Moshiru
会社情報記事一覧無料スキャン

会社のセキュリティ教科書　第2部 2-3

ファイルレスマルウェア・ルートキット・バックドアとは｜ウイルス対策ソフトに映らない手口と気づき方

公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太

こんなときに役立ちます

  • ウイルス対策ソフトが何も検知しないのに、様子がおかしいとき
  • EDRを入れるべきか、ログをどこまで残すべきか迷っているとき
  • 取引先のチェックシートで「不審な挙動の検知」を聞かれたとき

読み終えたあと、社内でこう言えます

「見えにくい攻撃に備えて、異変に気づいたときの初動を1枚にまとめました」

結論：ファイルレスマルウェア・ルートキット・バックドアは、どれも「見つからないこと」を重視した手口です。ファイルを残さずメモリやOSの標準機能で動く、自分の存在を隠す、正規の手順を通らない入口を残す、という違いがあります。ファイルの中身を調べる従来型のウイルス対策ソフトだけでは、「検知なし」が「感染なし」を意味しません。備えの軸は、振る舞いを見るEDRと、攻撃者が消せない場所に残すログです。おかしいと感じたら、電源を切らずにネットワークから切り離し、記録を残して相談するのが初動です。

ファイルレスマルウェア・ルートキット・バックドアはファイルの検査では見つかりにくい。振る舞いを見るEDR、別の場所に残すログ、遠隔操作ツールの絞り込み、切り離して相談する初動で備える

3つの手口の違い：隠れ方がそれぞれ違う

マルウェア（悪意のあるプログラム）の多くは、ファイルとしてパソコンに保存されます。今回の3つは、その「ファイルを調べれば見つかる」という前提を外してくる手口です。

手口ひとことで隠れ方
ファイルレスマルウェアファイルを残さないメモリ上やOSに最初からある機能（スクリプトの実行機能など）を使って動きます。
ルートキット自分を隠す道具管理者の権限を取ったあとに入れられ、ファイルや動いているプログラムを一覧に出さないようにします。
バックドア裏口正規のログインを通らずに入れる入口を残し、あとから何度でも戻ってこられるようにします。

NIST（米国国立標準技術研究所）の用語集では、ルートキットは「攻撃者が管理者権限を得たあとに使う道具の集まり」で、活動を隠して支配を続けるものとされています。バックドアは「文書化されていない、システムに入る方法」と定義されています。

「ファイルレス」には決まった定義がない

Microsoftの解説は、ファイルレスマルウェアに確立された定義はないとしたうえで、ファイルの痕跡の量で3つに分けています。

実際の攻撃では、一部はファイルを使い、一部はファイルレス、という組み合わせも多いとされています。「ファイルレスかどうか」の線引きより、「ファイルの検査だけでは足りない」と押さえるのが実務的です。

なぜウイルス対策ソフトが見逃すのか

従来型のウイルス対策ソフトは、保存されたファイルを、既知の悪いものの特徴と照らし合わせるのが基本です。ファイルがなければ照らし合わせる相手がありません。さらに、正規の道具を使われると「普段の作業」と見分けがつきにくくなります。

米国CISAやオーストラリアACSCなど各国の機関は、2024年2月の共同文書で、こうした手口を「環境寄生型（Living off the Land、LOTL）」と呼びました。システムに最初からある道具を悪用し、普段の操作に紛れるやり方です。この文書は、調整していないEDRではこの種の活動に警告が出ないことがある、とも書いています。

見ているもの得意なこと苦手なこと
ファイルの検査既に知られたマルウェアを、開く前に止めるファイルを残さない手口、正規の道具の悪用
振る舞いの監視（EDRなど）「この順番の動きはおかしい」に気づく調整しないと警告が多すぎる、または出ない
ログあとから「いつ、誰が、何をしたか」をたどる取っていない分は戻らない、見る人が要る

入口も変わっています。警察庁の令和6年の資料では、ランサムウェア被害の感染経路は、アンケートでVPNやリモートデスクトップ用の機器からの侵入が8割以上でした。正規の入口から入り、正規の道具で動かれると、ファイルの検査には映りにくくなります。

Microsoft Defender for Endpointの説明では、こうした手口に対し、スクリプトの中身の検査（AMSI）、振る舞いの監視、メモリの検査などを組み合わせています。最近のウイルス対策製品は、ファイル以外も見るものが増えています。自社の製品がどこまで見ているかを、管理画面や製品の説明で一度確かめておきます。

「様子がおかしい」を具体的にする

見つかりにくい手口ほど、気づくきっかけは「いつもと違う」です。次のような違和感は、検知がなくても記録に残します。

たとえば社員20人の製造業（架空の例）で、経理のパソコンが毎朝重い、とします。ウイルス対策ソフトの全体スキャンでは何も出ません。ところがVPN機器の記録を見ると、深夜2時に退職者のアカウントでの接続が続いていました。ファイルの検査は「白」でも、アカウントと通信の記録が「おかしい」を示していた、という形です。

この例のように、端末だけを調べても答えは出ないことがあります。VPN機器、メール、クラウドの管理画面のログイン履歴を合わせて見るのが近道です。

EDRとログ：見えるようにしておく備え

EDR（Endpoint Detection and Response）は、パソコンやサーバーの動きを記録し続け、不審な振る舞いを知らせて、遠隔で切り離すなどの対応を助ける仕組みです。入れたら終わりではなく、誰が警告を見るかまで決めて初めて役に立ちます。

備え中小企業での始め方
振る舞いを見る今のウイルス対策製品に振る舞い検知やEDRの機能があるか確かめ、あれば有効にします。警告の通知先を、見る人のアドレスにします。
ログを別の場所に共同文書は、ログを攻撃者が触れない別の場所に集めることを勧めています。VPN機器やクラウドのログを、端末とは別に保存します。
普段の姿を知る誰がどの時間帯にログインするか、どんな遠隔操作ツールを使うかを一覧にします。ずれに気づく物差しになります。
道具を絞る同文書は、遠隔操作ツールを主に使う1つと予備1つに絞り、要らないものは止めるよう勧めています。
操作の記録WindowsのPowerShellには、実行された内容を記録する「スクリプトブロックログ」があり、グループポリシーで有効にできます。パスワードなどが記録に入ることがあるため、ログの置き場所と閲覧者を決めておきます。

ログを何日残すかは、取引先からもよく聞かれます。種類ごとの標準の保存日数はログの保管期間の手引きにまとめています。

おかしいと思ったときの初動：消さない・切る・相談する

見つかりにくい手口が疑われるときほど、自己判断の「掃除」は禁物です。メモリ上の手がかりや記録が消えてしまいます。

  1. 電源は切らない：メモリ上だけで動く手口は、電源を切ると手がかりも消えます。画面の写真を撮り、時刻を書き留めます。
  2. ネットワークから切り離す：LANケーブルを抜き、Wi-Fiを切ります。EDRがあれば、管理画面から端末を隔離します。
  3. アカウントを止める：怪しいログインがあったアカウントは、パスワードを変え、ログイン中の状態を取り消します。
  4. ほかの記録を確保する：VPN機器、メール、クラウドのログを保存します。上書きされる前に書き出します。
  5. 相談する：深く入り込まれた疑いがある端末は、駆除を試すより、保全してから初期化と入れ直しを前提に判断します。相談先はどこに相談すればいいかにあります。

社員が最初の5分でやることは会社のパソコンがウイルスに感染したら、不正アクセスが疑われるときは不正アクセスの最初の1時間も合わせて見てください。

チェックシートではこう聞かれる

よくある設問答え方の例
全ての端末にマルウェア対策ソフトを導入し、定義ファイルを自動で更新していますか。はい。全端末に導入し、管理画面で更新と稼働の状況を月1回確認しています。
端末の不審な挙動を検知・対応する仕組み（EDR等）を導入していますか。はい（一部）。振る舞い検知を全端末で有効にし、警告は担当者にメールで届きます。EDRは管理者の端末から導入しています。
アクセスログや操作ログを取得し、一定期間保管していますか。はい。VPN機器とクラウドのログを端末とは別の場所に〇〇日保管しています。
マルウェア感染が疑われるときの対応手順を定めていますか。はい。切り離し、記録、報告の順を手順書にし、社内に周知しています。

試験ではここが問われる

SG・支援士・Security+ 2

  • ファイルレスマルウェア：ディスクにファイルを残さず、メモリやOS標準の機能で動く。ファイルの検査（パターンマッチング）だけでは見つけにくい。
  • ルートキット：侵入後に、管理者権限で活動の痕跡を隠すための道具の集まり。「侵入する道具」ではなく「隠す道具」と覚える。
  • バックドア：正規の認証を通らずに入れる裏口。侵入後に再び入るために仕掛けられる。
  • 環境寄生型（LOTL）：OSに最初からある正規の道具を悪用し、普段の操作に紛れる手口。
  • EDR：端末の振る舞いを記録・監視し、侵入後の検知と対応（隔離など）を助ける。侵入前に止めることを主にするウイルス対策ソフトと区別する。

確認問題

問1 ルートキットの説明として、最も適切なものはどれですか。

  1. ア 利用者をだまして、偽のサイトでパスワードを入力させる仕組み
  2. イ 侵入した攻撃者が、活動の痕跡を隠して支配を続けるための道具の集まり
  3. ウ 大量の通信を送りつけて、サーバーを使えなくする攻撃
  4. エ ファイルを暗号化して、元に戻す代わりに金銭を求めるプログラム
答えと解説
正解：イ　ルートキットは侵入後に「隠す」ための道具です。アはフィッシング、ウはDoS攻撃、エはランサムウェアの説明です。

問2 ファイルレスマルウェアが従来型のウイルス対策ソフトで見つかりにくい理由として、最も適切なものはどれですか。

  1. ア 通信をすべて暗号化しているから
  2. イ 必ず管理者権限で動くから
  3. ウ 検査の対象となるファイルをディスクに残さず、正規の機能を使って動くから
  4. エ 定義ファイルの更新を止めてしまうから
答えと解説
正解：ウ　ファイルの検査は、保存されたファイルを既知の特徴と照らし合わせます。ファイルがなく、正規の機能で動くと照らし合わせる相手がありません。ア・イ・エは、ファイルレスに限った特徴ではありません。

問3 社員15人の設計事務所で、ウイルス対策ソフトは何も検知していません。ところがクラウドの管理画面に、深夜に海外からのログイン記録が数日続いていました。最初の対応として、最も適切なものはどれですか。

  1. ア 検知がないので問題なしと判断し、様子を見る
  2. イ 該当アカウントのパスワード変更とログイン状態の取り消しを行い、ログを保存して相談する
  3. ウ すぐに全端末の電源を切り、翌日に再起動して様子を見る
  4. エ 無料の駆除ツールを複数入れて、全端末をスキャンし直す
答えと解説
正解：イ　検知がないことは、感染がないことを意味しません。アは放置になり、ウは手がかりを消すおそれがあります。エは記録を上書きし、原因の特定を難しくします。

よくある質問

Windowsに最初から入っているウイルス対策で足りますか？
ファイルの検査に加えて振る舞いの監視などを行う製品も増えていますが、警告を誰が見るかが決まっていないと気づけません。製品を替える前に、通知先と、警告が出たときの手順を決めるのが先です。
EDRは小さな会社には高くて大げさではありませんか？
全台に入れる前に、管理者のパソコンや経理など、狙われたときの影響が大きい端末から始める方法があります。警告を見る人がいない場合は、監視や駆けつけまでまとめたサービスを選ぶ方法もあります。IPAの「サイバーセキュリティお助け隊サービス」は、中小企業向けにそうした内容をまとめたサービスの一覧です。
初期化すれば、ルートキットやバックドアは消えますか？
端末の中のものは多くの場合消えますが、盗まれたパスワードや、VPN機器・クラウド側に作られた入口は残ります。初期化と合わせて、パスワードの変更とアカウント・機器の見直しを行います。

切り離しと保全の順番を、一人で判断しない

Moshiruは、打合せなしでテキストだけでお受けします。いつから何がおかしいか、どの記録が残っているかを送っていただければ、切り離しと保全の順番、確かめるログを文字でお返しします。

インシデントが起きたら相談する24時間受付・30分以内に返信メニューにないことを頼む文面で合意するまで料金はかかりません

参考にした資料

  1. Microsoft Learn「ファイルレスの脅威」
  2. ASD's ACSC・CISAほか「Identifying and Mitigating Living Off the Land Techniques」（2024年2月）
  3. CISA「Identifying and Mitigating Living Off the Land Techniques」
  4. NIST CSRC Glossary「rootkit」（出典：NIST SP 800-83 Rev. 1、CNSSI 4009-2022）
  5. NIST CSRC Glossary「backdoor」（出典：NIST SP 800-12 Rev. 1、SP 800-82r3）
  6. 警察庁「令和6年におけるサイバー空間をめぐる脅威の情勢等について」
  7. Microsoft Learn「about_Logging_Windows」
  8. IPA「サイバーセキュリティお助け隊サービス」
  9. JPCERT/CC「インシデント対応依頼」
  10. IPA「サイバーセキュリティ相談・届出窓口一覧」