マルウェア

コンピュータウイルスは、通常は一見無害な別のプログラムの中に隠されているソフトウェアで、自身のコピーを作成して他のプログラムやファイルに挿入することができ、通常は有害な動作（データの破壊など）を実行します。^{[ 35 ]}生物学的ウイルスに例えられています。^{[ 2 ]}例として、ポータブル実行感染があります。これは、通常マルウェアを拡散するために使用される手法で、PE ファイルに余分なデータや実行可能コードを挿入します。^{[ 36 ]}コンピュータウイルスは、ユーザーの知識や同意なしに、ターゲット システム上の他の実行可能ソフトウェア（オペレーティングシステム自体を含む）に自身を埋め込むソフトウェアであり、実行されると、ウイルスは他の実行可能ファイルに拡散します。

ワームは、ネットワークを介して自身を積極的に送信して他のコンピュータに感染し、ファイルを感染させることなく自身をコピーできるスタンドアロンのマルウェアソフトウェアです。これらの定義から、ウイルスは感染したソフトウェアまたはオペレーティングシステムを実行することで拡散するのに対し、ワームは自身で拡散するということがわかります。^{[ 37 ]}

システムに悪意のあるソフトウェアがインストールされると、検出を避けるために隠蔽しておくことが不可欠です。ルートキットと呼ばれるソフトウェアパッケージは、ホストのオペレーティングシステムを変更してマルウェアをユーザーから隠すことで、この隠蔽を可能にします。ルートキットは、有害なプロセスがシステムのプロセス一覧に表示されないようにしたり、そのファイルが読み取られないようにしたりすることができます。^{[ 38 ]}

悪質なソフトウェアの中には、単に身を隠すだけでなく、識別や削除の試みを回避するためのルーチンを含むものがある。この挙動の初期の例として、ゼロックスCP-Vタイムシェアリングシステムに侵入した2つのプログラムに関する「ジャーゴンファイル」の記事が挙げられる。

各ゴーストジョブは、もう一方のゴーストジョブが終了されたことを検知し、数ミリ秒以内に最近停止したプログラムの新しいコピーを開始します。両方のゴーストを終了する唯一の方法は、両方を同時に終了させる（非常に困難）か、意図的にシステムをクラッシュさせることでした。^{[ 39 ]}

バックドアとは、攻撃者が被害者のマシンに永続的に不正なリモートアクセスを可能にするコンピュータプログラムを指す広義の用語であり、多くの場合、被害者の知らないうちにアクセスされます。^{[ 40 ]}攻撃者は通常、別の攻撃（トロイの木馬、ワーム、ウイルスなど）を使用して、通常はインターネットなどの安全でないネットワークを介して認証メカニズムを回避し、バックドアアプリケーションをインストールします。バックドアは、正規のソフトウェアのバグの副作用として発生することもあり、攻撃者はそれを悪用して被害者のコンピュータやネットワークにアクセスします。

コンピュータメーカーが顧客に技術サポートを提供するためにシステムにバックドアをプリインストールするというアイデアはよく提案されてきたが、これはこれまで確実に検証されたことはない。2014年には、米国政府機関が「ターゲット」とみなされる人物が購入したコンピュータを秘密の作業場に転用し、そこで機関によるリモートアクセスを可能にするソフトウェアまたはハードウェアをインストールしていたことが報告された。これは世界中のネットワークにアクセスするための最も生産的な作戦の1つと考えられている。^{[ 41 ]}バックドアは、トロイの木馬、ワーム、インプラント、またはその他の方法でインストールされる可能性がある。 ^{[ 42 ] [ 43 ]}

トロイの木馬は、被害者にインストールさせるために、通常の無害なプログラムやユーティリティを装って自身を偽装します。トロイの木馬は通常、アプリケーションの起動時に作動する隠された破壊的な機能を備えています。この用語は、古代ギリシャの物語に登場する、トロイの木馬が密かにトロイの街に侵攻したという話に由来しています。 ^{[ 44 ] [ 45 ]}

トロイの木馬は一般的に、ソーシャルエンジニアリングの手法によって拡散されます。たとえば、ユーザーが疑わしくないように見える電子メールの添付ファイル（たとえば、入力する定型フォーム）を実行するように騙される場合や、ドライブバイダウンロードによって拡散される場合があります。ペイロードは何でも構いませんが、多くの最新のトロイの木馬はバックドアとして機能し、コントローラに接続（コールホーム）して、影響を受けたコンピュータに不正アクセスし、機密情報を盗むためのキーロガー、トロイの木馬の運営者に収益をもたらすための暗号通貨マイニングソフトウェアやアドウェアなどの追加ソフトウェアをインストールする可能性があります。^{[ 46 ]}トロイの木馬やバックドア自体は簡単には検出できませんが、暗号通貨マイニングソフトウェアがインストールされた場合のように、プロセッサやネットワークの使用率が高くなるため、コンピュータの動作が遅くなったり、発熱量が増えたり、ファンノイズが大きくなったりすることがあります。暗号通貨マイナーは、検出を回避するために、リソースの使用を制限したり、アイドル時にのみ実行したりする場合があります。

コンピュータウイルスやワームとは異なり、トロイの木馬は一般的に他のファイルに自身を注入したり、自己増殖したりしようとはしません。^{[ 47 ]}現代のトロイの木馬は、正規のアプリケーションに偽装していることが多く、基本的なユーザーの認識や単純なウイルス対策を回避するのに特に効果的です。

2017年春、Macユーザーは、ブラウザの自動入力データ、Mac OSキーチェーン、パスワード保管庫など、さまざまなソースからパスワードデータを抽出するように訓練されたProton Remote Access Trojan（RAT）の新しいバージョン^{[ 48 ]}の被害に遭いました。^{[ 49 ]}

ドロッパーは、トロイの木馬のサブタイプであり、ステルス性と軽量なペイロードによって検出を回避することを目的として、感染したシステムにマルウェアを送り込むことのみを目的としています。^{[ 50 ]}ドロッパーをローダーやステージャーと混同しないことが重要です。ローダーやステージャーは、マルウェアの拡張機能（たとえば、反射型ダイナミックリンクライブラリインジェクションによる悪意のある関数の集合）をメモリにロードするだけです。その目的は、初期段階を軽量で検出されないようにすることです。ドロッパーは、システムにさらにマルウェアをダウンロードするだけです。

ランサムウェアは、身代金が支払われるまでユーザーがファイルにアクセスできないようにします。ランサムウェアには、クリプトランサムウェアとロッカーランサムウェアの2種類があります。^{[ 51 ]}ロッカーランサムウェアは、コンピュータシステムをロックダウンするだけで、その内容を暗号化しませんが、クリプトランサムウェアはシステムをロックダウンし、その内容を暗号化します。たとえば、CryptoLockerのようなプログラムはファイルを安全に暗号化し、多額の金銭が支払われた場合にのみ復号化します。^{[ 52 ]}

ロック画面、またはスクリーンロッカーは、違法コンテンツを収集したという虚偽の告発でWindowsまたはAndroidデバイスの画面をブロックし、被害者を脅して料金を支払わせようとする「サイバー警察」ランサムウェアの一種です。^{[ 53 ]} JisutとSLockerは他のロック画面よりもAndroidデバイスに影響を与え、JisutはAndroidランサムウェアの検出のほぼ60%を占めています。^{[ 54 ]}

暗号化型ランサムウェアは、その名の通り、感染したマシン上のすべてのファイルを暗号化するタイプのランサムウェアです。これらのマルウェアは、ポップアップ広告を表示して、ファイルが暗号化されたこと、そして復元するには（通常はビットコインで）身代金を支払う必要があることをユーザーに通知します。暗号化型ランサムウェアの例としては、CryptoLockerやWannaCryなどがあります。^{[ 55 ]}

2025年5月のマイクロソフトのデジタル犯罪対策ユニットによると、パスワード、クレジットカード、銀行口座、暗号通貨ウォレットを盗むLumma Stealer（「Lumma」）は、数百のサイバー脅威アクターが好んで使用する情報窃盗マルウェアであり、犯罪者が銀行口座を空にしたり、学校を人質に取ったり、重要なサービスを妨害したりすることを可能にする。^{[ 56 ]}

マルウェアの中には、クリック詐欺によって金銭を得るために使用されるものがあり、コンピュータのユーザーがサイト上の広告リンクをクリックしたように見せかけ、広告主から支払いを受け取るように仕向けます。2012年の推定では、アクティブなマルウェアの約60～70%が何らかのクリック詐欺を使用しており、すべての広告クリックの22%が不正なものでした。^{[ 57 ]}

潜在的に不要なプログラム（PUP）とは、ユーザーが意図的にダウンロードすることが多いにもかかわらず、不要なものとみなされるアプリケーションのことです。^{[ 59 ]} PUPには、スパイウェア、アドウェア、不正なダイヤラーなどが含まれます。

多くのセキュリティ製品は、不正なキー生成プログラムをPUP（潜在的に迷惑なプログラム）として分類していますが、それらは表向きの目的に加えて、実際にはマルウェアを内蔵していることがよくあります。^{[ 60 ]}実際、Kammerstetterら（2012）^{[ 60 ]}は、キー生成プログラムの55%にマルウェアが含まれている可能性があり、悪意のあるキー生成プログラムの約36%はウイルス対策ソフトウェアによって検出されないと推定しました。

アドウェアの種類によっては、マルウェア対策やウイルス対策を無効にするものもありますが、技術的な対策は可能です。^{[ 61 ]}

ユーザーのウェブ閲覧を監視したり、迷惑広告を表示したり、アフィリエイトマーケティングの収益をリダイレクトしたりするように設計されたプログラムは、スパイウェアと呼ばれます。スパイウェアプログラムはウイルスのように拡散するのではなく、一般的にセキュリティホールを悪用してインストールされます。また、無関係なユーザーがインストールしたソフトウェアと一緒に隠蔽され、パッケージ化されることもあります。^{[ 62 ]} Sony BMGルートキットは不正コピーを防止することを目的としていましたが、ユーザーのリスニング習慣も報告し、意図せず追加のセキュリティ脆弱性を生み出しました。^{[ 58 ]}

マルウェア対策ソフトウェアの特定のコンポーネントは、一般的にオンアクセススキャナまたはリアルタイムスキャナと呼ばれ、オペレーティングシステムのコアまたはカーネルに深く入り込み、特定のマルウェア自体が実行しようとする方法と同様の方法で機能しますが、システムを保護するためにユーザーの許可を得ています。オペレーティングシステムがファイルにアクセスするたびに、オンアクセススキャナはファイルが感染しているかどうかを確認します。通常、感染したファイルが見つかると、実行が停止され、不可逆的なシステム損傷を防ぐために、さらなる損傷を防ぐためにファイルが隔離されます。ほとんどのアンチウイルスでは、ユーザーがこの動作をオーバーライドできます。これはオペレーティングシステムにかなりのパフォーマンスの影響を与える可能性がありますが、影響の程度は仮想メモリに作成されるページの数に依存します。^{[ 94 ]}

サンドボックスは、アプリケーションを制御された環境内に閉じ込め、許可された「安全な」アクションのみを実行できるようにし、ホスト上の他のアプリケーションから隔離するセキュリティモデルです。また、隔離を維持するために、メモリやファイルシステムなどのシステムリソースへのアクセスも制限します。^{[ 92 ]}

ブラウザサンドボックスは、悪意のあるコードが脆弱性を悪用するのを防ぐために、Web ブラウザのプロセスとタブをオペレーティングシステムから隔離するセキュリティ対策です。潜在的に有害なコードをサンドボックス内に閉じ込めることで、マルウェア、ゼロデイ攻撃、意図しないデータ漏洩から保護するのに役立ちます。これには、個別のプロセスの作成、システム リソースへのアクセスの制限、隔離されたプロセスでのWeb コンテンツの実行、システム コールの監視、およびメモリ制限が含まれます。 プロセス間通信(IPC) は、プロセス間の安全な通信に使用されます。サンドボックスからの脱出は、サンドボックス メカニズムまたはオペレーティングシステムのサンドボックス機能の脆弱性を標的にすることによって行われます。^{[ 93 ] [ 95 ]}

サンドボックスは万全ではないものの、一般的な脅威の攻撃対象領域を大幅に縮小します。ブラウザとオペレーティングシステムを最新の状態に保つことは、脆弱性を軽減するために不可欠です。^{[ 93 ] [ 95 ]}