ルートキットとは?隠れ潜む「デジタル暗殺者」の脅威と対策を徹底解説

数多くのアンチウイルスソフトやアンチマルウェアを導入しているのに、データが漏洩してしまった――そんな経験はありませんか?セキュリティソフトが侵入者の存在にすら気づけなかったとしたら?実はそれ、十分に起こり得ることです。ウイルスやマルウェアよりもはるかに狡猾で巧妙な脅威が存在するからです。その名は「ルートキット(Rootkit)」。

ルートキットとは何か?

ルートキットとは、OS(オペレーティングシステム)の重要なプログラムになりすましながら、攻撃者に管理者レベルのアクセス権限を与える悪質なコンピュータープログラムです。名称の由来は、「root」がUNIX系OSにおける特権アカウント(最高権限を持つアカウント)を指し、「kit」がツール群を意味することにあります。さらに厄介なことに、ルートキットは他のマルウェアファイルの隠れ蓑となり、アンチウイルスソフトによる検出からそれらを守る役割も果たします。

ルートキットはどうやって存在を隠すのか

ルートキットは、以下のようなさまざまな手法を使って自らの存在を隠蔽します。

• API(Application Program Interface)などのOSの基盤層を利用する
• 関数のリダイレクト(処理の横取り)
• 非公開(未文書化)のシステム関数を悪用する

また、表面上は正規のアプリケーションとして振る舞いながら、裏では攻撃者にシステムへのフルアクセスを提供する場合もあります。一度アクセスを確立されると、攻撃者はホストコンピューター上で実行ファイルを実行したり、システム設定を自由に改ざんしたりできるようになります。

ルートキットの検出はなぜ難しいのか

コンピューター内のルートキットを手動で探し出すのは、干し草の山から針を探すようなものです。その高度な偽装能力により、多くのアンチウイルス・アンチマルウェア製品はルートキットの検出や隔離に失敗します。高機能で標準化されたセキュリティソフトでさえ、検出・無効化できないケースが確認されています。

ただし、セキュリティソフトに頼らずとも、PCの挙動の変化から感染を疑うことは可能です。以下のような症状が現れた場合は注意が必要です。

• Windowsの設定が意図せず勝手に変更される
• インターネット速度が異常に遅い
• 頻繁な動作の遅延(ラグ)やシステムクラッシュが発生する

ユーザーモードとカーネルモードの違い

ルートキットが検出される可能性が比較的高いのは、ユーザーモードで動作している段階です。しかし、一度OSの核であるカーネル(Kernel)に侵入されると、検出の可能性は一気に下がります。カーネルはOSやアンチウイルスソフトそのものを動かす基盤であり、ここまで侵食されると、被害の復旧は極めて困難になります。

「ブートキット」化するとフォーマットでも無力

ルートキットがカーネルモードに到達すると、OS自体がもはや信頼できなくなります。この段階でルートキットは管理者レベルの権限を獲得し、マスターブートレコード(MBR)を操作して、システム起動時に自動的に自身を立ち上げるよう設定できるのです。いわゆる「ブートキット(Bootkit)」の状態に達すると、ハードディスクをフォーマットしても駆除できなくなることもあります。

対策は「予防」が最良の処方箋

ルートキットに関しては、予防こそが最善の策です。ほとんどのセキュリティソフトはルートキットを検出することすらできないため、導入だけで安心することはできません。最も効果的な防御策は、自身のブラウジングやダウンロードの習慣を見直すことです。

皮肉なことに、ルートキット開発者はユーザーの閲覧履歴や行動パターンを分析し、それに合わせたマルウェアを作ることで利益を得ています。だからこそ、インターネットを利用する際には細心の注意が求められます。

• 安全性の保証されていないウェブサイトにはアクセスしない
• 出所不明のファイルやコンテンツをダウンロードしない
• 信頼できるアンチウイルス・アンチマルウェアで常にPCを保護する

まとめると、ルートキットはコンピューターが感染しうる最悪クラスの脅威です。「感染してからの対処」ではなく「感染させない習慣」と「多層的な防御」の二本立てで、大切なデータとプライバシーを守りましょう。