カーネルレベルのマルウェアとは何か、そしてそれを防ぐにはどうすればよいか

2024/08/16

マルウェアにはさまざまな形態がありますが、カーネルレベルのマルウェアは最も危険なものの 1 つです。なぜそれほど脅威となるのでしょうか。また、どのように防御すればよいのでしょうか。以下で詳細を見てみましょう。

カーネルレベルのマルウェアとは何ですか?

カーネルはオペレーティングシステムのコアコンポーネントであり、ハードウェアとソフトウェア間のすべてのやり取りを管理する役割を担っています。カーネルは「カーネルモード」と呼ばれる高い権限レベルで動作し、メモリ、CPU、接続されたデバイスなど、すべてのシステムリソースに無制限にアクセスできます。この権限レベルに感染して操作するマルウェアは、カーネルレベルのマルウェアと呼ばれます。

このようなマルウェアはカーネルの高い権限を悪用し、検出を最小限に抑えながら悪意のあるアクティビティを実行します。この低いレベルで動作することで、セキュリティ対策を回避し、存続し、重要なシステム操作を制御することができます。

以下はカーネルレベルのマルウェアの一般的な例です。

カーネルルートキット:これは、攻撃者にコンピューターの検出されないリモート制御を許可するカーネルレベルのマルウェアの最も悪名高い形式の 1 つです。このアクセスにより、攻撃者はセキュリティを侵害したり、マルウェアをさらにインストールしたり、アクティビティを監視したり、デバイスを DDoS 攻撃に使用したりすることができます。

ブートキット: PC BIOS またはマスターブートレコード (MBR) に感染し、オペレーティングシステムがロードされる前に悪意のあるコードをロードするルートキットの一種です。カーネルレベルの悪意のあるコードをインストールし、OS の再起動や再インストール後も存続する可能性があります。

カーネルモードのトロイの木馬: より高い権限を持つこれらのトロイの木馬は、プロセスを置き換えたり、他のプロセス内に自分自身を埋め込んだりすることで、検出を効果的に回避できます。

カーネルレベルのランサムウェア:このタイプのランサムウェアは、カーネル権限を使用してデータを暗号化したり、ユーザーがシステムにアクセスできないようにしたりします。セキュリティをより効率的に回避し、復旧を困難にすることができます。

カーネルレベルのマルウェアから保護する方法

幸いなことに、カーネルレベルのマルウェアが PC に感染するのは非常に困難です。このタイプのマルウェアは、オペレーティングシステムが許可されていないプログラムに付与しない昇格された権限を必要とします。そのため、カーネルレベルのマルウェアは通常、既知の脆弱性を悪用するか、管理者アカウントへの物理的またはリモートアクセスを取得します。

PC セキュリティシステムは、カーネルレベルのマルウェア攻撃を検出して防止するように設計されています。誰かが意図的にそのようなマルウェアをインストールしようとしたとしても、オペレーティングシステムのセキュリティメカニズムによってインストールがブロックされる可能性があります。

ただし、脆弱性を最小限に抑え、攻撃を迅速に検出するには、PC でセキュリティ機能を有効にする必要があります。カーネルレベルのマルウェアから防御するには、以下の手順に従ってください。

セキュアブートとTPM 2.0が有効になっていることを確認する

セキュアブートと TPM 2.0 (Trusted Platform Module) は、Windows に不可欠なセキュリティ機能であり、カーネルレベルのマルウェアから防御するために不可欠です。そのため、Windows 11 のインストールにもこれらが必要です。

セキュアブートは起動時にすべてのソフトウェアのデジタル署名をチェックし、検証されていないソフトウェアの実行をブロックします。

TPM 2.0 は、ブートプロセスの暗号化ハッシュを保存する物理的なセキュリティチップです。起動のたびにこれらのハッシュを比較して改ざんを検出し、変更が見つかった場合はユーザーに警告します。

セキュアブートが有効になっているかどうかを確認するには、Windows Search で「システム情報」を検索し、システム情報アプリを開きます。システムの概要にセキュアブートの状態の値が表示されます。オンに設定されていることを確認します。

TPM 2.0 が有効になっている (またはサポートされている) ことを確認するには、Windows+ を押してR、tpm.msc[実行] ダイアログに入力します。

これらのいずれかが無効になっている場合は、BIOS/UEFI にアクセスし、セキュリティカテゴリの値を有効にします。セキュアブートを有効にするのは簡単ですが、TMP 2.0 は PC に搭載されていない可能性のあるハードウェアチップです。

Windows で仮想化ベースのセキュリティを有効にする

仮想化ベースのセキュリティ (VBS) は、ハードウェア仮想化を使用して、重要なシステムプロセスを分離された環境で実行し、悪意のあるアプリによる改ざんを防ぎます。カーネルレベルのマルウェアは重要なシステムプロセスの脆弱性を悪用することが多いため、この機能によってそれらを保護します。

Windows Search で「windows security」と入力し、Windows セキュリティアプリを開きます。デバイスセキュリティ->コア分離に移動し、メモリ整合性がオンになっていることを確認します。

ユーザーアカウント制御（UAC）を最大セキュリティに設定する

UAC は、アプリがユーザーの許可なく PC にインストールされたり変更されたりするのを防ぐことで、PC を保護します。最大のセキュリティに設定すると、ユーザーまたはアプリが何かをインストールしたり設定を変更したりしようとすると、Windows が常にユーザーの許可を求めるようになります。

Windows Search で「uac」を検索し、「ユーザーアカウント制御設定の変更」をクリックします。ここでスライダーを一番上の「常に通知する」に設定します。

PCを最新の状態に保つ

前述のように、カーネルレベルのマルウェアは脆弱性を利用して PC に感染することがよくあります。システムを最新の状態に保つことで、既知の脆弱性にタイムリーにパッチを適用し、悪意のあるプログラムによる脆弱性の悪用を防ぐことができます。

Windows、ドライバー、BIOS/UEFI を最新バージョンに更新してください。

Windows: Windows を更新するには、 Windows 設定のWindows Updateに移動し、更新プログラムのチェックをクリックします。最新の状態ですと表示されたら、問題ありません。それ以外の場合は、推奨される更新プログラムをダウンロードしてインストールしてください。

ドライバー:起動プロセス中に読み込まれるため最も脆弱であり、侵害されたドライバーはカーネルレベルで感染する可能性があります。iObit Driver Boosterなどのドライバー更新ツールを使用して、すべてのドライバーを自動的に更新できます。

BIOS/UEFI: BIOS/UEFI の更新は手動で行う必要があるため少し難しいですが、幸いなことに、このような更新はまれです。

日常使用には標準ユーザーアカウントを使用する

標準ユーザーアカウントでは多くの機能へのアクセスが制限されていますが、日常的な使用には十分です。制限されているため、カーネルマルウェアがデバイスに感染する能力も制限されます。

標準アカウントを作成するには、Windows 設定を開き、[アカウント] -> [その他のユーザー]に移動します。[アカウントの追加]をクリックして新しいアカウントを作成し、管理者ではなく標準アカウントを選択してください。

時々ブートタイムスキャンを実行する

ブートタイムスキャンは、Microsoft Defender を含むほとんどのウイルス対策ソフトウェアの標準機能です。このスキャンは PC を再起動し、オペレーティングシステムが完全に読み込まれる前にスキャンします。これはカーネルレベルのマルウェアに対して非常に効果的で、オペレーティングシステムから隠れようとする前に検出できます。時々実行して、PC がクリーンであることを確認してください。

Windows でこのスキャンを実行するには、Windows Search で「windows セキュリティ」を検索し、Windows セキュリティアプリを開きます。

[ウイルスと脅威の防止] -> [スキャンオプション]に移動し、[Microsoft Defender ウイルス対策 (オフラインスキャン)]を選択します。 [今すぐスキャン]をクリックすると、スキャンのために PC を再起動するように求められます。

危険なプログラムの実行を避ける

これは、あらゆる種類のシステムセキュリティリスクを回避するための一般的なアドバイスですが、カーネルレベルのマルウェアに関しては特に重要です。カーネルレベルのマルウェアは、オペレーティングシステムのセキュリティ機能を無効にしないとカーネルにアクセスできません。つまり、カーネルレベルのマルウェアは、アプリを実行するためにセキュリティ機能を無効にするように要求するなど、明確な警告を出すことになります。

ビデオゲームのハッキングや海賊版のプレミアムプログラムなど、疑わしいソフトウェアをダウンロードするときは注意してください。アプリが特定のセキュリティ保護を無効にすることを要求する場合、潜在的なリスクがアプリが提供するメリットを上回る可能性があります。

PCが感染した場合の対処方法

異常に高い CPU 使用率、フリーズ、クラッシュ (BSOD)、疑わしいネットワークアクティビティは、カーネルレベルのマルウェア感染の一般的な兆候です。PC が感染していると思われる場合は、すぐに対処する必要があります。残念ながら、マルウェアは非常に厄介なため、選択肢は限られています。

ルートキット除去機能を備えたウイルス対策ソフトウェアを使用する

ルートキット除去機能を備えたほとんどのウイルス対策ソフトウェアは、ほとんどの種類のカーネルレベルのマルウェアを削除できます。専用のルートキット除去機能があり、非常に効果的なMalwarebytesをお勧めします。

デフォルトでは無効になっているため、最初にルートキットスキャン機能を有効にする必要があります。Malwarebytesで[設定]をクリックし、[スキャンと検出]セクションに移動します。 [ルートキットのスキャン]オプションを有効にします。

次回のスキャンには、PC に感染しているカーネルレベルのマルウェアを検出できるルートキットスキャン機能も含まれます。

ブートタイムスキャンを実行する

前述のように、ブートタイムスキャンでは、ブートプロセスの前に隠れることに依存するカーネルレベルのマルウェアを検出できます。上記のように Microsoft Defender スキャンを実行するか、サードパーティのアプリを使用することができます。Avast One には、 Microsoft Defender が失敗した場合に試すことができる強力なブートタイムスキャン機能があります。

Windowsを再インストールする

セキュリティソフトウェアがカーネルレベルのマルウェアを検出できない場合は、Windows を再インストールすると問題が解決するはずです。現在のイメージが感染している可能性があるため、新規インストールを行う必要があります。Windows 11 をインストールする方法は複数あるため、好みの方法を選択してください。

全体的に、カーネルレベルのマルウェアは非常に危険ですが、ハッカーがデバイスに侵入するのは困難です。カーネルレベルのマルウェアを取り除くのに問題がある場合は、BIOS をアップグレード/再インストールすると問題が解決する場合があります。また、専門家に依頼して BIOS を再フラッシュし、CMOS をクリアすることもできます。

画像クレジット: Freepik。すべてのスクリーンショットはKarrar Haiderによるものです。