ルートキットとは？ 見つけにくい理由と、疑わしいときの検査・対処

IPAが翻訳監修した米国NISTのマルウェア対策ガイド（2005年発行の原典の翻訳）によると、ルートキットは、システムにインストールされ、システムの標準機能を悪意を持ってひそかに改ざんするファイルの集まりです。数多くの変更を加えて自分自身の存在や変更の証拠を隠すため、ルートキットがあるかどうか、何を変えたのかを判断するのはたいへん難しいとされています。マイクロソフトも、マルウェアの作成者はルートキットを使ってマルウェアを隠し、できるだけ長く居座らせると説明しています。

なぜ見つけにくい？

• ルートキットはOSの標準的な処理を横取りして書き換えるため、感染した端末が自分について報告する情報を信頼できなくなります。実行中のプログラムの一覧を表示させても、見せたくないものを消してしまうことがあります（マイクロソフト）。
• 検出されなければ何年も潜伏し、その間に情報やリソースが盗まれることがあります（マイクロソフト）。
• 最近の多くのマルウェアが、検出と削除を避けるためにルートキットを使っています（マイクロソフト）。
• UNIXやLinuxでは数十から数百ものファイルが変更・置き換えられることがあり、Windowsなどでは、ファイルを変更・置き換えるもののほか、メモリ内にだけ常駐してOSの機能の呼び出しを変えるものもあります（NIST）。
• 自分のファイルを、ディレクトリやプロセスの一覧に表示されないようにすることがあります（NIST）。
• バックドアやキーロガーなど、ほかの攻撃ツールを入れる目的で使われることが多いとされます（NIST）。

総務省によると、侵入したマルウェアは、そのままコンピュータに残ってバックドアと呼ばれる不正な侵入口を用意することがあります。ルートキットは、こうした侵入口や攻撃ツールを隠し続ける役割を果たします。

Windowsで検査する

1. 「Windows セキュリティ」を開き、［ウイルスと脅威の防止］を選びます。
2. スキャンのオプションから「Microsoft Defender ウイルス対策 (オフライン スキャン)」を選んで開始します。
3. パソコンが再起動するので、開いているファイルは先に保存しておきます。
4. Windows 回復環境でパソコンが読み込まれ、Windowsを起動しない状態で、最新の定義を使って検査します。居座ろうとするマルウェアが、自分を隠したり防御したりしにくくなります。終わると自動的に再起動します。
5. 結果は、Windows セキュリティの［保護の履歴］で確認します。

マイクロソフトによると、同社のセキュリティソフトには、ルートキットを削除するために特別に設計された技術が多く含まれています。ルートキットが疑われるときは、既知の信頼できる環境で起動するための追加のツールが必要になることがあり、Microsoft Defender オフラインは、マルウェア感染のために正しく動作しない端末で使うことを想定して作られています。Windows以外のセキュリティソフトを使っている場合も、最新の状態にしてフル スキャンを行いましょう。

削除できないときは

マイクロソフトは、問題が解決しない場合、OSとセキュリティソフトを再インストールしてから、バックアップからデータを復元するよう強く勧めています。NISTのガイドも、ルートキットは重要なファイルに数百もの変更を加えることが多く、完全に取り除いて、取り除けたことを確かめるには、かなりの時間と手間がかかるとしています。そのため、ルートキットが入った、または入った疑いが強いシステムは、OSやアプリを入れ直すか、正常なバックアップから戻して再構築するべきだとしています。

• バックアップにマルウェアが含まれていて、復元で一緒に戻ってしまうこともあります（NIST）。感染する前のバックアップを使いましょう。
• Googleも、アカウントに不審なアクティビティがあるときの対策として、パソコンを出荷時の設定にリセットしてOSを再インストールする方法を挙げ、その前に必要なファイルをバックアップするよう注意しています。
• 再インストールの後は、その端末で使っていたサービスのパスワードを変更し、多要素認証を設定します。

入れないために

• OSとアプリに最新の更新プログラムを適用する（マイクロソフト）。
• 不審なWebサイトやメールに注意する（マイクロソフト）。
• 重要なファイルを定期的にバックアップする。マイクロソフトは、データのコピーを3つ、2種類の保存先に持ち、少なくとも1つは別の場所に置く「3-2-1ルール」を紹介しています。
• ウイルス対策ソフトを導入し、パターンファイルを最新に保って、定期的にスキャンする（警察庁）。

ルートキットは、端末に自分自身についてうそをつかせます。外から調べ、だめなら作り直す。それが確実な順番です。