ルートキット

ルートキット（rootkitあるいはroot kit）は、コンピュータシステムへのアクセスを確保した後に、第三者（通常は侵入者）によって使用されるソフトウェアツールのパッケージである。侵入者が管理者権限を奪ったあとに、コンピュータやIoT、ネットワークを全て乗っ取る目的で使用される。これらのツールには、作動中のプロセスやファイル、システムデータを隠蔽する機能があり、ユーザに気付かれないように侵入者がシステムへのアクセスを維持することを支援する。ウイルス対策ソフトやセキュリティ対策ソフトを無効化するため数年間発見されないこともあり、APT攻撃でも使用される。

ルートキットは多くの機能を持つ。キーロガーによって、クレジットカードの番号やオンライン銀行の口座の情報、パスワードなどの認証情報を盗むことができる。また、ボットネットのように、他のコンピュータやサーバーへの攻撃の踏み台として使われることもある。ウイルス対策ソフトやセキュリティ対策ソフトからルートキット自身を守るためのセキュリティ対策ソフト無効化ツールや、盗んだ情報を送信し、ルートキットが除去されたあとに再び侵入するためのバックドアも含まれる。

ルートキットは、2005年のSony BMG CD XCP問題で争点となり、この事件を契機に、技術コミュニティのみならず一般大衆にもルートキットの概念が広く知られるようになった。

日本国内で許可なく他人のPCやスマートフォン、IoTデバイスなどにルートキットをインストールする行為は、不正アクセス禁止法によって禁じられており、刑事罰を受ける可能性がある。

歴史

ルートキットは、Linuxコンピュータの管理者権限である｢root｣と、ツールのセットを意味する｢kit｣を組み合わせて作られた言葉になる。侵入者がシステムアドミニストレータにシステムを確認されても"root"権限を保持し続けるために、通常なら表示される侵入の痕跡を隠すようにリコンパイルされたUnixのソフトウェア群、例えばps、netstat、w、passwdといったツールを指していた。

現在では、この言葉はUnix系OSに限らず、Microsoft Windowsなどの非Unix系OS（"root"というアカウントは存在しないが）で、同様のタスクを実行するツールにも広く用いられている。

1990年代のルートキットは、システムの管理ツールをルートキットに変更するだけでコンピュータを乗っ取ることができた。ルートアクセス権を取得し、侵入者の活動を正当なシステム管理者から隠蔽することができた。 これら第一世代のルートキットは、Tripwire（英語版） などのツールを使用することで簡単に検出することができた。1990年に、Lane Davis と Steven Dake はサン・マイクロシステムズのSunOS UNIXオペレーティングシステム向けに、記録に残されている中では世界初のルートキットを作成した。また、Unix の作成者の 1 人であるベル研究所のケン・トンプソンは、1983 年にチューリング賞を受賞した際の講演で、UnixのCコンパイラをハッキングする理論を提唱し、エクスプロイトについて議論した。 改ざんされたコンパイラは、Unixのloginコマンドのコンパイルを検知し、ユーザーの正しいパスワードと攻撃者が知っている追加の「バックドア」パスワードも受け入れるように変更されたコードを生成する。さらに、改ざんされたコンパイラは新しいバージョンのコンパイラを検知し、同じエクスプロイトを新しいコンパイラに挿入する。loginコマンドまたは更新されたコンパイラのソースコードを調べても、悪意のあるコードは見つからない。このエクスプロイトがルートキットそのものであった。

1986年に発見された世界で最初の記録に残されているマルウェアは、拡張メモリ領域を使用することで自身を隠蔽した。Brainウイルスはブートセクタの読み取りを傍受し、読み取り先をディスク上の別の場所にリダイレクトした。そこには元のブートセクタのコピーが保存されていた。1980年代後半から1990年代前半にかけて、DOSウイルスの隠蔽方法は進化して巧妙になった。その一つがINT 13H（英語版）と呼ばれる隠し領域を作成する方法である。また、ウイルス対策ソフトのスキャンが始まったときにウイルス自身をディスクから消去して、スキャン後に再びディスクにウイルスを書き込むことで、ウイルス対策ソフトのスキャンから逃れる方法も開発された。

1999年には、Windows NT OSの最初のルートキットが実際に攻撃できることを証明するために発表された。これは｢NTRootkit｣と呼ばれるトロイの木馬で、セキュリティ研究家のGreg Hoglund（英語版）によって作成された。NT Rootkitに続いて、2003 年には悪意のあるルートキットである｢HackerDefender｣が報告された。Mac OS Xを標的とした初のルートキット｢WeaponX/Weapox｣は 2004 年に概念実証として発表された。2010年には、スタックスネットが発見された。このマルウェアは産業用コンピュータであるプログラマブルロジックコントローラ (PLC) を標的とした、世界初のワームだった。

ソニー社のルートキットの不祥事 (2005年)

→詳細は「ソニーBMG製CD XCP問題」を参照

2005年、ソニーBMG社 （現在はソニー・ミュージックエンタテインメント）はコピーガードとデジタル著作権管理（DRM）の機能をもつソフトウェア｢Extended Copy Protection｣を入れたコンパクトディスク（CD）を発売した。Extended Copy ProtectionはFirst 4 Internet社によって開発された。Extended Copy Protectionには音楽プレイヤーが付属しており、この音楽プレイヤーで音楽を再生するときに、密かにルートキットをPCにインストールしていた。このルートキットは、CDのファイルの情報の一部を利用者から見ることのできないようにアクセス制限をしていた。 また、ルートキット自身を隠すために、$sys$で始まるファイルを表示させないようにしていた。

ルートキットを調査するツール｢RootkitRevealer（英語版）｣を開発したソフトウェア・エンジニアのマーク・ルシノビッチは、ソニーのルートキットを彼のパソコンから発見した。ソニーの不祥事が明らかになったことで、ルートキットの存在が世間に知れ渡ることになった。ルシノヴィッチがこのマルウェアを報告してすぐに、ルートキットの利用価値は高いと判明した。あるBBCの解説者は、｢広報戦略におけるの悪夢のようなスキャンダル｣だと評した。

Sony BMGはルートキットをアンインストールするパッチを配布したが、そのパッチにも脆弱性が含まれていた。最終的に、問題となったCDはリコールの対象になって市場から回収された。米国では、ソニーBMG社に対して集団訴訟が起こされた。

ギリシャの盗聴事件 （2004–2005年）

→詳細は「ギリシャの盗聴事件 2004-2005年（英語版）」を参照

ギリシャの盗聴事件（2004～2005年）は、ギリシャ政府関係者や高官が所有するボーダフォン・ギリシャ（英語版）のネットワーク上の100台以上の携帯電話が違法に盗聴された事件である。ギリシャのウォーターゲート事件とも呼ばれる。盗聴は2004年8月初旬頃に始まり、犯人が判明しないまま2005年3月に終了した。侵入者はエリクソン社の電話交換機に対してルートキットをインストールした。IEEE Spectrum（英語版）によると、これは「ルートキットが特殊な用途のシステムで確認された最初の事例」であった。侵入者は、交換機が稼働中にメモリにパッチをあてて、監査ログを無効にしながら盗聴を行った。ルートキットは、アクティブなプロセスとアクティブなデータブロックを表示するコマンド、そしてデータブロックのチェックサム検証コマンドの結果を改ざんするように設計されていた。また、「バックドア」により、管理者権限を持つオペレーターは監視機能に関連する交換機のトランザクションログ、アラーム、アクセスコマンドを無効化することができた。

このルートキットは、侵入者が欠陥のあるアップデートをした後に発見された。このアップデートによりSMSテキストが配信されず、障害レポートが生成された。障害の調査をしたエリクソン社のエンジニアが、監視対象の電話番号のリストを含む隠されたデータブロックと、不正なルートキットを発見した。

スタックスネット（2010年）

→詳細は「スタックスネット」を参照

2010年に発見されたスタックスネットは、イランの核施設を標的としたワームである。アメリカ国家安全保障局（NSA）とイスラエルの8200部隊の共同作戦によって開発された。このワームはマルウェアのファイルやプロセスを隠蔽するWindowsカーネルモード・ルートキットを組み込んでおり、それによって産業用制御システム（SCADA）を密かに妨害し、破壊するサイバー兵器（英語版）だった。スタックスネットは、検知を免れつつ、イランのウラン濃縮用遠心分離機を破壊することに成功した。

レノボ社のBIOSルートキットの問題（2015年）

2015年半ば、レノボ社から、組み込み型ルートキットのように動作するファームウェアをインストールしたPCが出荷されていたことが明らかになった。問題となった「Lenovo Service Engine」と呼ばれる機能はBIOSに組み込まれており、Windowsの起動よりも前の段階で実行されていた。Lenovo Service Engineは、レノボ社のシステム更新ユーティリティや関連するプリインストール・プログラムが削除された場合に自動的に再インストールを行い、それらが確実にシステムに残り続けるように設計されていた。問題となったコードがファームウェア内に存在していたため、ユーザーがそのコードを検知したり削除したりすることは困難だった。WindowsをクリーンインストールしてもLenovo Service Engineは削除されず、次のPCの起動時に再びインストールされる仕組みになっていた。

その後、セキュリティ研究者によって、Lenovo Service Engineからセキュリティ上の脆弱性が発見された。その脆弱性は、バッファオーバーフローを悪用して管理者権限を奪取する権限昇格攻撃を可能にするものだった。これを受けてレノボ社は2015年、Lenovo Service Engineを無効化・削除するためのBIOSアップデートと削除用ユーティリティを配布した。また、MicrosoftもWindowsのセキュリティガイドラインを改定してこのようなファームウェアの動作を禁止し、事実上、レノボ社に対してのLenovo Service Engineの使用停止の措置となった。以降のモデルからはLenovo Service Engineが削除された。レノボ社は顧客に対し、セキュリティ上の問題を解消するためにファームウェアをアップデートするように推奨した。

機能

ルートキットは、侵入者がエクスプロイトした後（侵入に成功した後）にPCやスマートフォン、IoTデバイスの遠隔操作を維持し続けるための悪意のあるツールのセットである。エクスプロイト（侵入そのもの）に使われるツールではない。個人情報などの機密情報や認証情報の窃取、継続した盗撮、ボットネットの踏み台など、密かに継続してデバイスやネットワークを乗っ取り続ける必要があるときに使用される。継続して遠隔操作するために使うマルウェアという性質上、APT攻撃でも使用される。

オペレーティングシステム（OS）のあるデバイスであれば、ルートキットで攻撃できる。すなわち、冷蔵庫や温度計などのIoTデバイスも踏み台としてボットネットのDoS攻撃に参加させられてしまう。

ルートキットに含まれるツールには、キーロガーなど｢情報を窃取するためのツール｣、バックドアと呼ばれるマルウェアや盗んだ情報を｢送受信するためのツール｣、ウイルス対策ソフトを無効化するツールやアンチフォレンジクス（英語版）のツールなど｢活動を隠匿するためのツール｣が含まれる。

直接的な機能ではないが、デバイスのパフォーマンスが落ちて、被害端末やネットワークの作業効率が落ちたり通信速度が遅くなったりすることがある。

ルートキットは、フォレンジック調査など正規の用途で使用することもある。

情報を窃取するためのツール

キーボードの入力を窃取する｢キーロガー｣、通信の内容を盗聴する｢スニッファー｣が存在する。これらのツールによって、個人情報などの機密情報やメールの内容、クレジットカードの番号、認証情報などを盗まれてしまう。

ファイルの送受信や遠隔操作するためのツール

｢バックドア｣と呼ばれるマルウェアは、被害者から隠された経路でマルウェアやマルウェアのアップロードを行い、また、遠隔操作のためのコードを記述したファイルやコマンドを送信する。 被害者から盗んだデータを持ち出すときにも使用する。これらの通信が暗号化されていることもある。 マルウェアが消去されたときに再び侵入するための経路も、バックドアを使って作成する。ファイアーウォールを改ざんし、また無効化することで通信の経路を作成することもある。

これらのツールを使用することで、ボットネットの踏み台としてDoS攻撃に参加させられてしまう。また、スパムメールを送信する踏み台にさせられてしまう。マイクやカメラの付属したデバイスの場合は、遠隔操作によって盗聴・盗撮されてしまう。

活動を隠匿するためのツール

ウイルス対策ソフトの検知から逃れるための｢ウイルス対策ソフト無効化ツール｣が存在する（無効化攻撃（英語版）参照）。セキュリティの専門家の調査から証拠を隠匿するための｢アンチフォレンジクスツール｣を使用して、ログオンやプロセスの情報、イベントログやアーティファクトに対して、改ざんや削除をすることもできる。隠された領域を作成し、作成した領域にルートキット自身やランサムウェアを隠すことができる。通信先を隠匿するために、隠匿したい通信先の代わりにダミーの通信先を表示させるものもある。

分類

→詳細は「リングプロテクション」を参照

ルートキットには少なくとも5つのタイプが存在し、ファームウェアという最下層（最高権限を持つ）に位置するものから、Ring 3で動作する最も権限の低いユーザーベースのものまで多岐にわたる。ユーザーモードとカーネルモードを組み合わせたハイブリッド型も存在する。

ユーザーモード

インテル製コンピュータのリングプロテクション。 リング -1 は記載されていない。

ユーザーモードのルートキットは、低レベルのシステムプロセスではなく、アプリケーションと同様にユーザーとしてリング3で実行される。アプリケーションプログラミングインターフェース（API）の標準的な動作を傍受・改変するためのインストール経路は複数存在する。Windowsでは.DLLファイル、Mac OS Xでは.dylibファイルなど、動的リンクライブラリを他のプロセスに注入することで、ターゲットプロセス内で実行してそのプロセスを偽装できるものもあれば、特権を持つ場合にターゲットのアプリケーションのメモリを上書きするものもある。挿入のメカニズムには以下のものがある。

ユーザーモードのルートキットとして、｢Hacker Defender｣が挙げられる。

カーネルモード

カーネルモードのルートキットは、カーネルやカーネルに関連するデバイスドライバ(ドライバ)を含むコアオペレーティングシステムにコードを追加したり置き換えたりすることで、オペレーティングシステムの最高権限（リング 0）で実行される。ほとんどのオペレーティングシステムは、カーネルモードのデバイスドライバをサポートしている。そのため、多くのカーネルモードのルートキットは、Linux のロード可能なカーネルモジュールや Microsoft Windows のデバイスドライバなど、ドライバまたはロード可能なモジュールとして開発されている。このクラスのルートキットはセキュリティアクセスに制限がないものの、作成は困難である。複雑さゆえにバグは発生しやすく、カーネルレベルで動作するコードのバグはシステムの安定性に深刻な影響を与え、ルートキットの発見につながる可能性がある。 最初に広く知られるようになったカーネルルートキットの 1 つは、Microsoft Windows NT 4.0用に開発され、1999 年にGreg Hoglund（英語版）によってPhrack誌で公開された｢NT Rootkit｣である。カーネルルートキットはオペレーティングシステム自体と同じセキュリティレベルで動作するため、検出して削除することは極めて難しく、オペレーティングシステムの操作を傍受したり、妨害したりすることができる。ルートキットに感染したシステムで実行されているウイルス対策ソフトなども同様に無効化できる。カーネルルートキットに感染した状況では、システムの全体が信頼できない。

カーネルルートキットは、システムコールにパッチをあてたりフックしたり置換したりして攻撃者の情報を隠蔽する。 また、カーネルオブジェクトの直接操作（英語版）(DKOM) と呼ばれる方法を使用して、Windows カーネルのデータ構造を変更する方法もある 。 この方法は、プロセスを隠蔽するために使用する。カーネルモードのルートキットは、システムサービス記述子テーブル（英語版） (SSDT) をフックしたり、ユーザーモードとカーネルモード間のゲートを変更したりして、自身を隠蔽することもできる。同様に、Linux オペレーティングシステムの場合、ルートキットはシステムコールテーブルを変更してカーネル機能を乗っ取ることができる。 DKOMを悪用するカーネルモードのルートキットに、｢FU Rootkit｣がある。システムコールを改ざんするカーネルモードのルートキットには、｢SuckIT｣や｢T0rn｣、｢Ambient's Rootkit (ARK)｣が存在する。

他のマルウェアや感染したファイルのオリジナルコピーを隠すための、隠された暗号化ファイルシステムを作成することもある。

オペレーティングシステムは、カーネルモードのルートキットの脅威に対抗するために進化している。たとえば、Microsoft Windows の 64-bit 版では、信頼できないコードが最高権限で実行されるのを防ぐために、すべてのカーネルドライバに署名が義務付けられるようになった。

正規の用途で使用するカーネルモードのルートキットも存在する。｢nProtect GameGuard｣が挙げられる。

ブートキット

ブートキットはオペレーティングシステムを起動するUEFIやBIOSに感染するマルウェアである。デバイスを起動したとき、最初にファームウェアが起動される。UEFIやBIOSは、ファームウェアが起動した後にオペレーティングシステムを起動するまでの橋渡しをする。UEFIやBIOSが橋渡しする段階でマルウェアが起動するため、オペレーティングシステムよりも先にマルウェアは起動してしまう。

BIOSに感染するブートキットは、マスターブートレコード（MBR）、Volume boot record（英語版）（VBR）、ブートセクタなどの起動コードに感染する。マルウェアのブートローダーは、カーネルがロードされた後も存続し、カーネルを乗っ取る。MBRに感染するブートキットに「Stoned Bootkit」がある。Stoned BootkitはMBRを改ざんする。ブート時に改ざんされたMBRが読み込まれると、Stoned Bootkitのモジュールが呼び出される。｢Alureonルートキット｣もMBRを改ざんすることで、Windows 7の64-bitカーネルモードドライバの署名の検証を回避する。 フルディスク暗号化システムを攻撃するために利用されることもある（参考: ディスク暗号化（英語版））。ディスク暗号化に対する攻撃の一例としては、「悪意あるメイド攻撃」が挙げられる。この攻撃では、攻撃者が無人のコンピュータにUSBメモリを差し込んで、ブートキットをインストールする。

UEFIのブートマネージャに感染するブートキットに、｢BlackLotus（英語版）｣が挙げられる。Black Lotusは Windows に感染し、ブートローダをBaton drop (CVE-2022-21894)の脆弱性のあるものに置き換えることで、セキュアブートのメモリ領域をブートローダーの初期化時に消去して無効化する。さらに、Windows Defenderを無効化し、C2サーバとHttpsの通信をするダウンローダーをカーネルドライバを利用して展開する。

ブート起動で感染するという特性を持つため、USBメモリや外付けハードディスクなどからも感染する。

ウイルス対策ソフトの会社で、ブートキットを削除するための無料のユーティリティやプログラムを提供しているところもある。

ファームウェアとハードウェア

ファームウェア・ルートキットは、デバイスまたはプラットフォームのファームウェアを使用して、ルーター、ネットワークカード、ハードディスクドライブ、BIOSなどのハードウェアに永続的なマルウェアのイメージを作成する。 ルートキットはファームウェアの内部に潜伏する。ファームウェアはコードの整合性（英語版）について検証されず、さらにウイルス対策ソフトでもスキャンできないため、マルウェアの検出が難しい。

ジョン・ヒーズマンは、ACPIファームウェア内のルーチンと PCI拡張カード ROMの両方で、ファームウェア・ルートキットを作成した。 2008 年 10 月、犯罪者はヨーロッパのクレジットカード読み取り機を改ざんした。これらのデバイスは、モバイル・ネットワークを介してクレジットカードの情報を傍受し、送信した。2009 年 3 月、セキュリティ研究者のアルフレド・オルテガとアニバル・サッコは、ディスクの交換やオペレーティングシステムの再インストールでも駆除できないBIOS レベルの Windows ルートキットを発表した。数か月後、彼らは、一部のノートパソコンには、LoJack（英語版）として知られる正規のルートキットが多くの BIOS イメージにプリインストールされて販売されていたことを発見した。このファームウェア・ルートキットは車両の盗難防止用の正規のシステムだったが、後にAPT攻撃グループのファンシーベアに悪用された。2018年、ESETはLoJackに潜む悪意のあるファームウェア・ルートキットである｢LoJax｣を発見した。LoJaxは、ブート起動時に読み込むマザーボード内部の、SPIフラッシュメモリに常駐する。SPIフラッシュメモリはPCに付属する不揮発性メモリであるため、OSをクリーンインストールしても駆除されずに残り続ける。削除するには、マザーボードを交換するか、SPIフラッシュメモリのファームウェアを正規のものにアップデートするしか方法がない。

2018年、IntelのPC管理機能｢Intel Active Management Technology（英語版）（AMT）｣の脆弱性が発見された。AMTはIntel PCのチップセットのファームウェアに含まれる機能であり、電源のオンオフやハードディスクの管理などの操作をブラウザ経由で遠隔操作により行える。このIntel Active Management Technologyのデフォルトの認証パスワードが｢admin｣だったため、攻撃者がIntel Active Management Technologyの設定を変更することで、容易にPCの乗っ取りができた。

ハイパーバイザ

仮想化機能を利用するルートキットも存在する。ハイパーバイザ型のルートキットは、「Ring -1」で動作し、標的となるオペレーティングシステム（OS）をバーチャルマシンとして起動する。これにより、元のOSが行うハードウェアへの呼び出しを傍受することが可能になる。通常のハイパーバイザとは異なり、必ずしもOSより先に読み込まれる必要はない。OSが読み込まれた後に、OSをバーチャルマシンへと移行させることもできる。ハイパーバイザ型のルートキットは、OSを乗っ取るためにカーネルを改変する必要はない。だからといってバーチャルマシンのOSから検出するのは不可能ではない。CPU命令の実行タイミングの遅れから検出できる可能性はある。

例として、APT攻撃グループのUNC3886（英語版）による攻撃が挙げられる。UNC3886は、バーチャルマシン｢VMware ESXi｣の脆弱性を利用したハイパーバイザー型のルートキットを使用して、横展開をした。

ハイパーバイザー型のルートキットをルートキット対策として活用した事例もある。 2009年、マイクロソフトとノースカロライナ州立大学の研究者らは、カーネルモードのルートキットに対する保護を提供するハイパーバイザー層のルートキット対策ソフト｢Hooksafe（英語版）｣を作成した。Windows 10では、仮想化を利用してルートキット型のマルウェアからオペレーティングシステムを独立して外部から保護する「Device Guard」と呼ばれる機能が導入された。

侵入経路と隠蔽

ルートキットは、システムやネットワークを乗っ取るためにさまざまな手法を用いる。ルートキットの種類によって、エクスプロイトの方法は異なる。最も一般的な方法は、セキュリティの脆弱性を悪用して、権限を昇格させる方法である。また、ソーシャル・エンジニアリングによって、トロイの木馬をユーザーにインストールさせる方法もある。ユーザーモードのルートキットの場合は、管理者権限を必要としないため、インストールは容易になる。 標的のシステムに物理的にアクセスできる場合は、BadUSBを用いてUSBメモリをデバイスに挿入することでインストールすることもできる。この方法は、スタックスネットで用いられた。

ルートキットの中には、システムの所有者または所有者から許可を受けた人物が、従業員の監視（英語版）などの目的で意図的にインストールするものもある。悪意のあるルートキットの中には、サードパーティーストアで入手したアプリに含まれているものもある。

インストールされたルートキットは、診断、スキャン、監視に使用されるOSのセキュリティツールやアプリケーションプログラミングインターフェイス（API）を改ざんまたは回避することによって、システム内での存在を隠蔽する。ルートキットは、他のプロセスにコードをロードしたり、ドライバやカーネルモジュールをインストールまたは改ざんしたりすることによって、OSのコア部分の動作を変更する。難読化技術には、実行中のプロセスをシステム監視メカニズムから隠蔽したり、システムファイルやその他の構成データを隠したりすることが含まれる。ルートキットが攻撃の証拠を隠蔽するために、オペレーティングシステムのイベントログ機能を無効化することもある。ルートキットは、理論的には、あらゆるオペレーティングシステムの活動を改ざんすることができる。

「完璧なルートキット」は、「完全犯罪」のようなものである。つまり、誰も犯罪行為に気づかないマルウェアである。 ルートキットは、システムへの完全なアクセス権を持つリング 0 (カーネル モード) にインストールされることに加えて、ウイルス対策ソフトによる検出や「駆除」から生き残るためのさまざまな対策も講じる。これには、ポリモルフィックコード(「シグネチャ」を変更し、検出されにくくするコード)、ステルス技術、再感染、ウイルス対策ソフトの無効化などである。さらに、研究者が発見して分析しやすいことから天敵となる、仮想マシンへの攻撃を避けることも考慮する。

検出

あらゆるルートキット検出プログラムには、それが疑わしいシステム上で動作する限り、それにつきものの制約がある。それは、ルートキットはシステム上の全てのプログラムが頼っているライブラリやツールの多くを修正してしまうプログラムだということである。あるルートキットは動いているカーネルを（Linuxや多くのUNIXライクなOSではローダブルモジュールを、MS Windowsなどではおそらくは仮想デバイスドライバなどを通じて）修正する。ルートキット検出の根本的問題は今動いているオペレーティングシステムが信用できないということにある。言い替えれば、全ての作動中のプロセスの表示やディレクトリの中の全てのファイルのリストの表示の要求といった行為の結果が、元々の設計者が意図したような振舞いであると信用できないということである。

もっとも信頼できる最良のルートキット検出の手段は、感染の疑いのあるコンピュータをシャットダウンして、他のメディアから（例えばレスキューCD-ROMやUSBから）起動してストレージを検査することである。動いていないルートキットはその存在を隠すことができず、ほとんどの確立したアンチウイルスプログラムは（おそらくルートキットによって修正されているはずの）標準的なOSコールと低レベルのクエリーに頼るルートキットを検出可能である。なぜならそれらは信頼性を保っているはずだからである。もし何か違いがあればルートキット感染が想定される。ルートキットは検査が終了するまで動いているプロセスを監視して自らの隠蔽行動を停止することで、ルートキットスキャナーに引っかからない、ステルス機能のないマルウェアを装うことで自らを守ろうとすることもある。

セキュリティベンダはルートキット検出を既存のアンチウイルス製品に統合するソリューションを構想している。ルートキットがスキャン中に自分を隠そうとすれば、ステルス検出によって見分けられる。もし一時的にシステムからアンロードしようとするならば、今までのアンチウイルスソフトがパターンファイルによって発見するだろう。この統合された防御によって、ルートキットにメモリからセキュリティソフトウェアを強制的に削除し、実質的にアンチウイルスソフトを殺してしまう反撃機構(retro routine)を攻撃者が実装することを余儀なくされる。

ルートキットを検出できるプログラムはいくつかある。Unix系のシステムでもっとも有名なものを二つ挙げるならchkrootkitとrkhunterだろう。Windowsプラットフォームで個人用でなら無償で使用できるステルススキャナーとしてはBlacklightというソフトがベータ版としてF-Secure社のWebsiteからダウンロードできる。他のWindows用検出ソフトとしてはRootkitRevealerというソフトがSysinternalsから入手できる。これはいまある全てのルートキットをOSの返す一覧と実際にディスクそれ自身から読み出した一覧とを比較することで検出することができる。ただし、いくつかのルートキットはこのプログラムを隠蔽先から外し始め、実質上、二つの一覧の違いを無くすことで検出ソフトによって表示されないようにしてきている。しかしrootkitrevealer.exeというファイル名をランダムな名前に変更することでこれは対処できる。この機能は最新のRkdetectorのリリースにも含まれている。

除去

ルートキットの除去が事実上禁止されているくらい非実用的なものだとする一定の意見が存在する。たとえルートキットの正体と特性がわかっていても、必要な技術や経験をもつシステム管理者の時間と労力はゼロからオペレーティングシステムをインストールすることに費やしたほうがましだというものである。「現存するルートキットは発見されたとしてももっと除去しづらいように作ることはできたはずだと思うが、そうするだけの充分な動機づけはないように思う。なぜなら経験あるシスアドがルートキットで汚染されたシステムを見つけた時の典型的な反応は、データをセーブして再フォーマットをかけることだからだ。これはルートキットが良く知られていて100%削除可能である場合ですらそうだ」Rootkit Question

システムがオンラインの時に他のファイルシステムドライバを用いてルートキットを削除する方法が存在する。Rkdetector v2.0はシステムが作動中の時に自分自身のNTFSもしくはFAT32ファイルシステムドライバを用いて隠しファイルを削除する方法を実装している。一度消去されシステムが再起動されると、データが壊れてしまうためルートキットは動作しなくなる。

コンピュータウイルスやワームとの比較

コンピュータウイルスとルートキットの鍵となる違いは増殖の仕方にある。ルートキットと同様に、コンピュータウイルスはシステムの中核ソフトウェアコンポーネントを修正し、「感染」の隠蔽を試みたり攻撃者にある種の機能やサービスを提供したりするコード（ウイルスの「ペイロード」）を追加する。

ルートキットの場合、ペイロードはルートキット（システムへと侵入したソフトウェア）の一貫性を維持しようとすることがある --- 例えばルートキットのpsコマンドは実行されるたびにシステムのinitやinetdのコピーをチェックして、それらがのっとられたままであることを確認し、必要なら「再感染」を行なうかもしれない。ペイロードの残りの部分の目的は、侵入者がシステムを制御下に置き続けられるようにすることである。システムの制御は一般に、ハードコードされたユーザ名／パスワードの組、隠されたコマンドラインスイッチ、もしくは秘密の環境変数設定といったバックドアを介して行なわれる。バックドアにより、のっとられていないプログラムが提供するはずの正常なアクセス制御ポリシーを覆すのである。いくつかのルートキットはポートノッキングチェックをinetdやsshdといった既存のネットワークデーモン（サービス）に加えたりする。

コンピュータウイルスはどのような種類のペイロードでも運べるが、それに加えてコンピュータウイルスは他のシステムへの伝播をも試みる。一般にルートキットのすることはひとつのシステムの制御の維持に限られている。

自動的にネットワークをスキャンして脆弱性のあるシステムを探し、脆弱性をついてシステムをのっとるプログラムもしくは一揃いのプログラムはコンピュータワームと呼ばれる。またもっと受動的に動作する形のコンピュータワームもあり、ユーザ名とパスワードを盗聴してそれを使ってアカウントをのっとり、そうして得たアカウントのそれぞれに自分自身のコピーをインストールする（そして普通はのっとったアカウント情報をある種の隠れチャネルを通じて侵入者へ送る）。

勿論混成型も存在する。ワームはルートキットをインストールできるし、ルートキットはひとつないしそれ以上のワームやスニファやポートスキャナのコピーを含んでいるかもしれない。ウイルスであると同時にワームであるようなマルウェアも存在する。こうした言葉は全て使われ方がある程度重なっているものであり容易に合成されるものでもある。

一般的に入手できるルートキット

システム攻撃者によって利用されるほとんどのソフトウェアと同様に、多くの実装が共有されてインターネットで容易に入手可能になっている。侵入されたシステムで、一般に入手できる洗練されたルートキットが経験の乏しいプログラマによって書かれたとおぼしい粗雑なワームもしくは攻撃ツールを隠しているのを見るのは珍しいことではない。

インターネットで入手可能なほとんどのルートキットは概念実証(proof of concept)のために作られたものである。それらはコンピュータシステムの中に何かを隠す新しく実験的な手法の実用性を証明するために作られた。しかし実験的であるために、しばしばステルス性のために最適化されていない。そうしたルートキットで攻撃を行なうと、大変に効果的であったりする。しかし発見された時、例えばCDのような信頼できるメディアからオペレーティングシステムが起動されたような場合には、しばしば非常に明瞭な存在の痕跡を残す。例えば、「rootkit」といった名前のファイルをコンピュータシステム上のありがちな場所に残すなどである。

関連項目

外部リンク

シェアウェア

フリーウェアおよびオープンソースソフトウェア

関連書籍

出典

[脚注の使い方]
  1. 1 2 3 4 5 6 Kurt Baker (2023年11月8日). “ルートキットとは攻撃の定義と例”. クラウドストライク (CrowdStrike). 2026年8月7日閲覧。
  2. 1 2 3 4 Evancich, N.; Li, J. (2016-08-23). “6.2.3 Rootkits”. Cyber-security of SCADA and Other Industrial Control Systems. Springer. p. 100. ISBN 9783319321257
  3. 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 “ルートキットとは – 定義と説明”. カスペルスキー (Kaspersky). 2026年8月7日閲覧。
  4. 1 2 3 4 5 6 7 8 9 10 11 “Rootkitとは？ どのように防御し、阻止するか？”. フォーティネット (Fortinet). 2026年8月7日閲覧。
  5. ↑ “Spyware Detail: XCP.Sony.Rootkit”. Computer Associates (2005年11月5日). 2010年8月18日時点のオリジナルよりアーカイブ。2010年8月19日閲覧。
  6. ↑ e-GOV 法令検索「平成十一年法律第百二十八号 不正アクセス行為の禁止等に関する法律」
  7. ↑ Sparks, Sherri; Butler, Jamie (2005-08-01). “Raising The Bar For Windows Rootkit Detection”. Phrack 0xb (x3d).
  8. 1 2 3 4 Myers, Michael; Youndt, Stephen (2007年8月7日). An Introduction to Hardware-Assisted Virtual Machine (HVM) Rootkits (Report). Crucial Security. CiteSeerX 10.1.1.90.8832.
  9. ↑ Andrew Hay; Daniel Cid; Rory Bray (2008). OSSEC Host-Based Intrusion Detection Guide. Syngress. p. 276. ISBN 978-1-59749-240-9
  10. ↑ Thompson, Ken (August 1984). “Reflections on Trusting Trust”. Communications of the ACM 27 (8): 761. doi:10.1145/358198.358210. オリジナルの2007-09-24時点におけるアーカイブ。 2010年6月9日閲覧。.
  11. 1 2 3 4 5 “Rootkits, Part 1 of 3: The Growing Threat”. McAfee (2006年4月17日). 2006年8月23日時点のオリジナルよりアーカイブ。2026年8月7日閲覧。
  12. 1 2 Greg Hoglund; James Butler (2006). Rootkits: Subverting the Windows kernel. Addison-Wesley. p. 4. ISBN 978-0-321-29431-9
  13. ↑ Ferrie, Peter (2005年7月1日). “Got [MacRoot?]”. Virus Bulletin. 2022年5月28日時点のオリジナルよりアーカイブ。2025年10月3日閲覧。
  14. ↑ “Stuxnet Introduces the First Known Rootkit for Industrial Control Systems”. Symantec (2010年8月6日). 2010年8月20日時点のオリジナルよりアーカイブ。2010年12月4日閲覧。
  15. ↑ “Spyware Detail: XCP.Sony.Rootkit”. Computer Associates (2005年11月5日). 2010年8月18日時点のオリジナルよりアーカイブ。2010年8月19日閲覧。
  16. ↑ Russinovich, Mark (2005年10月31日). “Sony, Rootkits and Digital Rights Management Gone Too Far”. TechNet Blogs. Microsoft. 2016年1月1日時点のオリジナルよりアーカイブ。2010年8月16日閲覧。
  17. ↑ “Sony's long-term rootkit CD woes”. BBC News. 2005年11月21日. 2026年2月20日時点のオリジナルよりアーカイブ. 2026年2月20日閲覧.
  18. ↑ Felton, Ed (2005-11-15), Sony's Web-Based Uninstaller Opens a Big Security Hole; Sony to Recall Discs
  19. ↑ Knight, Will (2005-11-11). “Sony BMG sued over cloaking software on music CD”. New Scientist. オリジナルの2011-01-15時点におけるアーカイブ。 2010年11月21日閲覧。.
  20. ↑ Kyriakidou, Dina (March 2, 2006). “"Greek Watergate" Scandal Sends Political Shockwaves”. Reuters. 2007年11月24日閲覧. [リンク切れ]
  21. 1 2 Vassilis Prevelakis; Diomidis Spinellis (July 2007). “The Athens Affair”. 2009年8月1日時点のオリジナルよりアーカイブ.
  22. ↑ “Stuxnet worm 'targeted high-value Iranian assets'”. BBC News. 23 September 2010.
  23. ↑ Kim Zetter (17 February 2011). “Cyberwar Issues Likely to Be Addressed Only After a Catastrophe”. Wired. オリジナルの18 February 2011時点におけるアーカイブ。 2011年2月18日閲覧。.
  24. ↑ Halliday, Josh (24 September 2010). “Stuxnet worm is the 'work of a national government agency'”. The Guardian.
  25. ↑ Markoff, John (27 September 2010). “A Silent Attack, but Not a Subtle One”. The New York Times.
  26. ↑ “Is Stuxnet the 'best' malware ever?” (英語). Computerworld. 2025年10月26日閲覧。
  27. ↑ “The Real Story of Stuxnet - IEEE Spectrum” (英語). spectrum.ieee.org. 2025年10月26日閲覧。
  28. ↑ Weinberger, Sharon (2011-06-01). “Computer security: Is this the start of cyberwarfare?” (英語). Nature 474 (7350): 142–145. doi:10.1038/474142a. ISSN 1476-4687. PMID 21654779.
  29. ↑ “CAUGHT: Lenovo crams unremovable crapware into Windows laptops – by hiding it in the BIOS” (英語). 2025年9月6日時点のオリジナルよりアーカイブ. 2025年10月26日閲覧.
  30. ↑ Hern, Alex (2015年8月14日). “Lenovo does it again as LSE component removed after security fears”. The Guardian (イギリス英語). ISSN 0261-3077. 2025年10月26日閲覧.
  31. 1 2 3 Aimee (2024年10月31日). “ルートキットとは？有効な対策や感染時の対処法を解説”. wiz LANSCOPE ブログ. エムオーテックス (MOTEX). 2026年8月9日閲覧。
  32. 1 2 3 4 5 6 7 8 “Russian GRU Malware Drovorub: Cybersecurity Advisory” (PDF). National Security Agency / Federal Bureau of Investigation (2020年8月13日). 2026年8月9日閲覧。
  33. 1 2 3 4 “ルートキットを初心者でも分かりやすく解説”. 非IT技術者向けサイバー攻撃セキュリティ解説. 株式会社ガーディアン (2025年10月18日). 2026年8月9日閲覧。
  34. ↑ Russinovich, Mark (2006年2月6日). “Using Rootkits to Defeat Digital Rights Management”. Winternals. SysInternals. 2006年8月14日時点のオリジナルよりアーカイブ。2006年8月13日閲覧。
  35. ↑ Kumar, S. Suresh; Stephen, S.; Rumysia, M. Suhainul (2024). “Rootkit Detection using Deep Learning: A Comprehensive Survey”. 2024 10th International Conference on Communication and Signal Processing (ICCSP): 365–370. doi:10.1109/ICCSP60870.2024.10543963.
  36. ↑ Anson, Steve; Bunting, Steve (2007). Mastering Windows Network Forensics and Investigation. John Wiley and Sons. ISBN 978-0-470-09762-5
  37. 1 2 3 “Rootkits Part 2: A Technical Primer”. McAfee (2007年4月3日). 2008年12月5日時点のオリジナルよりアーカイブ。2010年8月17日閲覧。
  38. 1 2 “Windows Rootkit Overview”. Symantec (2006年3月26日). 2010年12月14日時点のオリジナルよりアーカイブ。2010年8月17日閲覧。
  39. ↑ Kdm. “NTIllusion: A portable Win32 userland rootkit”. Phrack 62 (12). オリジナルの2026-02-20時点におけるアーカイブ。 2026年2月21日閲覧。.
  40. 1 2 3 SentinelOne. “6種類のルートキット：検知と予防策”. SentinelOne. SentinelOne. 2026年8月11日閲覧。
  41. 1 2 3 4 “Understanding Anti-Malware Technologies”. Microsoft (2007年2月21日). 2010年9月11日時点のオリジナルよりアーカイブ。2010年8月17日閲覧。
  42. ↑ Hoglund, Greg (1999-09-09). “A *REAL* NT Rootkit, Patching the NT Kernel”. Phrack 9 (55). オリジナルの2026-02-20時点におけるアーカイブ。 2026年2月21日閲覧。.
  43. ↑ Chuvakin, Anton (2003年2月2日). An Overview of Unix Rootkits (PDF) (Report). Chantilly, Virginia: iDEFENSE. 2011年7月25日時点のオリジナル (PDF)よりアーカイブ. 2010年11月21日閲覧.
  44. ↑ “Windows Rootkits of 2005, Part Two”. Symantec Connect. Symantec (2005年11月16日). 2010年11月13日閲覧。
  45. ↑ “Windows Rootkits of 2005, Part One”. Symantec Connect. Symantec (2005年11月3日). 2021年1月21日時点のオリジナルよりアーカイブ。2010年11月12日閲覧。
  46. ↑ Burdach, Mariusz (2004年11月17日). “Detecting Rootkits And Kernel-level Compromises In Linux”. Symantec. 2020年8月10日時点のオリジナルよりアーカイブ。2010年11月23日閲覧。
  47. ↑ Osborne, Charlie (2019年9月17日). “Skidmap malware buries into the kernel to hide illicit cryptocurrency mining”. ZDNet. 2021年7月25日時点のオリジナルよりアーカイブ。2021年7月24日閲覧。
  48. ↑ Mark Russinovich (2006年1月17日). “ルートキットの正体を暴く（後編）”. 日経クロステック（xTECH）. 日経BP. 2026年8月11日閲覧。
  49. ↑ Levine, J. F.; Grizzard, J. B.; Owen, H. L. (Jan.-Feb. 2006). “Detecting and categorizing kernel-level rootkits to aid future detection”. IEEE Security & Privacy 4 (1): 24–32. doi:10.1109/MSP.2006.11.
  50. ↑ Marco Giuliani (2011年4月11日). “ZeroAccess – An Advanced Kernel Mode Rootkit”. Webroot Software. 2011年8月25日時点のオリジナルよりアーカイブ。2011年8月10日閲覧。
  51. ↑ “Driver Signing Requirements for Windows”. Microsoft (2017年1月6日). 2026年2月20日時点のオリジナルよりアーカイブ。2026年2月20日閲覧。
  52. 1 2 Kurt Baker (2023年1月4日). “ブートキット：定義、防御、および削除”. クラウドストライク (CrowdStrike). 2026年8月10日閲覧。
  53. 1 2 SentinelOne (2025年7月16日). “ブートキットとは？ 検出と予防ガイド”. SentinelOne. 2026年8月10日閲覧。
  54. ↑ “Bootroot”. eEye Digital Security (2007年5月9日). 2013年8月17日時点のオリジナルよりアーカイブ。2010年11月23日閲覧。
  55. ↑ Kumar, Nitin; Kumar, Vipin (2007). Vbootkit: Compromising Windows Vista Security (PDF). Black Hat Europe 2007.
  56. ↑ “BOOT KIT: Custom boot sector based Windows 2000/XP/2003 Subversion”. NVlabs (2007年2月4日). 2010年6月10日時点のオリジナルよりアーカイブ。2010年11月21日閲覧。
  57. ↑ Kleissner, Peter (2009). “Stoned Bootkit” (PDF). Black Hat USA 2009. 2026年8月11日閲覧.
  58. ↑ Goodin, Dan (2010年11月16日). “World's Most Advanced Rootkit Penetrates 64-bit Windows”. The Register. 2010年11月21日時点のオリジナルよりアーカイブ。2010年11月22日閲覧。
  59. ↑ Salter, Jim (2020年7月31日). “Red Hat and CentOS systems aren't booting due to BootHole patches”. Ars Technica. 2021年7月24日閲覧。
  60. ↑ Schneier, Bruce (2009年10月23日). “'Evil Maid' Attacks on Encrypted Hard Drives”. 2026年2月20日時点のオリジナルよりアーカイブ。2026年2月20日閲覧。
  61. 1 2 National Security Agency (2023年6月22日). “NSA Releases Guide to Mitigate BlackLotus Threat”. National Security Agency. NSA Media Relations. 2026年8月11日閲覧。
  62. ↑ Wack0 (2022年). “baton drop (CVE-2022-21894): Secure Boot Security Feature Bypass Vulnerability”. GitHub. 2026年8月11日閲覧。
  63. 1 2 Microsoft Incident Response (2023年4月11日). “Guidance for investigating attacks using CVE-2022-21894: The BlackLotus campaign”. Microsoft Security Blog. Microsoft. 2026年8月11日閲覧。
  64. ↑ Delugré, Guillaume (2010年11月21日). Reversing the Broacom NetExtreme's Firmware (PDF). hack.lu. Sogeti. 2012年4月25日時点のオリジナル (PDF)よりアーカイブ. 2010年11月25日閲覧.
  65. ↑ “Hacking Team Uses UEFI BIOS Rootkit to Keep RCS 9 Agent in Target Systems - TrendLabs Security Intelligence Blog” (2015年7月13日). 2015年7月23日時点のオリジナルよりアーカイブ。2015年7月15日閲覧。
  66. ↑ Heasman, John (2006年1月25日). Implementing and Detecting an ACPI BIOS Rootkit (PDF). Black Hat Federal 2006. NGS Consulting. 2011年2月27日時点のオリジナルよりアーカイブ (PDF). 2010年11月21日閲覧.
  67. ↑ Heasman, John (2006年11月15日). “Implementing and Detecting a PCI Rootkit”. Next Generation Security Software. 2010年11月13日閲覧。
  68. ↑ Modine, Austin (2008年10月10日). “Organized crime tampers with European card swipe devices: Customer data beamed overseas”. The Register. Situation Publishing. 2008年10月13日時点のオリジナルよりアーカイブ。2008年10月13日閲覧。
  69. ↑ Sacco, Anibal; Ortéga, Alfredo (2009). Persistent BIOS infection (PDF). CanSecWest 2009. Core Security Technologies. 2011年7月8日時点のオリジナル (PDF)よりアーカイブ. 2010年11月21日閲覧.
  70. ↑ Goodin, Dan (2009年3月24日). “Newfangled rootkits survive hard disk wiping”. The Register. Situation Publishing. 2009年3月25日閲覧。
  71. ↑ Sacco, Anibal; Ortéga, Alfredo (2009-06-01). “Persistent BIOS Infection: The Early Bird Catches the Worm”. Phrack 66 (7). オリジナルの2026-02-20時点におけるアーカイブ。 2026年2月20日閲覧。.
  72. 1 2 3 Tomáš Foltýn (2019年3月5日). “ESETが誇る気鋭のリサーチャーが振り返る2018年のハイライト”. サイバーセキュリティ情報局. キヤノンマーケティングジャパン. 2026年8月11日閲覧。
  73. 1 2 3 鈴木聖子 (2018年1月15日). “IntelのPC管理機能AMTにセキュリティ問題、簡単に悪用可能”. ITmedia エンタープライズ. アイティメディア. 2026年8月11日閲覧。
  74. 1 2 岩崎宰守 (2017年5月8日). “リモート管理機能「Intel AMT」、リモートから任意のコードが実行可能な権限昇格の脆弱性”. INTERNET Watch. インプレス. 2026年8月11日閲覧。
  75. ↑ “Cloaked and Covert: Uncovering UNC3886 Espionage Operations” (英語). Google Cloud Blog. 2025年8月1日閲覧。
  76. ↑ Sygnia Team (2025年8月11日). “Fire Ant：ハイパーバイザーレベルのスパイ活動を徹底解析”. Sygnia. Sygnia. 2026年8月11日閲覧。
  77. ↑ Wang, Zhi; Jiang, Xuxian; Cui, Weidong; Ning, Peng (2009年8月11日). “Countering Kernel Rootkits with Lightweight Hook Protection” (PDF). In Al-Shaer, Ehab (General Chair) (ed.). Proceedings of the 16th ACM Conference on Computer and Communications Security. CCS 2009: 16th ACM Conference on Computer and Communications Security. Jha, Somesh; Keromytis, Angelos D. (Program Chairs). New York: ACM New York. doi:10.1145/1653662.1653728. ISBN 978-1-60558-894-0. 2009年12月29日時点のオリジナルよりアーカイブ (PDF). 2009年11月11日閲覧.
  78. ↑ “Device Guard is the combination of Windows Defender Application Control and virtualization-based protection of code integrity (Windows 10)” (2023年7月11日). 2026年8月11日閲覧。
  79. 1 2 “USBを悪用したサイバー攻撃を解説 ～AutoRun、BadUSB、Stuxnet～”. トレンドマイクロ (2026年7月2日). 2026年7月13日閲覧。
  80. ↑ Ric Vieler (2007). Professional Rootkits. John Wiley & Sons. p. 244. ISBN 9780470149546
  81. ↑ Gatlan, Sergiu (2021年5月6日). “New Moriya rootkit used in the wild to backdoor Windows systems”. Bleeping Computer. 2021年7月24日閲覧。
  82. ↑ Brumley, David (1999-11-16), “Invisible Intruders: rootkits in practice” (pdf), Login (USENIX Association): pp. 27–29 2007年8月27日閲覧。[リンク切れ]
  83. ↑ Davis, Michael A.; Bodmer, Sean; LeMasters, Aaron (2009-09-03). “Chapter 10: Rootkit Detection”. Hacking Exposed Malware & Rootkits: Malware & rootkits security secrets & solutions. New York: McGraw Hill Professional. ISBN 978-0-07-159118-8. オリジナルの2012-03-08時点におけるアーカイブ。 2010年8月14日閲覧。
  84. ↑ Trlokom (2006年7月5日). “Defeating Rootkits and Keyloggers”. Trlokom. 2011年7月17日時点のオリジナルよりアーカイブ。2010年8月17日閲覧。