ルートキットとは？仕組み・兆候・検出・駆除を初心者にも徹底解説！

PCの動きが急に重い、更新が失敗する、見知らぬ通信が続く――でも原因が見つからない。そんな“見えない脅威”がルートキットです。

本記事では、仕組みと初期サイン、検出方法、駆除かOS再インストールの判断、ブートやファーム感染への対処、再発防止までを、初心者にも分かりやすく実務目線で解説します。

ルートキットとは何か

「ルートキット」とは、攻撃者がシステムの最上位権限（root や Administrator）を握ったうえで、侵入の痕跡や不正プロセス・ファイル・通信を見えにくくするための“隠蔽用ツール群”の総称です。

つまり、単体のウイルス名というより、権限奪取と隠蔽、そして長期支配を実現するための仕組みのことを指します。

したがって、ルートキットは他のマルウェア（トロイの木馬や情報窃取型など）と組み合わされ、発見を遅らせるために使われることが多いのが特徴です。

1-1. 基本的な定義と隠蔽・持続・制御の特徴

1-1-1. ルートキットの定義（なにを指すのか）

• ルートキットは、最上位権限の奪取と保持を目的に、システム内部へ深く入り込み、監視や検出を回避するための技術やツールの集合体です。
• 具体的には、プロセス一覧から不正プロセスを消す、ログを改ざんする、システムコールを差し替える、ドライバを挿し込むなど、見えなくするための手段が含まれます。
• だからこそ、ルートキットは“見つからないこと”に特化しており、一般的なマルウェアよりも発見と駆除が難しくなります。

1-1-2. 隠蔽（ステルス性）・持続（永続化）・制御（支配）の三本柱

• 隠蔽（ステルス性）：
  システムコールのフックやドライバ介入、フィルタリングで、プロセス・ファイル・レジストリ・ネットワーク接続などを一覧から隠します。結果として、セキュリティソフトの検知精度も下がりやすくなります。
• 持続（永続化）：
  起動時に必ず読み込まれる領域（ブート領域やドライバ、サービス項目など）へ仕掛け、再起動しても活動を続けます。したがって、長期間にわたりシステムを不正支配できます。
• 制御（支配）：
  取得した最上位権限で、キーロガーやバックドアの展開、設定変更、追加マルウェアの投下を自在に行います。なぜなら、OSの「土台」に近い層へ食い込むほど、検出回避と自由度が増すからです。

1-1-3. ルートキットと他マルウェアの関係

• ルートキットは“役割”であり、しばしば他のマルウェアの“隠れ蓑”として機能します。
• 例えば、情報窃取型マルウェアが活動する前にルートキットで土台を作り、痕跡を消しながら長期間データを抜き取る、といった組み合わせが現実的です。

マルウェアとは？種類と特徴を初心者にもわかりやすく解説します！マルウェアの脅威を理解し、対策するために必要な知識を一つの記事に凝縮しました。マルウェアの種類や感染経路、影響とリスク、感染兆候や対処法、さらにはマルウェア対策の重要性やセキュリティ強化まで、幅広いトピックを網羅。具体例も交えながら分かりやすく解説します。...

1-1-4. 典型的な兆候（見えづらいが、気づくヒント）

• 監視ツールに表示されない不正プロセスや不可解なドライバ読み込み
• ログの欠落や時刻の不自然な改ざん
• セキュリティソフトの無効化、更新の失敗、設定の勝手な変更
• ネットワークの微妙な遅延や、未知の宛先への通信増加
  こうした兆候は単独では決定打になりませんが、組み合わさるとルートキットの可能性を示唆します。

---

1-2. ユーザーモード、カーネルモード、ファームウェア／ブートキットなど種類の違い

1-2-1. ユーザーモード・ルートキット

• 【どこで動くか】アプリケーション層（ユーザ空間）。
• 【手口の例】DLL インジェクション、API フック、ユーザ空間でのプロセスやファイル隠し。
• 【長所／短所（攻撃者目線）】比較的作りやすい反面、権限昇格が不十分だと検出・除去されやすい。
• 【対策の要点】信頼できない実行ファイルや拡張機能の導入回避、アプリ整合性チェック、EDR によるふるまい検知。

1-2-2. カーネルモード・ルートキット

• 【どこで動くか】OS の中核（カーネル空間、ドライバ層）。
• 【手口の例】システムコールテーブルの書き換え、ドライバフック、カーネルオブジェクトの隠蔽。
• 【長所／短所】OS の土台で動くため強力に隠蔽できる一方、作成難易度が高い。検出・駆除は困難で、しばしば OS 再インストールが現実的選択になります。
• 【対策の要点】ドライバ署名の強制、セキュアブート、脆弱なドライバのブロック、最小権限運用。

1-2-3. ブートキット（MBR/EFI/UEFI 由来の領域を悪用）

• 【どこで動くか】OS より前の起動プロセス（ブートローダや UEFI など）。
• 【手口の例】MBR/ブートローダ改ざん、起動チェーンへの介入により、OS 起動前に自分を読み込ませる。
• 【長所／短所】最初に実行されるため支配力と持続性が非常に高い。標準的な AV では検出が難しく、復旧にはブート領域の修復や再展開が必要になる場合があります。
• 【対策の要点】セキュアブートの有効化、ブート領域保護、起動メディアの完全性検証。

1-2-4. ファームウェア・ルートキット（デバイス組み込み領域の汚染）

• 【どこで動くか】デバイスやマザーボードのファームウェア（UEFI、NIC、HDD/SSD、GPU など）。
• 【手口の例】ファームウェアの書き換えにより、OS を入れ替えても再感染する“超高持続性”を獲得。
• 【長所／短所】可視化が極めて難しく、検証・復旧にはベンダ純正ツールやファーム更新、最悪は部品交換が必要。
• 【対策の要点】ファームウェアの署名検証、BIOS/UEFI パスワードと更新管理、不要な周辺機能の無効化、ハードウェア資産の健全性監査。

---

種別ごとの比較（まとめ表）

種類	動作層	主な隠蔽・持続手法	検出の難易度（目安）	現実的な復旧策の例
ユーザーモード・ルートキット	アプリ層	API/DLL フック、ユーザ空間の改ざん	中	信頼アプリの再導入、EDR/AV 駆除、設定修復
カーネルモード・ルートキット	OS 中核	システムコール/ドライバ改変	高	既知手法の検知ツール、オフラインスキャン、OS 再インストール
ブートキット	起動チェーン	MBR/EFI/UEFI 改ざん	高〜非常に高	ブート領域修復、セキュアブート、OS クリーン再展開
ファームウェア・ルートキット	デバイス組込	FW 書き換え・持続化	非常に高	公式 FW で再フラッシュ、ハード交換、ベンダ支援

どうやって感染するのか

ルートキットは単独で空から降ってくるわけではありません。

多くの場合、最初に「侵入の入口」を作られ、そこで得た権限を足がかりにルートキットとしての隠蔽・永続化が実装されます。

つまり、入口（脆弱性やだましの手口）と、出口（検出回避と長期支配）をつなぐ“工程”がある、という理解が重要です。

したがって本章では、ルートキットが入り込む主な経路を二つに整理して解説します。

2-1. OSやアプリの脆弱性からの侵入経路

OSやアプリの未更新・設定不備は、ルートキットにとって絶好の“正面玄関”です。

なぜなら、脆弱性を突けばサンドボックスや署名検証といった防御を迂回し、より深い層（カーネルやブート領域）まで到達できるからです。

2-1-1. 典型パターン（初期侵入 → 権限昇格 → 永続化）

• 初期侵入：ブラウザやミドルウェア、古いプラグインの既知脆弱性（いわゆる N-day）や未知の 0-day を悪用。
• 権限昇格：脆弱なドライバや OS の権限昇格バグを利用し、管理者／root 権限を獲得。
• 永続化：カーネルドライバ、ブートローダ、レジストリ、サービス等へ仕込み、ルートキットとして隠蔽と持続を確立。

2-1-2. 具体例：脆弱ドライバ悪用（BYOVD）とカーネル書き換え

• 攻撃者は“脆弱だが正規署名つき”の古いドライバを持ち込み（Bring Your Own Vulnerable Driver）、そのドライバを踏み台にしてカーネル空間へ侵入します。
• その結果、システムコールのフックやドライバ連鎖の差し替えが可能になり、ルートキットとして強力な隠蔽が成立します。

2-1-3. 具体例：未修正アプリ／古いプラグインからの侵入

• CMS・ブラウザ拡張・PDF/Office プラグインなどの既知脆弱性を放置すると、エクスプロイト経由で任意コード実行を許してしまいます。
• そこからダウンローダが投入され、後段でルートキット（カーネル／ブート／ファームウェア系）に“昇格”していく流れが一般的です。

2-1-4. 対策の要点（実務）

• パッチ運用の徹底（OS／ドライバ／アプリ）。特にドライバと低層コンポーネントを最優先。
• セキュアブートの有効化と、既知の脆弱ドライバをブロックするポリシー運用。
• 最小権限（Least Privilege）とアプリ実行制御（許可リスト方式）。
• EDR/行動分析で権限昇格やドライバ読み込みの不審挙動を検知。
• 脆弱性スキャンと資産管理で“古いまま”を作らない。

---

2-2. 外部メディア・メール・Webサイト経由のリスク

つぎに、“だまし”を伴う間接ルートです。社会工学（ソーシャルエンジニアリング）と組み合わされると、ユーザーが自ら入口を開けてしまうことがあります。

だからこそ、技術対策と運用ルールの両輪が不可欠です。

2-2-1. メール（フィッシング／添付ファイル／偽更新の誘導）

• 添付ファイル：パスワード付きアーカイブ、ISO／LNK、マクロ付き Office 文書などが“初期実行”の踏み台になります。
• 偽更新ページへ誘導：宅配・請求書・人事通知などを装い、偽サイトで“更新プログラム”を入れさせる。
• その結果、ローダが落ち、後段でルートキット（カーネルドライバやブートキット）が導入される流れにつながります。

2-2-2. Web（ドライブバイ／マル広告／水飲み場攻撃）

• ドライブバイダウンロード：脆弱なブラウザやプラグインに自動実行を仕掛ける。
• マルバタイジング（悪性広告）：正規サイトの広告枠から攻撃コードを配信。
• 水飲み場攻撃：業界の関係者が集まるサイトを改ざんし、特定組織を狙って感染させる。
• いずれも“静かに入口を作る”のが狙いで、後続のルートキット化に接続します。

2-2-3. 外部メディア（USB／持ち込み PC／周辺機器）

• USB 経由：自動実行設定や人の“つい差す”心理を突き、ステージャーを展開。
• BadUSB 的手口：USB がキーボード等になりすまし、コマンドを注入。
• 持ち込み PC・周辺機器：社内ネットワークに接続された時点で横展開の足がかりに。最終的にルートキットの永続化へ発展します。

2-2-4. 対策チェックリスト

• メール：ゲートウェイでマルウェア・URL 検査、マクロ既定無効、危険拡張子の隔離、なりすまし対策（DMARC 等）。
• Web：ブラウザの自動更新、不要プラグイン排除、DNS/URL フィルタ、ブラウザ隔離（必要に応じて）。
• 外部メディア：デバイス制御（USB 制限・読み取り専用化）、持ち込み資産の検疫、ファームウェアの健全性確認。
• 横断：EDR によるふるまい検知、多層防御、最小権限、ログの集中監視。

---

まとめ表：感染経路と“ルートキット化”の道筋

経路	想定手口	ルートキット化の道筋	優先対策
OS/アプリの脆弱性	N-day/0-day、脆弱ドライバ（BYOVD）	権限昇格 → ドライバ/カーネル改変 → 隠蔽・永続化	パッチ、セキュアブート、ドライバブロック、EDR
メール	添付（ISO/LNK/マクロ）、偽更新誘導	初期実行 → ダウンローダ → カーネル/ブート導入	ゲートウェイ対策、マクロ無効、URL フィルタ、教育
Web	ドライブバイ、悪性広告、水飲み場	サイレント実行 → 権限昇格 → 永続化	ブラウザ更新、プラグイン削減、DNS/URL フィルタ
外部メディア	USB/持ち込み機器、BadUSB	ローカル初期侵入 → 横展開 → 低層化	デバイス制御、検疫、FW 健全性検証

感染の初期サインは？

ルートキットは“見えなくする”ことが得意です。

つまり、典型的なウイルスのように派手な症状を出さず、静かに権限を奪い、長期間システムを支配します。

したがって、初期サインは小さな違和感の積み重ねとして表れることが多く、矛盾や不一致に注目する姿勢が重要です。

なぜなら、ルートキットはプロセス一覧やログを隠せても、リソース使用量やネットワーク統計といった“副作用”までは完全に隠しきれないことがあるからです。

3-1. システムの動作異常や動作の遅さ、エラー表示など具体的な兆候

3-1-1. パフォーマンス劣化とリソース消費の不自然さ

• 突然の動作の重さ、入力遅延、アプリの起動に時間がかかる。
• ディスクのランプが常に点灯、異常なディスク I/O。
• バッテリー消費や発熱の増加、ファンの高回転。
• 重要な観点は“矛盾”です。例えば、タスクマネージャやアクティビティモニタに高負荷プロセスが見当たらないのに、CPU グラフだけが高止まりしている、といった状況はルートキットの隠蔽を示唆します。

参考の見方（代表例）

• Windows：タスクマネージャ、リソースモニタ、パフォーマンスモニタ。
• macOS：アクティビティモニタ、コンソール。
• Linux：top、htop、iostat、iotop、vmstat。

3-1-2. 起動・シャットダウン周りの異常

• 起動が不自然に遅い、あるいは予期しない再起動が増える。
• シャットダウンが完了しない、スリープからの復帰が遅い。
• これは、ブート領域やドライバ読み込みに介入するルートキット（ブートキット、カーネル型）が影響している可能性があります。

3-1-3. ネットワーク挙動の違和感

• 覚えのない外部宛への通信、特に深夜帯の送信量増加。
• DNS 失敗や名前解決の遅延が断続的に発生。
• ネットワーク利用率は高いのに、通信しているプロセスが一覧に出てこない。
• したがって、プロセスとポート、外向き接続先の突合は有効です。

3-1-4. エラーや警告の増加・更新の失敗

• セキュリティ製品が突然停止する、定義更新に失敗する。
• OS 更新エラー、ドライバ署名関連の警告。
• その結果、保護層が薄くなり、ルートキットの持続化がさらに強固になります。

症状の整理（早見表）

兆候	何が起きている可能性	初動で確認したいこと
高負荷なのに“犯人”が見えない	隠蔽されたプロセスやドライバ活動	リソースグラフとプロセス一覧の不一致、カーネルモジュールの確認
起動が極端に遅い	ブートチェーンへの介入	セキュアブート設定、起動項目、ブートローダ設定
深夜の送信増加	外部 C2 との通信	外向き接続先、DNS クエリ、プロキシログ
セキュリティ機能が無効化	自己防衛（タメリング）	AV/EDR サービス状態、署名更新状況

---

3-2. 設定変更や見知らぬ挙動の痕跡

ルートキットは、検出を妨げるために設定を“静かに”変えます。

だからこそ、普段と違う既定値や、説明のつかない変更に敏感であることが重要です。

3-2-1. セキュリティ機能の無効化や更新失敗

• ウイルス対策の常駐保護がオフになっている、EDR エージェントがオフライン表示。
• ファイアウォールの規則が勝手に緩くなる、ログ収集が止まる。
• Windows Update のサービスが停止、グループポリシーが書き換わる。
• つまり、守りの要が外されているなら、ルートキットの介入を疑うべきです。

3-2-2. ドライバ・サービス・モジュールの不審な追加

• 覚えのないカーネルドライバの読み込み、署名が不明または古い。
• 新規サービスや常駐タスクが勝手に追加、起動種類が自動に変更。
• Linux で見慣れないカーネルモジュールが存在（lsmod）、systemd サービスの新規作成。
• したがって、起動時に読み込まれるものを優先して点検します。

3-2-3. ファイルシステムやレジストリの異常

• 隠し属性やシステム属性の不自然な付与、タイムスタンプの改ざん。
• NTFS の代替データストリームに実行ファイルが潜む。
• レジストリの Run キーやスケジュールタスクの改変。
• その結果、永続化の足場が出来上がります。

3-2-4. ブート領域・ファームウェア周辺の兆候

• セキュアブートが無効化、ブート順が勝手に変更。
• UEFI 設定のパスワードが外れている、未知のブートエントリが追加。
• これはブートキットやファームウェア型ルートキットの典型的な足跡です。

3-2-5. ログの欠落や時刻の不自然な動き

• ある時間帯のシステムログが丸ごと欠落、監査ログが止まる。
• NTP 先の変更、時刻が跳ねる。
• なぜなら、痕跡消しや相関解析の妨害はルートキットの重要な目的だからです。

痕跡の整理（チェックリスト）

• 常駐保護、ファイアウォール、更新機能が意図せずオフになっていないか。
• 新規ドライバやサービス、カーネルモジュールの追加はないか。
• 起動項目、スケジュール、レジストリ Run キー、cron に不審はないか。
• セキュアブートや UEFI 設定に変更はないか。
• ログの欠落や時刻の不自然な変更はないか。

ルートキットをどう検出するか

ルートキットは「見えないこと」を武器にします。

つまり、通常のプロセス一覧やログには現れにくく、ふるまいの矛盾や起動前の段階、さらにはファームウェア層に潜むこともあります。

したがって、検出は一発勝負ではなく、オンライン／オフラインのスキャン、ふるまい分析、整合性チェック、ネットワーク観測を組み合わせる“多層の手順”として設計するのが現実的です。

---

4-1. セキュリティソフトや動作解析スキャンの活用法

4-1-1. オンラインスキャンとオフラインスキャンの使い分け

• オンラインスキャン（通常起動時）
  日々の保護と初期検知に有効です。ただし、ルートキットがドライバやフックで隠蔽している場合、検出精度が下がるおそれがあります。
• オフラインスキャン（再起動や回復環境、別メディア起動）
  OS より前か、対象ディスクを“外から”検査するため、ルートキットの隠蔽を受けにくいのが強みです。
• 運用指針
  まずオンラインで広く当て、疑わしければオフラインで深く確認する二段構えにします。なぜなら、感染直後の封じ込めと、永続化の有無の切り分けが同時に進められるからです。

4-1-2. ふるまい検知（EDR）で“矛盾”を掴む

• ドライバ読み込み、権限昇格、レジストリやサービスの改変、セキュリティ機能の無効化といった連鎖を時系列で捉えます。
• 重要なのは“見える情報同士の不一致”です。例えば、CPU やディスクは高負荷なのに、対応するプロセスが見えない場合、ルートキットによる隠蔽が疑われます。
• したがって、エンドポイント単体だけでなく、SIEM での横断相関（DNS／プロキシ／EDR イベントの紐づけ）を並行させると、検出率が上がります。

EDRとは？重要性と効果的な活用方法について初心者にもわかりやすく解説！「EDRセキュリティ」に関する基本原則から導入方法、効果的な活用手法、課題と対策、さらに将来展望まで、包括的な情報を提供します。EDRソリューションの選び方や成功事例も紹介します。読者の皆様の悩みやニーズに応えながら、EDRセキュリティの重要性と効果を理解し、適切なセキュリティ対策を実現するための知識を提供します。 ...

4-1-3. メモリ・整合性チェックの基本

• メモリフォレンジック
  取得したメモリダンプから、隠しプロセス、未署名ドライバ、フックの有無を確認します。
• 整合性監視
  既知の良品（ハッシュや署名）とカーネル／重要バイナリを突き合わせ、不正改変を検出します。
• つまり、ストレージより前に“今この瞬間の実行状態”を押さえることで、ルートキットの痕跡を引きずり出せます。

4-1-4. ネットワーク視点の検出（C2 の兆候）

• 深夜帯の外向き通信、DNS クエリの偏り、未知の ASN への長時間接続などは重要なヒントです。
• 端末の接続一覧とゲートウェイ／DNS ログを突合し、プロセス名や証跡が欠落していないかを確認します。
• その結果、端末内で隠されている活動を“外側の事実”で裏付けできます。

4-1-5. 初動の原則（分離・保全・再感染防止）

• ネットワーク分離（段階的に）、ログとメモリの速やかな保全、スキャン用メディアの信頼性確保。
• したがって、拙速な「なんとなくの駆除」ではなく、証拠を残しつつ段階的に調査・駆除へ移る設計が重要です。

---

4-2. 専用ツール（chkrootkit、rkhunterなど）の使い方と注意点

4-2-1. Linux：chkrootkit の基本

• 目的
  既知のルートキットや不審挙動のシグネチャ検査を行います。
• 使い方の流れ
  1. 公式リポジトリから導入
  2. 可能なら“別メディア起動”で対象ディスクをマウントして実行
  3. -q（静かに）やログ出力で結果を保全
• 注意点
  検出名は“兆候”であり、環境依存で誤検知もあります。結果は必ず別手段（ハッシュ照合、他ツール）でクロスチェックします。

4-2-2. Linux：rkhunter の基本

• 目的
  ルートキットの兆候に加え、バイナリ改変や隠し属性、権限設定の異常を広く点検します。
• 使い方の流れ
  1. 定義やプロパティ DB を更新（初回に基準値を作成）
  2. --checkで全体スキャン、警告はレポート化
  3. 基準値更新（正当な変更後のみ）でノイズを低減
• 注意点
  サーバ特有のカスタム設定は警告になりがちです。運用に合わせて例外ルールを整備し、警告疲れを防ぎます。

4-2-3. 併用したい周辺ツール（Linux）

• unhide：隠しプロセス／ポートを検出。
• lsmod、modinfo、dmesg：見慣れないカーネルモジュールや読み込み失敗を確認。
• パッケージ検証：rpm -V や debsums でバイナリ改変の有無を確認。
• ファイル改ざん監視：AIDE などで“良品スナップショット”を持ち、差分で不正を炙り出します。
• だからこそ、単一ツールに依存せず、役割の異なるツールで重ねて確認します。

4-2-4. Windows の実務ツール

• オフラインスキャン：回復環境や専用メディアからのスキャンで隠蔽を回避。
• Sysinternals 系：
  • Autoruns（永続化ポイントの可視化）
  • Sigcheck（署名とハッシュで正当性を検証）
  • Process Explorer（不審ハンドルや DLL インジェクションの痕跡）
• ドライバ監査：不明な署名や古いドライバの読み込みを重点確認。
• つまり、永続化・署名・実行中プロセスの三点を“横断”して見ることで、ルートキットの足場を特定しやすくなります。

4-2-5. UEFI／ブート領域・ファームウェアの検査

• セキュアブート状態、未知のブートエントリ、MBR／EFI の改変有無を確認します。
• ベンダ公式のファームウェア診断・更新ツールや、Linux の fwupd 等で署名・バージョンの整合性を検証。
• したがって、OS を入れ替えても再感染するケースを早期に切り分けられます。

4-2-6. ツール運用の落とし穴（誤検知・逆利用・証拠保全）

• 誤検知への過信
  結果は必ず複数の観点で再確認します。単一の“検出あり”だけで即時破壊的対応は避けます。
• 逆利用リスク
  出所不明の“ルートキット駆除ツール”は避け、公式配布と署名・ハッシュを検証します。
• 証拠の保持
  ログ、メモリ、ディスクイメージの保全を先に行い、復旧作業で痕跡を消してしまわないようにします。

---

参考まとめ：検出手法と狙う層

手法	狙う層	強み	留意点
オンライン AV/EDR スキャン	ユーザ／一般	迅速・広範	隠蔽の影響を受けやすい
オフラインスキャン	ブート前／全体	隠蔽に強い	準備と停止時間が必要
メモリフォレンジック	実行中の実態	フックや隠しプロセスに強い	取得と解析の手間
整合性チェック	カーネル／重要バイナリ	改変検出に強い	基準値の維持が必須
専用ツール（chkrootkit／rkhunter）	既知の兆候	手軽・広範	環境依存の警告に注意
ネットワーク相関	端末外の事実	隠蔽を外側から暴く	ログ基盤が必要

感染したらどうする？駆除と対応策

ルートキットは“見えないまま長く居座る”ことを目的としています。

つまり、拙速に触ると証拠が消え、再感染も招きます。

したがって、まずは落ち着いて「分離→証拠保全→判断→実施」の順に進めることが重要です。

5-1. 専用ツールでの駆除 vs. OS再インストールの判断基準

5-1-1. 初動の原則（分離・保全・仮説立て）

• ネットワークを段階的に分離（オフライン化や隔離 VLAN）。
• 電源断の前に可能ならメモリ取得とログ保全（証拠が揮発するため）。
• 「どの層が怪しいか？」を仮説化（ユーザ／カーネル／ブート／ファームウェア）。なぜなら、層により対処方針が根本的に変わるからです。

5-1-2. 専用ツールでの駆除を選ぶ条件

• 兆候がユーザ空間中心（永続化ポイントや不審プロセスに限定）。
• 署名済みの正規ツールで検出が再現し、オフラインスキャンでも同様の所見が取れる。
• 業務停止を最小化したい一方で、証拠保全やバックアップも確保済み。
• したがって、リスクが比較的浅い層に留まる場合は、専用ツール＋オフラインスキャンの併用で十分に戦えます。

5-1-3. OS再インストール（クリーン再展開）を選ぶ条件

• カーネル／ドライバ層への介入が疑われる、またはブート領域の改変兆候が強い。
• セキュリティ機能の無効化やログ改ざんなど“自己防衛”が顕著。
• 駆除ツールで一時的に消えても、再起動後に復活する。
• 業務上、短期の停止は許容できるが、長期の燻りは許容できない。
• この場合は、信頼できるメディアからの完全初期化（全領域消去）と再構築が、結果として最短・最安全になることが多いです。

5-1-4. 判断を早くする比較表

観点	専用ツールでの駆除	OS再インストール（クリーン再展開）
向いているケース	ユーザ空間中心、永続化が浅い	カーネル／ブート改変、再発・再出現
停止時間	短め	中〜長（設計次第）
再発リスク	中（取り残し懸念）	低（実施が適切なら）
必要リソース	ツール、オフラインスキャン環境	信頼メディア、構成管理、イメージ
証拠保全	実施前に要取得	実施前に必須（初期化で消える）

5-1-5. 実施手順の要点（チェックリスト）

• 駆除ツールで進めるとき
  • オフラインブートでスキャン、複数エンジンでクロスチェック。
  • 永続化ポイント（サービス、スケジュール、レジストリ、起動項目）を総ざらい。
  • 影響範囲の確認後、再起動→再スキャンで“復活”の有無を検証。
• OS再インストールで進めるとき
  • 信頼できる別デバイスから起動、全ディスクを消去（可能なら再パーティション）。
  • セキュアブート有効化、最新 UEFI／ドライバ適用後にOSをクリーン展開。
  • 復元データは「事前スキャン済み」「信頼ソースのみ」。
  • その結果、残存や再感染の確率を最小化できます。

---

5-2. BIOSやファームウェア感染への対処と最悪時の対応（再購入など）

ファームウェアやブート領域に潜むルートキットは、OSを入れ替えても再感染します。

つまり、「土台」が汚れている状態です。

したがって、対処はソフトだけでなくハードの健全性確認まで踏み込みます。

5-2-1. 疑うべきサイン

• OSをクリーン再展開しても同様の兆候が再発。
• セキュアブートが勝手に無効化、未知のブートエントリが生成。
• UEFI 設定が保持されない、FW バージョンが意図せず変化。
• ストレージやNICなど周辺機器のファーム更新がエラーで弾かれる。
• つまり、再現性のある“起動前の異常”は強い警告です。

5-2-2. 確証を高めるステップ

• 別メディアで起動し、EFI パーティションやブートローダを検査。
• ベンダ純正ツールや管理基盤で UEFI/BIOS の署名・バージョン整合性を確認。
• fwupd 等で周辺デバイス（SSD、NIC、ドック等）も含めて更新可否を点検。
• 複数端末のログを相関し、同一挙動が出るか検証。なぜなら、個体差ではなく“仕込み”なら横並びで再現するためです。

5-2-3. 再フラッシュと復旧の原則

• 公式ファームウェアのみ使用（署名・ハッシュを検証）。
• 可能なら「外部プログラマ」を用いた ROM 直接書き込みや、サービス拠点での再書き換えを検討。
• 再フラッシュ後は直ちにセキュアブートを有効化し、既知良好な OS イメージを展開。
• その後にのみ、クリーンなバックアップからデータを戻す（戻す前に全量スキャン）。

5-2-4. コンポーネント別の方針（まとめ表）

コンポーネント	想定される汚染	現実的対処
UEFI/BIOS（マザーボード）	ブートチェーン改変、永続化	公式FWで再フラッシュ、場合により基板交換
ストレージ（SSD/HDD）	コントローラFW改変、隠し領域	セキュア消去＋FW再書き込み、難しければ交換
NIC/無線LAN	Option ROM/ドライバ連携	FW更新、不可ならカード交換
GPU/周辺機器	Option ROM悪用	FW更新、不可なら交換
ドッキング等周辺	マイクロコントローラFW	FW更新、不可なら交換・使用停止

5-2-5. それでもだめな場合の最終手段（再購入・交換）

• 感染がファーム層で再現し、再フラッシュや部品交換でも改善しない。
• コンプライアンス上、汚染機器の継続使用が許容できない。
• この場合、機器再購入やマザーボード交換が最小リスクです。コストはかかりますが、長期的な調査・ダウンタイム・信用失墜の損失を考えると合理的な結論になりやすいです。

5-2-6. 復旧後の“後始末”チェック

• 全アカウントのパスワード変更と多要素認証の徹底、APIキーや証明書のローテーション。
• 重要システムの秘密情報（トークン、SSH鍵、VPN設定）は全て再発行。
• 脆弱ドライバのブロックポリシー、セキュアブートの常時有効化、EDR の整備。
• 監査ログとバックアップの整合性点検。だから、技術的復旧に加えて“信頼の再確立”が不可欠です。

そもそも感染させないためにできること

ルートキットは一度入り込むと発見・駆除が難しく、被害は長期化しがちです。

つまり、最大の防御は「入れないこと」です。

したがって、日々のメール・Web・USB の扱い方、そしてアップデートや権限設計などの“地味だけど効く”基本動作を積み上げることが、最も費用対効果の高いルートキット対策になります。

6-1. メール・Web・USBの注意点、ソフトインストール時の信頼性確認

6-1-1. メールの扱い（添付・リンク・偽更新）

• 添付ファイルは既定で開かない。特に ISO、LNK、VBS、マクロ付き Office、パス付き ZIP は要注意。
• メール本文の「更新してください」「至急」などの文言は検証してから対応。なぜなら、偽更新サイト経由でローダが入り、後段でルートキットに昇格する流れが多いからです。
• 不審なリンクは直接クリックせず、別経路（公式サイトや管理ポータル）から確認。
• 組織では、送信ドメイン認証（SPF/DKIM/DMARC）とサンドボックス検査を併用。

6-1-2. Web の安全な使い方（ブラウザの堅牢化）

• ブラウザ・プラグインは常に最新にし、不要な拡張機能は削除。つまり、攻撃面を最小化します。
• 可能なら広告配信経由の攻撃に備えて広告・トラッキングの防御を導入。
• 業務で高リスクサイトにアクセスする場合は、ブラウザ分離や仮想環境を活用。
• DNS/URL フィルタリングで既知の悪性サイトを事前に遮断。

6-1-3. USB・外部メディア（持ち込みデバイス）

• 自動再生（AutoRun/AutoPlay）は無効化。なぜなら、差した瞬間に実行されるリスクを断つためです。
• 組織ではデバイス制御で USB を原則禁止、例外は読み取り専用に。
• 不明な出自の USB は使用しない。配布ノベルティや拾得品は特に危険。
• 外部から持ち込むファイルは隔離環境でスキャンしてから本番へ。

6-1-4. ソフトインストールの信頼性確認（サプライチェーン対策）

• 公式サイト／公式ストアのみから入手。ミラーやまとめサイトの“便利版”は避ける。
• 署名（コードサイニング）やハッシュ値を確認。だから、改ざん・差し替えを早期に見抜けます。
• 管理者権限が不要なアプリは一般ユーザー権限で導入。
• 組織では許可リスト（Allowlist）で“入れてよいソフト”を定義。

6-1-5. 攻撃経路×即効ガード（早見表）

経路	よくある手口	最初に効く対策
メール	添付・偽更新・緊急装い	添付既定遮断、URL検証、サンドボックス
Web	ドライブバイ/悪性広告	ブラウザ最新化、拡張削減、DNS/URL フィルタ
USB	AutoRun、BadUSB	自動再生無効、デバイス制御、隔離スキャン
ソフト	非公式配布/改ざん	署名・ハッシュ検証、許可リスト運用

---

6-2. セキュリティソフトの導入、定期的なアップデート、脆弱性対策の継続的対策

6-2-1. セキュリティ製品の選び方（ルートキットを意識）

• ふるまい検知（EDR/NGAV）：ドライバ読込、権限昇格、自己防衛（タメリング）など“連鎖”で検出できるもの。
• オフラインスキャン対応：起動前や外部メディアからの検査が可能。
• ドライバ監視・ブロック機能：既知の脆弱ドライバ（BYOVD）を読み込ませない。
• 管理機能：ポリシー一元管理、改ざん防止、詳細ログ出力。
• つまり、単なる“ウイルス検出率”だけでなく、低層の挙動を可視化できるかが鍵です。

6-2-2. アップデート戦略（OS・ドライバ・ファームウェア）

• OS・アプリはもちろん、ドライバと UEFI/BIOS も計画的に更新。ルートキットは低層を狙うため、ここを放置すると危険です。
• パッチ適用は“段階的ロールアウト（パイロット→全体）”で安定性を確保。
• 再起動の運用枠を用意し、先送りを防止。したがって、永続的な脆弱性を抱えにくくなります。
• セキュアブートは常時有効化し、ドライバブロックリストを最新に。

6-2-3. 最小権限とアプリ制御（入れてよい物だけ動かす）

• 管理者権限の常用は禁止。なぜなら、権限昇格の成功率が一気に上がるからです。
• アプリケーション制御（Allowlist/Smart App Control など）で未知アプリの実行を原則拒否。
• Office マクロやスクリプト実行は既定でオフ、必要時に限定的に許可。
• ブラウザ外プラグイン（古い Java/Flash 等）は撤去。

6-2-4. バックアップとリストア演習（“最後の砦”）

• バックアップはオフラインまたは改ざん耐性のある保管（WORM/イミュータブル）。
• 復元テストを定期的に実施。だから、緊急時に“戻せない”事態を防げます。
• OS イメージのゴールデンコピーを保持し、クリーン再展開を短時間で実施できるよう準備。

6-2-5. 可視化・監査・教育（小さな違和感に強くなる）

• ログの集中管理（端末＋ネットワーク＋DNS/プロキシ）。
• しきい値アラートよりも“ふるまいの矛盾”に注目する相関ルールを整備。
• 月次のセキュリティ小テストや疑似フィッシングで、現場の判断力を底上げ。

6-2-6. ルートキット特化チェックリスト（定期点検）

• セキュアブートが有効か、未署名/脆弱ドライバのブロックは最新か。
• OS・ドライバ・UEFI/BIOS・主要アプリの更新が期限内か。
• 不要な常駐・拡張機能は削除されているか。
• AV/EDR が稼働・最新・改ざん防止有効で、管理サーバに心拍が届いているか。
• 重要データはオフライン/イミュータブルに二重化、復元演習は直近で実施済みか。

6-2-7. 優先度マップ（時間がないときは上から順に）

優先度	施策	期待効果（ルートキット観点）
高	セキュアブート有効化・OS/ドライバ更新	低層への侵入・永続化を困難にする
高	メール/USB の運用ルール徹底	初期実行の機会を大幅に減らす
中	EDR 導入・ふるまい検知	隠蔽されても“矛盾”で炙り出す
中	アプリ許可リスト	未知の実行を構造的に拒否
中	バックアップと復元演習	侵入時の業務影響を最小化
低	ブラウザ分離・仮想化	高リスク作業の安全弁