ルートキットから自分を守る方法

ルートキットはネットワークを侵害し、脅威の行為者がいつでも再侵入できるようにします。彼らは情報を外部流出させたり、ファイルを削除したり、他のマルウェアを仕込んだりすることがあります。安全を保つ方法をご紹介します。

ルートキット

ルートキットは特に厄介なマルウェアの一種です。それらは非常に検出が難しく、さらに取り除くのも困難です。その上、攻撃者にはシステムに対する巨大な権限を与え、自由に出入りできる能力を持たせてしまいます。これにより、長期的な観察や偵察が完全に攻撃者の手の内に入ることになります。

ルートキットは新しいものではありません。1990年代初頭に初めてサン・マイクロシステムズのSunOS Unixオペレーティングシステム用に開発された時から存在しています。これは名前にも反映されています。「ルート」の部分はUnixに似たオペレーティングシステムのシステム管理者を指し、「キット」の部分はその悪用を行うために必要なソフトウェアツールの集合を説明しています。

最初のルートキットは、Windowsオペレーティングシステム専用に設計されたもので、NTRootkitというマルウェアでした。それは、こうした攻撃に対する防御策を開発する興味を促進するために、セキュリティ研究者のグレッグ・ホグランドによって作成されました。

最近の革新は、モノのインターネット（IoT）デバイス用のルートキットの開発です。これは部分的には、IoTデバイスの驚異的な普及によるものです。脅威の加害者がターゲットを多く持つほど、彼らは満足します。しかし、サイバー犯罪者がこれらのデバイスを魅力的なターゲットと見なす本当の理由は、ほとんどのIoTデバイスにおける堅牢なセキュリティの欠如---時にはまったくセキュリティがないことさえ---です。

侵入のための任意のポイントは脅威の行為者にとって有用です。IoTデバイスは、ネットワークに接続された他のデバイスの中で最もセキュリティ機能が弱いことが多いです。これらはインターネットに接続されており、組織のWi-Fiに接続されており、ほぼ確実に主な企業ネットワークからセグメントされていません。もし侵害されたIoTデバイスがネットワーク内での拠点として彼らのニーズに合わない場合、彼らは簡単に別の場所を見つけて移動し、その目的により適した位置に移動することができます。

ルートキットがどのようにインストールされるか

ルートキットはウイルスやワームのように自己複製することはできません。フィッシングメールキャンペーン、感染したウェブサイト、またはUSBドロップのようなソーシャルエンジニアリングに基づく攻撃など、他のメカニズムによって配布される必要があります。

フィッシングキャンペーンは、正当で信頼できるソースからのメールを装った詐欺的なメールを送信します。メールは慎重に言葉が選ばれており、受信者にリンクをクリックさせたり、感染した添付ファイルを開かせるように強要しようとします。添付ファイルには、ドロッパーと呼ばれるソフトウェアが含まれています。これがインストールされると、脅威アクターのサーバーからさらにペイロードであるルートキット自体がダウンロードされます。添付ファイルのないフィッシングメールには、犠牲者を感染したウェブサイトに誘導するリンクが含まれています。これらのウェブサイトは、パッチが適用されていないブラウザを利用して、犠牲者のコンピュータを感染させます。

USBドロップはよりターゲットを絞った攻撃です。感染したUSBメモリーキーが、標的とする組織のスタッフが見つける場所に置かれます。USBメモリーキーは通常、一組の鍵に取り付けられています。これにより、鍵の所有者を特定するための一連のイベントが始まります。もちろん、誰もそれを主張することはありません。遅かれ早かれ、誰かが情報を探すためにそのUSBメモリーキーをコンピュータに挿入するでしょう。USBメモリーキー上に表示されているPDFや他の文書ファイルは、実際には隠されたプログラムです。それらの1つを開こうとすると、コンピュータが感染します。

トロイ技術も使用される可能性があります。これは、無害なソフトウェアアプリケーションが、脅威の行為者によって別のインストール手順で再パッケージされる場所です。ソフトウェアのインストールは予想通りに進行しているように見えますが、アプリケーションと共にルートキットがインストールされています。トレントサイトからのクラックされたおよび海賊版のソフトウェアは、しばしばトロイの木馬です。

ルートキットが何をするか

ルートキットは深く入り込みます。ドロッパーはBIOSやUEFIに隠れることができるため、ハードドライブが消去されてもドロッパーは再びルートキットをダウンロードするだけです。このようにして、ルートキットはハードドライブを完全に再フォーマットしても、あるいはハードウェアを交換して新しいハードドライブをインストールしても、まるで魔法のように生き残ることができるのです。

ルートキットは、オペレーティングシステムの統合された正当な部分のように見える形で自らをインストールします。ルートキットは、エンドポイント保護スイートによる検出を防ぐことができ、エンドポイント保護ソフトウェアを削除することもあり、エンドポイント保護ソフトウェアによって検出されてもその削除を防ぐ技術を含むことがあります。管理者レベルの特権を持っているため、ルートキット――そしてその脅威行為者――は好きなことを何でもすることができます。

脅威アクターは特にルートキットを好みます。それは彼らにプライベートバックドアを提供するからです。これは建物の侵入者のようなものです。アクセスを得ようとするたびに鍵を開けなければならないのなら、いつかは彼らに見つかってしまうでしょう。しかし、自分の鍵を持っているか、ドアのエントリーキーパッドのコードを知っているなら、思いのままに出入りできます。2020年の時点で、感染から検出および封じ込めまでの平均時間は200日以上でした。これがルートキットが高度な持続的脅威として分類される理由です。

ルートキットは以下のいずれかを行う可能性があります：

• バックドアをインストールする: これにより、脅威をもたらす者がネットワークに簡単に再アクセスできるようになります。
• 他の悪意のあるソフトウェアをインストールする: ルートキットは、キーロギングソフトウェアのようなさらなるマルウェアをインストールする可能性があります。目的は、オンラインバンキングや他の支払いプラットフォーム、またはサイバー犯罪者が関心を持っている他のサービスの認証情報をキャッチすることです。脅威の行為者があなたのネットワークから可能な限り搾取したと判断すると、彼らは最後の仕打ちとしてランサムウェアをインストールするかもしれません。ネットワークが侵害され、ランサムウェア攻撃がトリガーされる前に、機密性の高い情報や企業の機密資料が流出することがますます一般的になっています。被害者が強固な災害復旧計画を講じ、身代金の支払いを拒否すると、サイバー犯罪者は私的な文書を公に公開すると脅迫します。
• ファイルを読み取る、コピーする、外部に抽出する、または削除する：一度ネットワークに入ると、何もプライベートでも不変でもありません。
• システム構成の変更: ルートキットは、エンドポイント保護ソフトウェアから隠れるためにシステム設定を変更し、オペレーティングシステムの他のコンポーネントには正当な存在として見えるようにします。それは、自身に最高の管理権限と最低レベルのオペレーティングシステム機能と対話するための権限を与えるように設定を変更します。
• ログファイルにアクセスし、修正する: ルートキットは、発見や調査を不可能にするためにシステムログを修正します。
• キー入力をログに記録し監視する：キー入力を記録することは、ローカルシステムとオンラインシステムの両方でユーザー名とパスワードをキャプチャするためのシンプルで効果的な方法です。結局のところ、あなたが入力するすべてのものは同じキーボードを通過します。

ルートキットの背後には誰がいるのか？

ルートキットは非常に高度なコードの断片です。効果的なルートキットの作成は、一般的なサイバー犯罪者の能力を超えています。ただし、ルートキットツールセットはダークウェブで入手可能です。これにより、合理的に能力のあるプログラマーの手にルートキットの力が握られます。ルートキット技術を示す概念実証コードもGitHubで入手可能です。

ゼロからルートキットを書くには、多くのリソースと最高レベルの開発専門知識が必要です。国家主導の攻撃サイバーグループ、つまりAPTグループは、軍や他の機関のために活動しており、ルートキットの既知のソースです。最近の例として、Drovorubルートキットがあります。国家安全保障局（NSA）と連邦捜査局（FBI）のこの件に関する特定により、ロシアの85th Main Special Service Center（GTsSS）、別名APT28およびFancy Bearが脅威の背後にいるグループとして特定されました。

ルートキットの種類

ルートキットはその挙動に応じて分類することができます。より一般的なバリエーションは次の通りです:

• カーネルルートキット：これらはカーネルレベルで動作します。ルートキットは、オペレーティングシステムに付与されたすべての権限を取得します。
• アプリケーションルートキット: これらはアプリケーションレベルで機能します。通常、アプリケーションモジュール、ファイル、またはコードを置き換えたり、変更したりします。これにより、ルートキットやサイバー犯罪者は通常の許可されたソフトウェアとして振る舞うことができます。
• メモリルートキット: これらはランダムアクセスメモリ(RAM)で動作します。RAMで実行されるため、ハードドライブ上にデジタルフットプリントやファイル署名を残しません。
• ブートキット: ブートキット、またはブートローダーキットは、マスターブートレコード(MBR)などのオペレーティングシステムのブートローダーに影響を与えるルートキットです。これらはコンピュータが起動する際に初期化され、オペレーティングシステムが完全にロードされる前に動作します。このため、これらを削除することは非常に困難です。
• ライブラリルートキット: これらのルートキットは、カーネルパッチやフックのように振る舞います。システムコールをブロックしたり、 intercept して変更したりします。また、Windowsベースのシステムのダイナミックリンクライブラリ（DLL）やUnix系オペレーティングシステムのライブラリを置き換えることもあります。
• ファームウェアルートキット：これらはネットワークデバイスのファームウェアに影響を与えます。これにより、脅威を与える者がデバイスを制御できるようになります。この足掛かりから、脅威を与える者は他のネットワーク接続デバイスやコンピュータに移行することができます。

検出と除去

突然の説明がつかないクラッシュや非常に悪いパフォーマンスは、ルートキットが存在する可能性を示す兆候かもしれません。ダークウェブで入手可能な「自己組織化」ツールキットに基づいて構築された設計の悪いルートキットは、システムに不安定さをもたらす可能性があります。ルートキットはオペレーティングシステムのカーネルや他のモジュールと最も低いレベルで連携するため、ルートキットのバグはシステムの不安定性を簡単に引き起こすことがあります。

ルートキットは、エンドポイントセキュリティスイートから非常に成功裏に隠れることができるため、発見が notoriously difficult（非常に難しい）です。一部のトップティアの有名なエンドポイント保護スイートは、いくつかのルートキットのバリアントを検出できると主張しており、それは助けになります。

行動分析技術を含むセキュリティソフトウェアは、コンピュータの正常な動作や、ユーザーの異なる役割に応じたネットワークの習慣の様子を把握することができます。期待される動作からの逸脱は、システム上のルートキットの兆候である可能性があります。高性能な検出システムなしでは、ルートキットの侵害を正確に特定し、除去するためには専門的な介入が通常必要であることに注意が必要です。

• セキュリティ監査ソフトウェアは、システムクリティカルなファイルの参照フィンガープリントを取得します。このソフトウェアは、定期的にコンピュータをスキャンするように設定されています。ディスク上のファイルとその参照署名との間に違いがある場合、ファイルが変更されたか置き換えられたことを意味します。これらの異常は調査のためにフラグが立てられます。この手法は、変更されたファイルや置き換えられたファイル、カーネルパッチ、DLL、ドライバーを検出することができます。この種のセキュリティ監査ツールの例として、適切なファイル整合性プラグインを備えたオープンソースのLynisパッケージがあります。
• APIモニタリングソフトウェアは、APIコールからの呼び出しと返されたデータを追跡できます。期待される基準からのいかなる偏差も疑わしいものとしてフラグ付けされます。

削除は長引く場合があります。セーフモードで起動してもルートキットには効果がありません。オペレーティングシステムを含むCDまたはDVDから起動する必要があります。これは、ハードドライブが起動プロセスに関与せず、ルートキットドロッパーソフトウェアがCDまたはDVDのイメージを変更できないことを意味します。

しばしば、起動するオペレーティングシステムは、通常お使いのマシンで実行されているものとは異なります。たとえば、Windows PCからLinux Live CDを使用して起動することがあります。その後、特別なルートキットハンティングソフトウェアを使用して、ドロッパーがどこに存在するかを特定し、削除することができます。ハードドライブは交換するか、完全に消去して再インストールする必要があります。

予防が最善の治療である

ルートキット感染の大多数は人間の関与に依存しています。おそらく誰かがフィッシングメールに騙されたか、不正なトレントサイトからソフトウェアをダウンロードすることに決めたのでしょう。これは、ルートキットによる妥協に対する防御を改善する最良の方法は、スタッフにサイバーセキュリティ意識トレーニングを提供し、彼らが従うべき方針と手順を持つことだということを意味します。

適切な利用ポリシーは、組織のコンピュータ資源の何が許可され、何が許可されていないかを詳しく説明します。従業員は昼休み中にどのようなウェブサイトでも閲覧できるのでしょうか、それともいくつかのウェブサイトのカテゴリーは禁止されていますか？彼らに個人のウェブメールを閲覧させることについてのルールは何ですか？彼らがオフィスのデスクトップで個人のメールを読むために使用し、フィッシング攻撃に引っかかった場合、それはユーザーの家庭用コンピュータではなく、あなたの組織が危険にさらされることになります。

パスワードポリシーは、強力なパスワードを構築するための明確なガイダンスと、避けるべき落とし穴を含む必要があります。子供の名前や記念日など、社会的に操作されやすいものに基づいてパスワードを設定しないでください。異なるシステムでパスワードを再利用しないでください。パスワードマネージャーを推奨し、使用が承認されたもののリストを提供すべきです。可能な場合は二要素認証を実装してください。

マルウェアやフィッシング攻撃の脅威について説明する短くて鋭いトレーニングセッションを実施します。ランサムウェア攻撃は組織の財政的な存続を脅かす可能性があるため、サイバーセキュリティに注意を払うことはビジネスを守るだけでなく、従業員の生活も守ります。フィッシングメールを見分ける方法や、それを受け取った場合に何をすべきかについてのガイダンスを提供します。セキュリティに配慮した文化を育み、セキュリティに基づく問い合わせや二重確認が評価され、軽視されないようにします。

サイバーセキュリティ会社と連携し、無害なフィッシングキャンペーンやUSBドロップなどのスタッフの脆弱性演習を行い、追加のトレーニングが必要なスタッフを特定することをお勧めします。

ほとんどの種類のマルウェアでは、あなたのスタッフは最前線の部隊です。彼らがあなたのネットワークを保護するために最も効果的になるように力を与えるべきです。