本ユニットでは、特定の目的に機能を特化させたマルウェアの亜種・特殊型を学びます。情報を盗むスパイウェアやキーロガー、侵入を維持するバックドアやRAT、感染手段が特殊なマクロウイルス、検知を逃れるファイルレスマルウェアが対象です。情報セキュリティは試験で頻出の分野であり、各マルウェアの目的と手口の違いを区別できることが重要です。
利用者に気づかれず個人情報や利用状況を収集し外部へ送る不正プログラム。
スパイウェアは、パソコンやスマートフォンに潜み、利用者に気づかれないまま閲覧履歴・入力情報・個人情報などを収集し、外部へ送信するマルウェアです。フリーソフトに同梱されて知らずにインストールされることも多くあります。 ウイルスのように自己増殖して破壊するのではなく、あくまで「こっそり情報を盗む」点が特徴です。試験では、情報窃取が目的である点と、後述のキーロガー(入力記録)を含む広い情報収集型の総称として問われます。
たとえ部屋に仕掛けられた小型の隠しカメラのようなもの。住人に気づかれず日々の様子を記録し、こっそり外部へ映像を送り続けます。
記憶フックスパイウェアといえばこっそり情報を盗んで外部送信
キーボードの入力内容を記録し攻撃者へ送る情報窃取型の不正プログラム。
キーロガーは、利用者がキーボードで打った文字をすべて記録(ログ)するマルウェアです。記録した内容から、ID・パスワード・クレジットカード番号などの重要情報が盗み取られます。 スパイウェアの一形態で、特に「キー入力の記録」に特化している点が特徴です。試験では、入力情報を盗む手口として問われ、画面に表示されない入力でも記録されてしまうため、ソフトウェアキーボードやワンタイムパスワードが対策として有効である点も押さえておきましょう。
たとえ電話の盗聴器のように、利用者が打ち込む一文字一文字をすべて書き写して攻撃者へ報告する、まじめすぎる記録係のようなものです。
記憶フックキーロガーといえばキー入力を記録して盗む
攻撃者が正規の認証を通さず再侵入できるよう仕込まれた裏口の仕組み。
バックドアは、一度侵入に成功した攻撃者が、次回から正規の認証手続きを経ずにこっそり再侵入できるよう仕掛けておく「裏口」です。マルウェアによって設置されたり、開発者が残したデバッグ用の入口が悪用されたりします。 目的は「侵入経路の維持・確保」であり、情報を盗むスパイウェア類とは役割が異なります。試験では、正面の認証を回避して何度も入り込むための裏口、という点が問われます。設置されると気づきにくく、長期的に侵入を許す危険があります。
たとえ泥棒が最初の侵入時に、家の裏口の鍵をこっそり開けっ放しにしておくようなもの。次からは玄関(正規の認証)を通らず自由に出入りできてしまいます。
記憶フックバックドアといえば認証を回避する再侵入の裏口
感染端末を攻撃者が遠隔から自由に操作できる遠隔操作型マルウェア。
RAT(Remote Access Trojan、遠隔操作ツール)は、感染した端末を攻撃者がインターネット越しに遠隔から操作できるようにするマルウェアです。ファイルの操作、画面の盗み見、カメラやマイクの起動など、まるで手元のように端末を支配されます。 バックドアと機能的に近く、再侵入口を確保したうえで遠隔操作まで行う点が特徴です。試験では、攻撃者が端末を遠隔から思いどおりに操る不正ツール、という観点で問われます。標的型攻撃で利用されることが多いマルウェアです。
たとえ他人のパソコンを遠くから操る「乗っ取りリモコン」のようなもの。持ち主に気づかれないまま、攻撃者が画面もカメラも自由に動かせます。
記憶フックRATといえば感染端末を遠隔操作する乗っ取りツール
文書ファイルのマクロ機能を悪用して感染・動作するウイルス。
マクロウイルスは、ワープロや表計算ソフトの「マクロ」(操作を自動化する小さなプログラム)機能を悪用して作られたウイルスです。マクロを仕込んだ文書ファイルを開くと実行され、感染が広がります。 プログラム本体ではなく文書ファイルを介して感染する点が特殊です。試験では、メールに添付された文書を開いただけで感染しうること、対策としてマクロの自動実行を無効にすることが有効である点が問われます。実行プログラムよりも警戒されにくいため注意が必要です。
たとえ一見ふつうの書類に見える封筒に、開けると作動する仕掛けが仕込まれているようなもの。文書だからと油断して開くと罠が動き出します。
記憶フックマクロウイルスといえば文書のマクロを悪用して感染
ファイルとして保存せずメモリ上などで動作し検知を逃れるマルウェア。
ファイルレスマルウェアは、悪意あるプログラムをディスク上のファイルとして保存せず、メモリ(主記憶)上やOS標準のツールを利用して動作するマルウェアです。実体となるファイルが残りにくいのが特徴です。 ファイルを検査する従来型のウイルス対策ソフトでは検知しづらく、痕跡も残りにくいため、検知回避に優れた新しいタイプとして扱われます。試験では、ファイルとして実体を持たないことで検知や調査が難しい点が問われます。挙動を監視する対策が有効です。
たとえ侵入しても足跡を床に残さず、空中を移動するような泥棒のもの。証拠の品(ファイル)を置いていかないため、後から探しても見つけにくいのです。
記憶フックファイルレスマルウェアといえばファイルを残さずメモリ上で動き検知回避
関連の過去問演習は今後のアップデートで追加予定です。