ユーザーモード フォント ドライバー ホスト(fontdrvhost.exe)とは?マルウェアかどうかの見分け方

PCの動作が遅い原因としてUsermode Font Driver Host(ユーザーモード フォント ドライバー ホスト)というプロセスを発見した方、あるいはタスクマネージャーでこのプロセスを見つけて「これは何?」「ウイルスでは?」と気になった方は、ぜひ本記事をご覧ください。この記事では、このプロセスの役割をわかりやすく解説し、本当に安全なのかどうかを確認する方法をご紹介します。

Usermode Font Driver Hostとは?

Usermode Font Driver Hostは、名前の通りWindowsでフォントを扱うシステムプロセスです。管理者権限で動作し、Windows上で多様なフォントが表示・利用できるのは、このプロセスのおかげだといえます。

必要な場所に必要なフォントを描画するだけなら簡単そうに思えますが、実際には非常に複雑な処理が行われています。端的にいえば、Usermode Font Driver Hostはフォントドライバーであり、Windowsがハードウェア制御に各種ドライバーを使用するのと同じように、フォント管理のために必要不可欠なプログラムなのです。

これがタスクマネージャーの「プロセス」タブで見える通常の姿です。このプロセスはfontdrvhost.exeというファイルから起動されます。Microsoftによるデジタル署名が付与された正規のWindowsファイルなので、基本的には安心してよい存在です。署名の確認方法については後述します。

起こりうる問題と対処法

Redditなどのユーザーフォーラムでは、fontdrvhost.exeが一時的に大量のシステムリソースを消費するという報告があります。リソースを異常に消費している場合は何らかの不具合が起きている可能性がありますが、それだけでマルウェアであると断定するのは早計です。

なお、Usermode Font Driver Hostはシステムの根幹に関わるプロセスのため、勝手に終了させないことをおすすめします。PC全体の動作が遅い場合は、まず他の原因を疑ってみましょう。ただし、明らかにfontdrvhost.exeがパフォーマンス低下の原因となっている場合、破損したフォントまたはフォントキャッシュの問題が背景にある可能性があります。

フォントキャッシュのクリア方法

以下の手順でフォントキャッシュを削除してみてください。

• Win + Rキーを押し、「ファイル名を指定して実行」にservices.mscと入力してEnterキーを押します。
• Windowsサービスの一覧が表示されるので、Windows Font Cache Serviceを探して右クリックし、停止を選択します。
• Win + Eキーでエクスプローラーを開き、次のフォルダーへ移動します:
  C:\Windows\ServiceProfiles\LocalService\AppData\Local\FontCache
  ※このパス上の一部フォルダーは管理者権限が必要だったり、隠しフォルダーだったりします。アドレスバーに1つずつパスを入力し、アクセス許可を求められたら承認してください。
• FontCacheフォルダー内のすべてのファイルを削除します。
• 続いてC:\Windows\System32フォルダーを開き、FNTCACHE.DATというファイルを探して削除します。
• PCを再起動します。Windowsが新しいフォントキャッシュを作成し、以前の問題が解消されるはずです。

注意:システムフォルダー内のファイルを編集・削除する際は細心の注意を払ってください。誤操作はシステムに深刻な影響を与える恐れがあります。

正規のプロセスかどうかの確認方法

同じプロセスが複数起動していた場合、PCへの感染を疑ってもよい状況です。セキュリティソフトに頼る前に、まずは以下の初期チェックを行いましょう。Ctrl + Shift + Escキーでタスクマネージャーを開き(Windows 10では「プロセス」タブが既定で表示されます)、「Usermode Font Driver Host」が1つより多く実行されていないかを確認してください。

怪しいプロセスを見つけたら、①該当ファイルの場所、②信頼できる開発元によるデジタル署名の有無、③ユーザー名、の3点をチェックしましょう。

1. ファイルの場所を確認する

• タスクマネージャーの「プロセス」タブでUsermode Font Driver Hostを見つけます。名前を入力すると素早く検索できます。
• プロセスを右クリックし、メニューから「ファイルの場所を開く」を選択します。

正規の実行ファイルはC:\Windows\System32\に配置され、ファイル名はfontdrvhost.exeです。ここ以外の場所にある場合は、改ざんされている可能性が高いといえます。

2. デジタル署名を確認する

System32フォルダー内でfontdrvhost.exeを右クリックし、「プロパティ」を開きます。あるいは、タスクマネージャーの「詳細」タブからファイルを右クリックしても同様にアクセスできます。

プロパティウィンドウで「デジタル署名」タブを開き、署名情報を確認しましょう。正規のファイルであれば、署名者はMicrosoft Windowsとなっているはずです。

3. ユーザー名を確認する

最後に、ファイルのユーザー名を確認します。タスクマネージャーの「詳細」タブでfontdrvhost.exeを探し、対応するユーザー名を見てください。正規の値はUMFD-0です。これはUser-Mode Driver Frameworkがフォント管理を支援するために作成する技術的なシステムアカウントの名称です。

もしマルウェアだった場合は?

上記のチェックで1つでも想定外の結果が出た場合、そのUsermode Font Driver Hostはマルウェアである可能性が高いです。多くの場合、トロイの木馬型の感染を疑うべきでしょう。ここで初めてウイルス対策ソフトの出番です。すでに導入済みのセキュリティソフトが警告を出していなかったのであれば、より強力な保護手段を検討する必要があります。

もちろん、自分で調査して自分に合った製品を選ぶのが理想ですが、高性能かつ多機能なツールとしてはGridinSoft Anti-Malwareなどが挙げられます。常駐型のメイン保護ツールとしても、補助的な軽量スキャナーとしても活用でき、コストパフォーマンスにも優れています。

不正なプロセスを発見したら、速やかにフルスキャンを実行して感染の全容を把握し、検出された脅威をすべて除去してください。その後もしばらくはシステムの動作に注意を払い、再発がないか監視することをおすすめします。