はじめに
rootkit（ルートキット）は、攻撃者が侵入後に 自分の存在を隠し、不正操作を継続するためのマルウェア です。
「気づかれないこと」が最大の特徴であり、防御・検知の難易度が非常に高い脅威として知られています。
本記事では、rootkit の 定義・特徴・種類・歴史・バックドアとの関係・対策 を整理します。
rootkit の定義
- OSやアプリを改ざんし、プロセス・ファイル・通信を隠蔽する
- 管理者権限（root権限） を維持し、不正活動を続行可能
- 再起動後も生き残るように、ブート領域やカーネルに仕込まれる
rootkit の特徴
- 隠蔽機能：プロセス・ファイル・レジストリを見えなくする
- 持続性：再起動後も残るように深部へ感染
- 権限奪取：管理者権限で活動し続ける
- バックドア保持：外部からのリモート操作を維持
rootkit の種類
- ユーザーモード型：アプリ層で動作、比較的検出しやすい
- カーネルモード型：OSカーネルに侵入、検出が難しい
- ブートキット：OS起動前に常駐
- ファームウェア型：BIOS/UEFIなどに感染、再インストールでも残る可能性あり
脅威と影響
- 機密情報の窃取（認証情報、暗号鍵など）
- ボットネット化・踏み台化
- 追加マルウェアの導入
- セキュリティ監視の回避
検出の難しさ
- rootkit は「見つからないこと」を目的に設計されている
- 一般的なセキュリティソフトでは検知困難
- オフラインスキャン や メモリフォレンジック が必要になるケースもある
rootkit の歴史年表
主な出来事
- 2005 Sony BMG事件：音楽CDにDRM目的でrootkitを仕込み社会問題化
- 2010 Stuxnet：イラン核施設を狙った攻撃でrootkitを活用
- 2012 ZeroAccess：数百万台に感染したボットネット型 rootkit
- 2018 LoJax：初めて発見された実用的UEFI rootkit
- 2022 CosmicStrand：最新世代のUEFI rootkit、検出困難化が進む
rootkit とバックドアの関係
rootkitはしばしば バックドアとセット で利用されます。
役割の違い
- バックドア：攻撃者が侵入するための「入口」
- rootkit：その存在を隠す「隠れ蓑」
図解
防御・対策
優先順位
-
入口を防ぐ（バックドア対策）
- OS/ソフトの最新化
- IDS/IPSやFWで不正通信を遮断
- 最小権限の徹底
-
rootkit設置を防ぐ
- 正規ソフトのみ使用
- UEFI Secure Boot有効化
-
感染時の対応
- 外部メディアからのスキャン
- メモリフォレンジック
- OS再インストールが最も確実
進化の方向性
-
ファームウェア／UEFI型の増加
- OSより下層に仕込むことで、再インストールやディスク初期化でも残存
- LoJax, CosmicStrand など実例あり
-
クラウド・仮想化環境への展開
- 企業がクラウド移行を進める中で、ハイパーバイザ層に侵入する rootkit（Hypervisor rootkit）の可能性
- SaaS / PaaS を狙う「クラウド型 rootkit」の研究も進む
-
IoT / 組込み機器向け rootkit
- 監視カメラ・ルーター・医療機器などに常駐し、検知が困難
- 更新やパッチが遅れる IoT 環境は特に狙われやすい
-
AI回避型 rootkit
- AIベースのセキュリティ検知を回避するために、挙動を模倣したり、
検知モデルを逆に学習するような rootkit の登場も予測される
- AIベースのセキュリティ検知を回避するために、挙動を模倣したり、
今後の展望
攻撃側
-
より深いレイヤー（ファームウェア・仮想化・クラウド）での隠蔽
-
複合的なマルウェア攻撃の基盤として利用
-
APT（国家レベルの攻撃）での利用が増加
防御側
-
ハードウェアベースの信頼基盤（TPM, Secure Boot, DRTM など） による防御
-
メモリフォレンジックやハードウェア監査 の普及
-
クラウド事業者による 仮想化レイヤー監視・隔離技術 の強化
まとめ
- rootkit は「見えないマルウェア」であり、検知困難
- バックドアと組み合わせて長期的に侵入を維持する のが典型的な使われ方
- 入口（バックドア）を防ぐことが第一、rootkit検知は第二の防御策