Gh0st RATウイルスとは?特徴・感染経路・駆除方法を徹底解説

コンピューターシステムに侵入するマルウェアには、実にさまざまな種類が存在します。ウイルス、ワーム、ハイブリッド型や特殊な変種、ランサムウェア、ファイルレスマルウェア、アドウェア、スパイウェア、マルバタイジング(悪意ある広告)、そしてトロイの木馬などがその代表例です。本記事で取り上げる「Gh0st RAT」は、トロイの木馬に分類されるマルウェアの一つです。

Gh0st RATウイルスとは

Gh0st RATは、Windowsを標的とするリモートアクセストロイ(RAT)です。主に南アジアおよび東南アジア諸国の政府機関、大使館、外務省、その他の政府・軍事関連組織を標的にしており、中でも有名なのは、亡命チベット政府やダライ・ラマ法王を狙った一連のサイバー攻撃です。

Gh0st RATの歴史

Gh0st RATが初めて確認されたのは2013年6月のことでした。当時、台湾の国民健康保険局を装った標的型メール(スピアフィッシング)キャンペーンを通じて配布されたと考えられています。フィッシングメールには悪意のあるリンクが含まれており、受信者がクリックすると偽のログインページへ誘導され、そこから公式文書に見せかけたRAR形式のアーカイブファイルがダウンロードされます。このファイルこそが、Gh0st RATをインストールして実行する正体でした。

Gh0st RATウイルスの危険な機能

Gh0st RATに感染すると、次のような深刻な被害を受ける可能性があります。

• キーロギング(キーストロークの記録)
• 感染端末のマウスカーソルやキーボード入力の遠隔操作による無効化
• 感染したリモートホストへのバイナリファイルのダウンロード
• 稼働中プロセス情報の窃取
• ユーザーの許可なくマイクとWebカメラを作動させて録音・録画
• ホストシステムの強制シャットダウンや再起動
• 感染デバイスの画面を完全に遠隔操作

特に恐ろしいのがキーロギング機能です。攻撃者はキーボードで入力されたすべての文字を記録できるため、ユーザーのIDやパスワードといった認証情報を盗み取ることが可能になります。これにより、銀行口座やメールアカウントへの不正アクセス、クレジットカード情報の流出につながり、盗んだ情報を使って不正な取引や購入を行ったり、他者への金銭要求(恐喝)やスパム・詐欺キャンペーンの送信に利用されたりします。

さらに、Gh0st RATは暗号資産(仮想通貨)のマイニングプログラムを仕込むためにも使われることがあります。マイニングはCPUやGPUに高い負荷をかけるため、電気代の増加だけでなく、パソコンの動作低下を招きます。感染したシステムでは、予期しない突然のシャットダウン、ハードウェアの過熱など、さまざまなトラブルが頻発することになります。

2019年には、研究者によってGh0st RATの更新版が発見されました。この新バージョンは、追加マルウェアのダウンロード、イベントログの消去、ファイル管理、シェルコマンドの実行、オフラインでのキーロギングなど、より高度な機能を持っています。

そのほかにも、このトロイの木馬は次のような行為を行えます。

• デスクトップ画面のスクリーンショット撮影
• 映像や音声の記録
• 第三者によるデバイスの監視の許可
• 任意のコマンド実行
• 他の攻撃者向けのバックドア開放

Gh0st RATウイルスの駆除方法

マルウェアの手動駆除は簡単ではありません。専門的な知識が必要で、時間もかかる作業ですが、自分で試みたい方は、以下の手順に従ってGh0st RATを除去してください。

1. タスクマネージャーを開き、削除したい悪意のあるプログラムを特定します。(※タスクマネージャーを開くには、「Ctrl + Shift + Esc」キーを同時に押します。)
2. 「Autoruns」というツールをダウンロードします。自動起動するアプリケーション、レジストリ、ファイルシステムの場所を確認できます。
3. システムをセーフモードで再起動します。

Windows 7 / Windows XPの場合

スタート > シャットダウン > 再起動 > OK の順に選択します。パソコンの起動時にF8キーを連打し、「Windows詳細オプションメニュー」が表示されたら、一覧から「セーフモードとネットワーク」を選択します。

Windows 8の場合

スタート画面で「詳細」と入力 > 「設定」を選択 > 「PC設定の一般」の下にある「PCの起動をカスタマイズする」(詳細スタートアップオプション)> 「今すぐ再起動する」ボタンをクリックします。PCが再起動して詳細スタートアップメニューが表示されたら、「トラブルシューティング」> 「詳細オプション」> 「スタートアップ設定」> 「再起動」ボタンの順にクリックします。スタートアップ設定画面が表示されたら、F5キーを押して「セーフモードとネットワーク」で再起動します。

Windows 10 / 11の場合

Windowsロゴをクリック > 電源アイコンをクリック > キーボードのShiftキーを押しながら表示されたメニューの「再起動」を選択します。「オプションの選択」画面が表示されたら、「トラブルシューティング」> 「詳細オプション」を選択します。詳細オプションメニューで「スタートアップ設定」> 「再起動」をクリックし、次の画面が表示されたらF5キーを押します。

4. ダウンロードしたアーカイブを展開し、Autoruns.exeファイルを実行します。
5. Autorunsのアプリケーションウィンドウで、「Options(オプション)」> 「Hide Empty Locations(空の場所を隠す)」と「Hide Windows Entries(Windowsエントリを隠す)」にチェックを入れます> 「Refresh(更新)」をクリックします。
6. Autorunsが表示した一覧を確認し、削除したいマルウェアを見つけます。今回はリモートアクセストロイのGh0st RATです。見つけたら削除します。
7. パソコン内でマルウェアを検索します。必ず完全に削除してください。
8. パソコンを再起動します。

まとめ

他のコンピューターウイルスと同様に、Gh0st RATも被害者のパソコンに深刻なダメージをもたらします。だからこそ、あなた自身が犠牲にならないことが大切です。重要かつ機密性の高い個人情報が危険にさらされていることを忘れずに、感染が疑われる場合は速やかに必要な対策を講じましょう。

Software Testedでは、パソコン修理のヒントやテクニックを多数紹介しています。ぜひ参考にしてください。