マルウェアの種類とは ― ウイルス・ワーム・トロイの木馬の違い

ニュースでは「ウイルスに感染」とよく言いますが、ウイルスはマルウェアの種類の1つです。マルウェアとは、利用者や組織に不利益を与える目的で作られたソフトウェアの総称です。ワーム・トロイの木馬・ランサムウェアなども、その中の種類の名前です。

ウイルス・ワーム・トロイの木馬は、「自分で増えるか」「他のファイルに寄生するか」の2つの軸で見分けられます。ほかの種類の多くは、何をするかという働きで付けた名前です。種類によって広がり方が違うので、感染を食い止める方法も変わります。

ウイルス・ワーム・トロイの木馬の違いは、2つの問いで整理できます。1つは、自分で複製を作って増えるかどうかです。もう1つは、他のファイルに寄生し、そのファイルを宿主にして広がるかどうかです。

ウイルスは、既存のファイルに自分の複製を組み込みます。感染したファイルが実行されると発動し、そこから別のファイルにも感染します。単独では動けず、宿主となるファイルの実行が必要です。アメリカの国立標準技術研究所（NIST）も、ウイルスを次のように説明しています。「ほかのプログラムやファイルに自分を組み込んで隠れ、起動されるまで潜む」プログラムです。

ワームは、宿主となるファイルを必要としません。単独のプログラムのまま、自ら複製して別の機器に伝染します。使うのは、ネットワークサービスの脆弱性やメールです。多くは利用者の操作を必要としません。ウイルスとワームは、どちらも自分で増える点は同じですが、宿主が必要かどうかが違います。

トロイの木馬は、役に立つソフトウェアに見せかけて配られます。利用者が実行してインストールすると、隠れた悪性の機能が動きます。自分では増えず、ほかの攻撃ツールを運ぶこともあります。ギリシャ神話の木馬の逸話のとおり、外見と中身が違う点が名前の由来です。

主なマルウェア11種類を、2つの軸で並べました。「－」は、働きで付けた名前なので、2つの軸では位置が決まらないことを表します。

NISTは、バックドア・キーロガー・ルートキットのような攻撃の道具には、単体で感染を広げる力がないとしています。多くはワームやトロイの木馬などによって機器に運ばれます。一方でNISTは、今のマルウェアの多くが複数の広がり方を組み合わせているとも説明しています。そのため、働きで付けた名前の種類は、個々のマルウェアごとに表の位置が変わります。

次の図で11種類から1つを選ぶと、2軸の表のどこに入るかと、その説明が表示されます。働きで付けた名前の種類を選ぶと、表のどこにも印が付きません。

ボットは、ほかの機器を攻撃させるために機器へ仕込まれる、バックドアの一種です。NISTは、バックドアの一種として「ゾンビ（一般にボットと呼ばれる）」を挙げています。機器を他の機器への攻撃に使うためのものという説明です。遠隔操作型ウイルス（RAT）も、別のバックドアの一種です。攻撃者が、機器の機能やデータに遠隔からアクセスするためのものです。

ボットという語は、仕込まれたプログラムを指すことも、乗っ取られた機器を指すこともあります。次の図と練習問題では、乗っ取られた機器の意味で使います。

攻撃者はC&Cサーバ（command and control server）から、多数のボットに同じ命令を送ります。NISTの資料も、ボットネットの通信を「命令と制御（C&C）の通信」と呼んでいます。まとめて操作される機器の集まりをボットネットと呼びます。乗っ取られた多数の機器から1つの標的を狙うDDoS攻撃も、ボットネットを使います。

ボットも、前の節で説明した攻撃の道具の1つです。ワームやトロイの木馬によって機器に運ばれることが多く、自ら広がる機能を併せ持つものもあります。

ランサムウェアは、機器のファイルを暗号化し、復号と引き換えに金銭を要求するマルウェアです。CISAは、アメリカのサイバーセキュリティ・インフラセキュリティ庁です。CISAによると、ランサムウェアは暗号化で、ファイルとそれに依存する仕組みを使えなくします。盗んだ情報を公開したり売却したりすると脅す手口も加わっています。

ランサムウェアの広がり方は、個々のマルウェアで違います。2017年に世界中で被害を出したWannaCryは、WindowsのSMBの脆弱性を突いて、ワームのように自ら広がりました。暗号化される前の状態に戻すには、バックアップを取っておきます。突かれた脆弱性は、パッチを当てれば塞がります。

ファイルレスマルウェアは、本体をファイルとしてディスクに置かず、メモリ上で動作します。CISAは2019年に、Astarothという実例に注意を呼びかけました。メモリ上だけに存在し、認証情報やキー入力などの情報を盗むものでした。ファイルを置かないので、ファイルを調べる従来の対策では見つけにくいのが特徴です。ファイルの中身を調べる方法と、動かして振る舞いを見る方法の違いは、ビヘイビア法とヒューリスティック法の記事で比べています。

• NIST SP 800-83 Rev.1 Guide to Malware Incident Prevention and Handling for Desktops and Laptops（ウイルス・ワーム・トロイの木馬・バックドア・キーロガー・ルートキット・ボットの定義）
• NIST CSRC Glossary「Virus」「Worm」「Trojan Horse」「Spyware」「Backdoor」「Macro Virus」「Botnet」（各用語の定義。SP 800-12 Rev.1・SP 800-28・SP 800-128・SP 1800-15・CNSSI 4009-2022を引用）
• CISA Ransomware 101（ランサムウェアの動き）
• CISA「Indicators Associated With WannaCry Ransomware」（ランサムウェアが自ら広がった例）
• CISA「Canadian Centre for Cyber Security Releases Advisory on Fileless Malware」（ファイルレスマルウェアの実例）