マルウェア（ルートキット・ポリモーフィック型・ビヘイビア法）

マルウェアは，利用者に害を与える目的で作られたソフトウェアの総称です。昔は「ウイルス」と呼ぶことが多く，古い年度の問題ではウイルスと書かれています。情報処理安全確保支援士とネットワークスペシャリストの科目A-2（午前Ⅱ）で，マルウェアの種類の説明と見つけ方が繰り返し問われます。マルウェアが見つからないようにする工夫と，それを見つける方法を対にして覚えるのが近道です。

マルウェアの種類

ワーム	ほかのファイルに寄生せず，ネットワークを通じて自分で次々に広がる。アプリケーションの脆弱性を突いて侵入できる
トロイの木馬	役に立つソフトウェアのふりをして入り込み，裏で不正な動作をする
ダウンローダ型	最初は小さなプログラムとして入り込み，インターネットからほかのマルウェアを呼び込む
ランサムウェア	ファイルを暗号化して使えなくし，元に戻すための身代金を要求する
バックドア	通常のアクセス経路とは別に，侵入者が後から入り込むために設置する裏口
ルートキット	OS などに組み込んだツールの存在を隠す道具一式。管理者が調べても見つからないようにする
クリプトジャッキング	他人のコンピュータの計算資源を勝手に使って，暗号資産のマイニングをする

見つからないようにする工夫

ポリモーフィック型：感染するたびに自分のコードを異なる鍵で暗号化し，見た目を変えます。決まったバイト列（パターン）で探す方法では，同じマルウェアだと分かりません。
ファイルレス攻撃：実行ファイルをディスクに作らず，メモリの上だけで動きます。ファイルを調べる対策ソフトでは見つけにくくなります。
RLO（Right-to-Left Override）：文字の並びを右から左に変える制御文字をファイル名に入れ，拡張子を偽ります。たとえば実行ファイルの名前の途中に入れて，末尾が「.pdf」や「.jpg」であるように見せかけます。
コネクトバック：侵入したコンピュータの側から，攻撃者のサーバへ通信を始めます。外から内への通信を遮るファイアウォールを，内から外への通信としてすり抜けます。

見つける方法

パターンマッチング法	既知のマルウェアに特有のコード（シグネチャ）と照らし合わせる。既知のものは確実に見つけられるが，新種や姿を変えるものには弱い
ビヘイビア法	プログラムを動かして，ファイルの読み書きや通信などの振る舞いを見張り，マルウェアに特有の動きで見つける。新種にも効く
ヒューリスティック法	コードを調べ，マルウェアがよく使う命令の並びなどから怪しいものを見つける
コンペア法・チェックサム法	感染していない元のファイルや，記録しておいたチェックサムと比べて，書き換えを見つける

新種のマルウェアの動作を詳しく調べるときは，逆アセンブルしてコードを読む方法が有効です。ダウンローダ型のように外部からマルウェアを取り込むものには，危険な Web サイトへの接続を URL フィルタで遮ると，次のマルウェアを呼び込ませずに済みます。

試験での問われ方

当サイトが収録している科目A（午前）の問題のうち，ルートキット・ポリモーフィック・ビヘイビア法・エクスプロイトコードなどの語が出てくるのは44問です。ほとんどが情報処理安全確保支援士とネットワークスペシャリストの科目A-2（午前Ⅱ）です。型ごとに数えると次のとおりです。

ルートキット（8問）。特徴を選ぶ問題で，正解は「OS などに不正に組み込んだツールを隠蔽する。」などです。
ビヘイビア法（7問）。正解は「マルウェアの感染や発病によって生じるデータの読込みの動作，書込みの動作，通信などを監視して，マルウェアを検出する。」などで，誤りの選択肢にはパターンマッチング法やコンペア法などの説明が並びます。
エクスプロイトコード（5問）。「ソフトウェアやハードウェアの脆弱性を利用するために作成されたプログラム」などを選びます。
ポリモーフィック型（5問）。感染ごとに異なる鍵で暗号化して，パターンで検知されないようにするものを選びます。
ダウンローダ型の対策（5問）。正解は「URL フィルタを用いてインターネット上の危険な Web サイトへの接続を遮断する。」などです。
RLO（4問）。正解は「文字の表示順を変える制御文字を利用し，ファイル名の拡張子を偽装する。」などです。
そのほかの種類と手口（8問）。クリプトジャッキング（3問），コネクトバック，ファイルレス攻撃，ワームの侵入，バックドア，ウイルスの調査手法です。
このほか，ディープフェイクを悪用した攻撃や BlueBorne の説明を選ぶ問題の選択肢に出てきます。

出題された過去問（44問）

リンク先の年度ページで，問題と解説を読めます。

科目A-1（午前Ⅰ・高度試験共通）（3問）

令和6年度秋期問13ディープフェイクを悪用した攻撃に該当するものはどれか。
令和6年度秋期問16エクスプロイトコードの説明はどれか。
平成21年度春期問15企業内情報ネットワークやサーバにおいて，通常のアクセス経路以外で，侵入者が不正な行為に利用するた…

情報処理安全確保支援士科目A-2（午前Ⅱ）（32問）

令和7年度春期問5クリプトジャッキングに該当するものはどれか。
令和7年度春期問8サイバー攻撃における，コネクトバックの説明はどれか。
令和5年度秋期問5クリプトジャッキングに該当するものはどれか。
令和3年度秋期問14ルートキットの特徴はどれか。
令和3年度春期問13マルウェアの検出手法であるビヘイビア法を説明したものはどれか。
令和2年度 10月問3エクスプロイトコードの説明はどれか。
令和元年度秋期問10BlueBorne の説明はどれか。
平成31年度春期問5仮想通貨環境において，報酬を得るために行われるクリプトジャッキングはどれか。
平成30年度春期問4エクスプロイトコードの説明はどれか。
平成30年度春期問14内部ネットワークの PC がダウンローダ型マルウェアに感染したとき，そのマルウェアがインターネッ…
平成30年度春期問15ルートキットの特徴はどれか。
平成29年度秋期問5情報セキュリティにおけるエクスプロイトコードの説明はどれか。
平成28年度秋期問12rootkit の特徴はどれか。
平成28年度春期問6情報セキュリティにおけるエクスプロイトコードに該当するものはどれか。
平成27年度秋期問5ポリモーフィック型ウイルスの説明として，適切なものはどれか。
平成27年度秋期問16ダウンローダ型マルウェアが内部ネットワークの PC に感染したとき，そのマルウェアによってインタ…
平成27年度春期問3RLO（Right-to-Left Override）を利用した手口の説明はどれか。
平成27年度春期問12rootkit に含まれる機能はどれか。
平成26年度春期問7ポリモーフィック型ウイルスの説明として，適切なものはどれか。
平成25年度秋期問1RLO（Right-to-Left Override）を利用した手口の説明はどれか。
平成25年度秋期問11ルートキット（rootkit）を説明したものはどれか。
平成25年度春期問13ウイルスの検出手法であるビヘイビア法を説明したものはどれか。
平成25年度春期問15ダウンローダ型ウイルスが内部ネットワークの PC に感染した場合に，インターネット経由で他のウイ…
平成24年度秋期問7ポリモーフィック型ウイルスの説明として，適切なものはどれか。
平成23年度秋期問12ダウンローダ型ウイルスが PC に侵入した場合に，インターネット経路で他のウイルスがダウンロード…
平成23年度秋期問13ルートキット（rootkit）を説明したものはどれか。
平成23年度特別試験問9ウイルスの検出手法であるビヘイビア法を説明したものはどれか。
平成23年度特別試験問10ウイルスの調査手法に関する記述のうち，適切なものはどれか。
平成22年度春期問9ワームの侵入に関する記述のうち，適切なものはどれか。
平成22年度春期問12ダウンローダ型ウイルスが PC に侵入した場合に，インターネット経路でほかのウイルスがダウンロー…
平成21年度秋期問8ウイルスの検出手法であるビヘイビア法を説明したものはどれか。
平成21年度春期問12ルートキット（rootkit）を説明したものはどれか。

ネットワークスペシャリスト科目A-2（午前Ⅱ）（8問）

令和6年度春期問17RLO（Right-to-Left Override）を利用した手口はどれか。
令和6年度春期問20マルウェアの検出手法であるビヘイビア法を説明したものはどれか。
令和5年度春期問16ポリモーフィック型マルウェアの説明として，適切なものはどれか。
令和4年度春期問16RLO（Right-to-Left Override）を利用した手口はどれか。
令和3年度春期問16ポリモーフィック型マルウェアの説明として，適切なものはどれか。
令和元年度秋期問20ルートキットの特徴はどれか。
平成29年度秋期問16ウイルスの検出手法であるビヘイビア法を説明したものはどれか。
平成26年度秋期問20ウイルス検知手法の一つであるビヘイビア法を説明したものはどれか。

ITストラテジスト科目A-2（午前Ⅱ）（1問）