはルーターやドライブなどのデバイスに存在する可能性があるため、それらのハードウェアデバイスがコードの整合性についてチェックまたは検査されることはめったにないため（チェックされている場合でも）、非常に長い間非表示のままになる可能性があります。ハッカーがルーターやドライブにルートキットを感染させた場合、ハッカーはデバイスを流れるデータを傍受できるようになります。

ルートキットから安全を保つ方法（ユーザー向けのヒント）

最高のセキュリティプログラムでさえルートキットと格闘しているので、そもそもルートキットがコンピュータに侵入するのを防ぐために必要なことは何でもするほうがよいでしょう。安全を保つことはそれほど難しくありません。

最善のセキュリティ慣行を守ると、コンピュータがルートキットに感染する可能性が大幅に減少します。それらのいくつかを次に示します。

  1. すべてのアップデートをダウンロードしてインストールします。

何かの更新を無視するわけにはいきません。はい。アプリケーションの更新は煩わしく、オペレーティングシステムのビルドの更新は邪魔になる可能性があることを理解していますが、それなしでは実行できません。プログラムとOSを最新の状態に保つことで、攻撃者がルートキットをコンピューターに挿入するために利用するセキュリティホールや脆弱性へのパッチを確実に入手できます。穴や脆弱性が塞がれると、PCの方が適しています。

  1. フィッシングメールに注意してください：

フィッシングメールは通常、個人情報や機密情報（ログインの詳細やパスワードなど）をだまして提供しようとする詐欺師によって送信されます。それにもかかわらず、一部のフィッシングメールは、ユーザーにソフトウェア（通常は悪意のあるまたは有害なもの）をダウンロードしてインストールするように促します。

このようなメールは、正当な送信者または信頼できる個人から送信されたように見える可能性があるため、注意が必要です。それらに応答しないでください。それらの中の何も（リンク、添付ファイルなど）クリックしないでください。

  1. ドライブバイダウンロードと意図しないインストールに注意してください。

ここでは、コンピュータにダウンロードされるものに注意を払ってください。悪意のあるプログラムをインストールする悪意のあるファイルや悪意のあるアプリケーションを取得したくない。一部の正規のアプリケーションは他のプログラム（悪意のある可能性がある）にバンドルされているため、インストールするアプリにも注意する必要があります。

理想的には、公式ページまたはダウンロードセンターからプログラムの公式バージョンのみを入手し、インストール中に正しい選択を行い、すべてのアプリのインストールプロセスに注意を払う必要があります。

  1. 保護ユーティリティをインストールします。

ルートキットがコンピュータの内部に侵入する場合、そのエントリは、コンピュータ上の別の悪意のあるプログラムの存在または存在に関連している可能性があります。ルートキットが導入またはアクティブ化される前に、優れたウイルス対策またはマルウェア対策アプリケーションが元の脅威を検出する可能性があります。

マルウェア対策を入手できます。優れたセキュリティプログラムは、あらゆる形態の脅威に対する最善の防御を構成するため、推奨されるアプリケーションにある程度の信頼を置くことをお勧めします。

ルートキットを検出する方法（および組織とIT管理者向けのヒント）

ルートキットを検出して削除できるユーティリティはほとんどありません。有能なセキュリティアプリケーション（このような悪意のあるプログラムを処理することが知られている）でさえ、うまく機能しない場合があります。ルートキットの削除の失敗は、マルウェアが存在し、カーネルレベルで動作する場合（カーネルモードのルートキット）によく見られます。

ルートキットを削除するために実行できるのは、マシンへのOSの再インストールだけである場合があります。ファームウェアルートキットを扱っている場合は、影響を受けるデバイス内の一部のハードウェアパーツを交換するか、専用の機器を入手する必要が生じる可能性があります。

最高のルートキット検出プロセスの1つでは、ユーザーがルートキットのトップレベルスキャンを実行する必要があります。 「トップレベルスキャン」とは、感染したマシンの電源がオフになっているときに、別のクリーンなシステムによって実行されるスキャンを意味します。理論的には、このようなスキャンは、攻撃者が残した署名をチェックするのに十分であり、ネットワーク上の不正なプレイを識別または認識できる必要があります。

また、メモリダンプ分析を使用してルートキットを検出することもできます。特に、システムメモリにラッチして動作するブートキットが関係していると思われる場合はそうです。通常のコンピューターのネットワークにルートキットがある場合、メモリの使用を伴うコマンドを実行していれば、ルートキットはおそらく非表示になりません。マネージドサービスプロバイダー（MSP）は、悪意のあるプログラムが送信している命令を表示できます。 。

動作分析は、ルートキットを検出または追跡するために使用されることがある、もう1つの信頼できる手順または方法です。ここでは、システムメモリをチェックしたり、攻撃の兆候を観察したりしてルートキットを直接チェックする代わりに、コンピュータでルートキットの症状を探す必要があります。遅い動作速度（通常よりもかなり遅い）、奇妙なネットワークトラフィック（そこにあるべきではない）、およびその他の一般的な逸脱した動作パターンのようなものは、ルートキットを与えるはずです。

Manager Service Providerは、ルートキット感染の影響に対処または軽減するための特別な戦略として、最小特権の原則（PoLP）を実際に顧客のシステムに導入できます。 PoLPを使用する場合、システムはネットワーク上のすべてのモジュールを制限するように構成されます。つまり、個々のモジュールは、作業に必要な情報とリソース（特定の目的）にのみアクセスできます。

提案されたセットアップにより、ネットワークのアーム間のセキュリティが強化されます。また、権限のないユーザーによるネットワークカーネルへの悪意のあるソフトウェアのインストールをブロックするのに十分です。つまり、ルートキットが侵入して問題を引き起こすのを防ぎます。

幸いなことに、開発者がオペレーティングシステムのセキュリティを継続的に改善しているため、ルートキットは平均して減少しています（過去数年間に増殖している他の悪意のあるプログラムの量と比較した場合）。エンドポイントの防御はますます強化されており、組み込みのカーネル保護モードを採用するように設計されているCPU（またはプロセッサ）の数が増えています。それにもかかわらず、現在、ルートキットはまだ存在しており、見つかった場所で識別、終了、および削除する必要があります。