2021年のマルウェア13種類：脅威、事例、対策

マルウェア（悪意のあるプログラム）とは、デバイスやデータに害を与える意図で書かれたプログラムのことです。作成者の想像力の限りで目的は限定されますが、ほとんどの悪意あるプログラムはデータ、認証情報、支払い情報の窃取を目的として書かれています。

マルウェア攻撃は、iPhone、Androidスマートフォン、MacBook、Windows PC、さらにはLinuxを含むあらゆる種類のデバイスとOSで発生し得ます。

SonicWall Capture Labsの調査によると、年間50億件以上のマルウェア攻撃が実行されています。そのうち約92%がメール経由で配信されます。過去数年間で、モバイルマルウェアとmacOSマルウェアの量が劇的に増加しています。

現在、毎週任意の時点で1800万以上のWebサイトが悪意あるコードに感染しており、企業の34%がマルウェアの被害を受け、金融機関の80%が毎年マルウェアの標的となっています。

機械学習と標的型スピアフィッシングメールの出現により、マルウェア攻撃はさらに洗練され、識別が困難になっています。

したがって、個人やビジネスのデータに影響を与える可能性のあるあらゆる種類の悪意あるソフトウェアを認識することが重要です。以下に、企業や政府のWebサイトから機密情報を収集し、運用を妨害するために広く使用されているさまざまな種類のマルウェアを挙げます。それぞれ独自の振る舞いと特徴を持っています。

13. ワーム

Blasterワームの16進ダンプ

事例：Conficker（190カ国以上の家庭およびオフィスのWindowsコンピュータに感染）

ワームは、人間の介入なしにデバイスからデバイスへ自己複製・伝播します。損害を与えるためにアプリケーションに添付される必要すらありません。

インスタントメッセージやスパムメールの添付ファイルとして到達したり、ソフトウェアの脆弱性を通じて送信されたりします。一度マシンにインストールされると、ユーザーの知らないうちにバックグラウンドで静かに動作します。

既存のファイルを変更/削除したり、OSに悪意あるコードを注入したりします。これにより、攻撃者がバックドアをインストールし、データを窃取し、デバイスとそのシステム設定を制御しやすくなります。

システムリソースを枯渇させることを唯一の目的として設計されたワームもあります。自分自身を何百万回もコピーし続け、ストレージ容量を枯渇させたり、共有ネットワークを過負荷にして帯域幅を枯渇させたりします。

ワームはホストプログラムを必要としないため、一般的なコンピュータウイルスよりも感染力が強力です。ローカルマシンだけでなく、ネットワーク上のサーバーとクライアントにも感染します。

コンピュータワームの有名な例の一つがILOVEYOUです。ラブバグとも呼ばれ、2000年に5000万台以上のWindows PCに感染しました。ユーザーのOutlook連絡先リストにあるメールアドレスにアクセスし、それらすべてのアドレスに自分自身のコピーを送信する能力により、猛烈な勢いで拡散しました。

12. キーロガー

事例：Backdoor.Coreflood（すべてのキーストロークを記録し、このデータを攻撃者に送信）

キーロガーは、すべてのキーストロークを秘密裏に監視・記録するソフトウェアまたはハードウェアデバイスです。コンピュータやスマートフォンの画面で入力したすべてを記録します。すべての記録はファイルに保存され、後で取得されます。

ほとんどのキーロガーはキーの押下時間や速度などのデータを記録しますが、中にはユーザーのコピー/カット/ペーストのクリップボード、GPSデータ、通話、マイクとカメラの映像まで記録するものもあります。

ほとんどの場合、キーロガーはソフトウェア開発のフィードバックやキーストロークダイナミクス、ヒューマンコンピュータインタラクションの研究など、正当な目的で使用されます。しかし、有害な目的で使用されると、悪意あるソフトウェアとして機能します。

攻撃者は（あなたの知らないうちに）あなたのデバイスにキーロガーをインストールし、機密情報、パスワード、金融情報を窃取することがあります。悪意ある意図であれ正当な用途であれ、キーロガーがあなたのデバイスからどのデータを取得しているかを認識しておく必要があります。

11. ルートキット

事例：Stuxnet（イランの核遠心分離機の5分の1を破壊し、20万台の産業用コンピュータに感染、1000台の機械を物理的に劣化させたと報告）

ルートキットは、ソフトウェアまたはOS全体への不正アクセスを可能にする一連の悪意あるツールです。ターゲットマシン上で隠れ続けるように設計されています。気づかないかもしれませんが、バックグラウンドで活動し続け、攻撃者にデバイスをリモート制御する能力を与えます。

ルートキットには、攻撃者があなたのパスワードや銀行情報を窃取しやすくするスクリプトから、セキュリティソフトを無効化し、コンピュータで入力したすべてを追跡するモジュールまで、さまざまなプログラムが含まれる可能性があります。

ルートキットはマシンにインストールされたセキュリティソフトを無効化できるため、検出が非常に困難です。数週間から数ヶ月間デバイスに潜伏し、多大な損害を与えることがあります。

代替の信頼できるOSの使用、差分スキャン、シグネチャスキャン、メモリダンプ分析、行動ベースの手法などで検出可能です。

削除は困難またはほぼ不可能な場合があり、特にルートキットがカーネルに隠れている場合はそうです。その場合、すべてを消去して新しいOSをインストールするしか完全に除去する方法はありません。ファームウェアルートキットを扱う場合はさらに悪化し、ハードウェアの特定部品を交換する必要があるかもしれません。

10. ファイルレスマルウェア

事例：WannaMine（ホストデバイスで暗号資産をマイニング）

ファイルレスマルウェアは2017年に主流の攻撃タイプとして出現しました。Microsoft Windowsに統合されたプログラムを悪用して攻撃を実行します。より具体的には、Microsoftが開発したタスク自動化と構成管理プログラムであるPowerShellを活用して攻撃を実行します。

このタイプのマルウェアはデバイスに直接保存またはインストールされません。代わりにメモリ（RAM）に直接入り込み、悪意あるコードがセカンダリストレージ（SSDやHDD）に触れることはありません。

名前が示す通り、ファイルに依存せず、フットプリントを残しません。これにより、ファイルレスマルウェアの特定と削除が非常に困難になります。実行可能ファイルがないため、アンチウイルスツールが検出するためのシグネチャやパターンが存在しないからです。

ファイルレスマルウェアは、シグネチャ検出、パターン分析、タイムスタンプ、ファイルベースのホワイトリスト、ハードウェア検証などのコンピュータフォレンジック対策を回避するのに効果的であることが証明されています。ただし、最新の高度なセキュリティソリューションで検出可能です。

RAM上でのみ動作するように設計されているため、システムが再起動されるまで存続します。

9. アドウェア

事例：Appearch（ブラウザに大量の広告を挿入し、サーフィンをほぼ不可能にする）

アドウェアは、広告支援ソフトウェアとも呼ばれ、コンピュータやスマートフォンの画面に広告を表示し、検索結果を広告サイトにリダイレクトし、マーケティング目的でユーザーデータを追跡します。

アドウェアの主な目的は、ユーザーがアプリケーションをインストールしているときやWebを閲覧しているときに広告を配信することで収益を生み出すことです。

時には、ユーザーに煩わしい広告を表示するタイプの悪意あるツールを指してアドウェアという用語が使われることもあります。これらの広告は、ポップアップ、バナー表示、静的ボックス表示、閉じられないウィンドウ、音声付き動画など、さまざまな形態を取ります。

危険または有害ではありませんが、コンピュータを信じられないほど遅くする可能性があります。単一のWebページに大量の広告があると、特に古いデバイスを使用している場合、ブラウザが応答しなくなることがあります。

システムを遅くするだけでなく、一部のアドウェアツールはユーザーデータと行動を収集するように設計されています。閲覧履歴、検索クエリ、特定サイトでの滞在時間、購入履歴、IPアドレス、デバイス情報などを追跡できます。

8. 悪意あるボット

事例：Srizbi（2008年時点で、他の主要ボットネットの合計よりも多い、全スパムの50%以上を送信していた最大のボットネット）

インターネットボット（Webロボットとも呼ばれる）は、インターネット上で自動タスク（スクリプト）を実行するように設計されています。数十億のWebページからデータを収集するなど、単純で繰り返しのタスクを効率的に実行できます。機械学習技術の出現により、人間の行動を模倣するより洗練されたボットの開発が進みました。

しかし、攻撃者はボットの可能性にいち早く気づき、有害な目的で利用し始めました。今日、すべてのボットのかなりの部分が、ユーザーのデータとパスワードを窃取するために使用されています。

マルウェアボットは多数のデバイスに感染させることができます。ボットに感染したデバイスの大規模なネットワークをボットネットと呼びます。ボットネットは、DDoS攻撃の実行、スパム送信、データ窃取に使用されます。デバイスとその接続へのアクセスを攻撃者に許可し、サーバーがクラッシュするまで過負荷をかけることさえできます。

ボットネットはフットプリントが大きくないため、ユーザーは自分のデバイスがスパム中継のためのボットネットの一部として使用されていることに気づかないかもしれません。しかし、デバイスは原因不明の頻繁なクラッシュ、動作の遅さ、インターネットアクセスの低下などの症状を示し始めるかもしれません。

7. クライムウェア

事例：SMTP経由で送信される標的型攻撃

クライムウェアとは、サイバー犯罪を自動化し、オンラインでの違法行為を容易にするコンピュータプログラムのことです。これらのプログラムはデータの窃取を自動化し、攻撃者が人々のオンライン金融口座にアクセスできるようにすることを目的としています。

攻撃者はクライムウェアを通じてさまざまな手法で機密データを窃取します。例えば、ユーザーのWebブラウザを偽造サイトにリダイレクトするスクリプトの使用、システムにキャッシュされたパスワードの窃取、アプリへのリモートアクセスの有効化、デバイス上のすべてのデータの暗号化、キーストロークロガーの秘密裏のインストールなどです。

サイバー犯罪もクラウドコンピューティング業界からヒントを得て、「as-a-service」型の提供を開始しています。

Crimeware-as-a-Serviceにより、特定分野での専門化が可能になります。つまり、誰もすべてを知る必要がなく、プロセス全体をより効率的に実行できます。

例えば、1人の攻撃者が悪意ある操作全体を実行するのではなく、複数の攻撃者が異なる役割を分担し、利益を分配する形になります。サイバー犯罪チームには、悪意あるスクリプトを書く開発者、メーリングリストを作成する担当、カスタマーサポートを担当（ランサムウェア用）、価値あるデータや通貨を追跡不能な利益に変える担当などが含まれる可能性があります。

6. RAMスクレイパー

事例：BlackPOS（2013年に9600万人の顧客の個人情報を窃取）

RAMスクレイパーは、感染デバイスの主メモリをスキャンして機密データを窃取する悪意あるプログラムです。小売取引の処理に使用される端末を標的とするため、POS（Point-Of-Sale）攻撃とも呼ばれます。

決済カード業界はデータセキュリティ基準（PCI-DSSとして知られる）を用いており、機密情報のエンドツーエンド暗号化を要求しています。機密性の高い支払いデータは、処理のためにPOSのRAMで復号化され、ここでRAMスクレイパーマルウェアが攻撃します。正規表現検索を利用してプレーンテキストの支払いデータを収集し、データは不正なコールホームサーバーに送信されます。

最初のRAMスクレイピング攻撃は、2008年に米国の多国籍金融サービス企業Visa Inc.によって報告されました。

磁気ストライプ付きカードのみがこのタイプのマルウェアに対して脆弱です。磁気ストライプにはトラック1、トラック2、トラック3の3つのデータトラックが含まれます。RAMスクレイパーは正規表現マッチングを実装し、POS端末の主メモリからトラック1とトラック2のカードデータにアクセスします。一部のスクレイパーは、流出前にカードの有効性を確認するためにLuhnアルゴリズムを利用します。

5. バックドア

事例：Titanium（ドロップ、ダウンロード、インストールページの複雑なシーケンスを含み、最終段階でトロイの木馬バックドアを展開）

バックドアとは、コンピュータや組み込みデバイスにおける従来の認証や暗号化手順をバイパスする隠密な手法です。その結果、データベースやファイルサーバーなどのシステムやアプリケーションへのアクセスが許可され、サイバー犯罪者にシステムのリモート制御とマルウェアの更新能力を与えます。

通常、バックドアのインストールは、アプリケーションの脆弱なモジュールを悪用することで達成されます。例えば、古いプラグインやデフォルトパスワードは、ユーザーが長期間更新/変更しない場合、バックドアとして機能し得ます。

中小企業は、コンピュータを保護したり成功した攻撃を特定したりするための十分な財政リソースを持たないため、バックドア攻撃に対して特に脆弱です。そのため、サイバー攻撃の40%以上が中小企業を標的としています。

RAMスクレイパーのような他のマルウェアとは異なり、バックドアは当分なくなることはありません。Malwarebytes Labsのレポートによると、バックドアは消費者と企業の両方で、最も一般的な5つの脅威検出の一つに含まれています。

4. ランサムウェア

感染システム上のWannaCryランサムノート（2017年）

事例：WannaCry（Windows PCを標的とし、ファイルを暗号化して300〜600ドルの身代金をビットコインで要求）

ランサムウェアは、被害者の個人データを暗号化するか、アクセスを遮断します。ランサムウェアの種類により、個別のファイルまたはOS全体が暗号化されます。

攻撃者はその後、支払い後にアクセスを復元するために被害者から身代金を要求します。この要求には通常期限が伴います。期限までに支払わない場合、データが永遠に削除されるか、身代金が増額されます。

攻撃者は、復号鍵を得るために料金を支払う方法を被害者に指示します。費用は数百ドルから数百万ドルまで幅広く、ビットコインやその他の暗号資産での支払いを要求するため、犯人の追跡と起訴が困難です。

新しいグローバル調査レポートによると、35%の企業が35万〜140万ドルの身代金を支払い、7%が140万ドル以上の身代金を支払っています。

ほとんどの場合、攻撃者は大学や中小企業を標的とします。これらは身代金を迅速に支払う可能性が高いと見られるためです。また、ファイルへの即時アクセスを取り戻すため、または妥協のニュースを隠すために身代金を支払う可能性のある医療施設、法律事務所、政府機関も標的とされます。

3. スパイウェア

事例：DarkHotel（ホテルのWiFiネットワークを通じて著名な宿泊客を選択的に攻撃）

スパイウェアは、あなたの知らないうちに、許可なしにあなたのデバイスにインストールされ、オンライン行動を隠れて追跡し始めます。

ユーザーやビジネスに関するデータを秘密裏に収集し、マーケティングや広告会社などの第三者に送信するマルウェアの一種です。通常、欺瞞的なポップアップウィンドウ、ドライブバイダウンロード、正規ソフトウェアに注入された（隠された）悪意あるコードなどの手法で、ユーザーの同意なしにインストールされます。

インストールされると、スパイウェアはインターネット活動を監視し、ログイン認証情報を追跡し、個人情報を盗み見ます。主な目的は、クレジットカード番号、ユーザー名、パスワード、銀行情報を窃取することです。

このタイプのマルウェアは検出が難しい場合があります。感染デバイスは、接続速度、応答性、バッテリー寿命の顕著な低下を示します。

最も有名なスパイウェアの一つがPegasusです。通話の追跡、テキストメッセージの読み取り、位置情報の追跡、ターゲットデバイスのカメラとマイクへのアクセス、アプリからのパスワードとデータの収集が可能です。このスパイウェアが危険なのは、ゼロクリックエクスプロイトを通じてスマートフォン（AndroidおよびiOS実行）にインストールできる点です。

2. トロイの木馬

事例：Wirenet（macOS、Linux、Windows、Solarisユーザーを標的とするパスワード窃取型トロイの木馬）

トロイの木馬は、何か有用なものであるかのように見せかけて、実際にはあなたのコンピュータに害を与えます。ダウンロードやメールなど、意外な場所に隠れていることがあります。

トロイの木馬は、ユーザーを欺いて悪意あるプログラムをデバイスにロードし、実行させようとします。インストールされると、ユーザーのデータとネットワークを混乱させ、窃取し、またはその他の有害なアクションを実行できます。

ウイルスとは異なり、トロイの木馬は自己増殖しません。そのため、このタイプのマルウェアは、ユーザーがサーバーサイドアプリケーションをダウンロードしてインストールすることで機能します。システムが感染すると、他のデバイスにマルウェアを拡散させることができます。

感染したマシンは、所有者の知らないうちに攻撃者によってリモート制御されます。攻撃者はそれをゾンビコンピュータに変え、ネットワーク上のデバイス間で悪意あるコードを継続的に共有させることができます。

トロイの木馬の種類と目的に応じて、マルウェアは自己破壊したり、休眠状態に戻ったり、コンピュータ上で活動し続けたりする可能性があります。

例えばZeusトロイの木馬は、ユーザーのデータと銀行情報を窃取するように設計されています。Microsoft Windowsユーザーを標的とします。2007年に米国運輸省を標的とした際に初めて特定され、2009年にはさらに広範囲に拡散し、Amazon、NASA、Cisco、Bank of Americaなど多数の人気サイトの74,000以上のFTPアカウントに感染しました。

1. ウイルス

事例：Brain（IBM PCおよび互換機向けの最初のコンピュータウイルス）

コンピュータウイルスとは、所有者の許可なしにコンピュータへのアクセスを得るために意図的に書かれた悪意あるスクリプトです。これらのプログラムは主にコンピュータデータの窃取や破壊を目的として書かれています。

ほとんどのシステムは、プログラムのバグ、OSの脆弱性、不十分なセキュリティプラクティスによってウイルスに感染します。AV-Test（アンチウイルスおよびセキュリティスイートソフトウェアを分析・評価する独立組織）によると、毎日約56万件の新しいマルウェアが検出されています。

コンピュータウイルスには、起源、拡散能力、保存場所、感染ファイル、破壊的性質などによって分類されるさまざまなタイプがあります。それらが実際にどのように機能するか、詳しく見ていきましょう。

よくある質問

悪意あるコードは何ができる？

マルウェアの目的に応じて、デバイスのパフォーマンスを低下させ、アプリケーションをランダムにクラッシュさせ、システムに新しいプログラムを追加し、既存のアプリケーションを削除し、スパムを送信し、機密情報やパスワードを窃取することができます。

要するに、悪意あるスクリプトはあなたのプライベート情報を窃取するだけでなく、資産やビジネス全体を破壊する能力を持っています。

マルウェアから保護するソフトウェアの種類は？

最新のアンチウイルスソフトウェアとマルウェア除去ツールは、多くの種類の悪意あるプログラムに対して効果的であることが証明されています。これらはデバイスを徹底的にスキャンして有害なスクリプトを検出し、新たに開発されたマルウェアに対する保護を強化するための自動アップデートを提供します。

一部のツールは、機械学習技術を採用し、誤検知を最小限に抑えながらマルウェアを効果的に検出・分類しています。

マルウェアから防御する最も効果的な方法は？

マシンが有害なスクリプトに感染するのを防ぐには、以下を実行すべきです：

• アンチウイルスソフトウェアとファイアウォールをインストールする
• OSとアプリケーションを定期的に更新する
• 信頼できるソースからアプリをダウンロードしてインストールする
• メールに添付された怪しいファイルを開かない
• データを定期的にバックアップする

デバイスをスムーズに動作させるために、ファイルとフォルダを整理し、ゴミ箱を空にし、Windowsでディスクデフラグとディスククリーンアッププログラムを実行するなどの追加手順も実行できます。