ルートキット
攻撃者が侵入したコンピュータで、侵入の痕跡やマルウェアの存在を隠すためのツールの集まり。OSの深い部分に入り込み、ファイルやプロセス、通信を、管理者やセキュリティソフトから見えなくする。
イマシルちゃんの解説
泥棒が家に忍び込んだあと、足あとを消して、窓を元通りに閉めて、
しかも監視カメラの映像を「いつもの部屋」の映像にすり替えていたら……気づけないよね。
ルートキットは、まさにそんな「隠ぺい道具セット」なんだ。
マルウェアのファイルやプログラムを、パソコンの持ち主からもセキュリティソフトからも見えなくしちゃう。
だから、とっても見つけにくいんだよ！
より深い解説
定義
ルートキット（rootkit）は、攻撃者がコンピュータに侵入した後、管理者権限（UNIXの root）を維持し、自分の活動を隠し続けるために使うソフトウェアの集まりである。名前は、root（管理者）の権限を得るための道具一式（kit）に由来する。
主な機能
| 機能 | 内容 |
|---|---|
| 隠ぺい | マルウェアのファイル、プロセス、レジストリの項目、通信の接続を、OSの一覧表示から見えなくする |
| ログの改ざん | 侵入の記録を消す、書き換える |
| バックドア | 攻撃者が後から再び侵入するための裏口を設ける |
| 権限の維持 | 管理者権限を保ち続ける |
ルートキットは、それ自体が感染を広げるのではなく、ほかのマルウェアと組み合わせて、その存在を隠すために使われることが多い。
入り込む場所による分類
| 種類 | 入り込む場所 | 検出の難しさ |
|---|---|---|
| ユーザモード | アプリケーションや、OSのライブラリ | 比較的見つけやすい |
| カーネルモード | OSのカーネル（デバイスドライバなど） | 難しい。OSそのものの結果が信用できなくなる |
| ブートキット | OSより先に動く起動の仕組み（ブートローダ） | 非常に難しい |
| ファームウェア | BIOS／UEFI、機器のファームウェア | 非常に難しい。OSを入れ直しても残る |
検出と対策
ルートキットに感染したOSの上で動くセキュリティソフトは、OSから偽の情報を返されるため、正しく検出できないことがある。
| 対策 | 内容 |
|---|---|
| 外部からの検査 | 別の安全な起動媒体（CDやUSBメモリ）からOSを起動し、感染が疑われるディスクを検査する |
| セキュアブート | 起動時に、署名を検証した正規のプログラムだけを実行させ、ブートキットを防ぐ |
| 完全性の確認 | 重要なファイルのハッシュ値を、安全な場所に保管した値と比較する |
| 再インストール | 感染が確認されたら、OSを入れ直すのが確実（ファームウェアの感染に注意） |
マルウェアの特徴との区別
| 特徴 | 名前 |
|---|---|
| ルートキットで自身を隠し、感染していないように見せかける | ステルス型 |
| 感染ごとに暗号化の鍵を変えて、見た目を変える | ポリモーフィック型 |
| 攻撃者からの指令で遠隔操作される | ボット |