ルートキット

デジタル大辞泉

ルートキット【rootkit】

読み方：るーときっと

クラッカーが不正にコンピューターに侵入してインストールするソフトウエア。バックドアの構築や侵入を隠蔽(いんぺい)するツールなど、コンピューターを不正に遠隔操作するための機能を組み込むもの。

情報セキュリティ用語集

ルートキット【rootkit】

不正侵入時に対象のホストに仕込むソフトウェアの総称。侵入の形跡を消す機能やバックドアなどの機能をもつ。

IT用語辞典バイナリ

ルートキット

【英】rootkit

ルートキットとは、コンピュータを管理者権限と同様な操作をできるようにするためのソフトウェア群のことである。

ルートキットを土台にして自由に他人のコンピュータを操作出来るため、本来のユーザとは別なクラッカーなどの第三者が悪意を持ってコンピュータを自由に扱う目的に利用されることが多い。そのためあまり良いイメージを持たれない用語と言える。

ルートキットはウィルスの一種と見なせるが、ウィルスとは異なりいったん侵入されたルートキットは、検出が困難とされている。

ちなみに、ルートキットのルート(root)はUNIX OSで言うroot権限相当のことが可能になることに由来しているが、rootユーザを持たないWindows OSでも使われる用語である。

ネットワークのほかの用語一覧

セキュリティ：

RAT  リバースエンジニアリング  リダイレクトサイト  ルートキット  脆弱性  セキュリティベンダー  セキュリティホール

>>セキュリティカテゴリの他の用語

ウィキペディア

ルートキット

出典: フリー百科事典『ウィキペディア（Wikipedia）』 (2024/09/13 00:00 UTC 版)

情報セキュリティと サイバーセキュリティ
対象別カテゴリ
ネットワーク・セキュリティ インターネット・セキュリティ (英語版) コンピュータセキュリティ モバイル・セキュリティ 車載セキュリティ
隣接領域
安全保障
脅威
ウェブシェル エクスプロイト 権限昇格攻撃 DoS攻撃 サイバー犯罪・サイバー戦争 セキュリティホール スクリプトキディ スパム 盗聴 フィッシング スミッシング マルウェア キーロガー コンピュータウイルス スパイウェア トロイの木馬 バックドア ボット ランサムウェア ロジックボム ワーム ワイパー ルートキット
防御
アクセス制御 アプリケーション・セキュリティ アンチウイルスソフトウェア セキュアOS セキュア・コーディング セキュリティ・バイ・デザイン セキュリティ・バイ・デフォルト 暗号 侵入検知・防止システム データ中心型セキュリティ 認可 認証 多要素認証 ファイアウォール ウェブアプリケーションファイアウォール モバイルセキュアゲートウェイ ランタイムアプリケーション自己保護
表 話 編 歴

ルートキット（rootkitあるいはroot kit）は、コンピュータシステムへのアクセスを確保した後に、第三者（通常は侵入者）によって使用されるソフトウェアツールのセットである。これらのツールには、作動中のプロセスやファイル、システムデータを隠蔽する機能があり、ユーザに気付かれないように侵入者がシステムへのアクセスを維持することを支援する。

ルートキットは、2005年のSony BMG CD XCP問題で争点となり、この事件を契機に、技術コミュニティのみならず一般大衆にもルートキットの概念が広く知られるようになった。

起源

ルートキットという言葉は元々、侵入者がシステムアドミニストレータにシステムを確認されても"root"権限を保持し続けるために、通常なら表示される侵入の痕跡を隠すようにリコンパイルされたUnixのソフトウェア群、例えば"ps"、"netstat"、"w"、"passwd"といったツールを指していた。

現在では、この言葉はUnix系OSに限らず、Microsoft Windowsなどの非Unix系OS（"root"というアカウントは存在しないが）で、同様のタスクを実行するツールにも広く用いられている。

機能

典型的なルートキットは、ログオンやプロセス、ファイル、ログを隠蔽する。また、端末やネットワーク、キーボードからのデータ入力を傍受することもある。多くの場合、ルートキットはトロイの木馬でもある。

使用方法

ルートキットは、しばしば侵入したシステムを悪用するためのユーティリティを隠す目的で使用され、システムへの再侵入を容易にする「バックドア」と呼ばれるユーティリティが含まれることがある。例えば、ルートキットは特定のネットワークポートに接続した際にシェルを起動するアプリケーションを隠蔽することがある。また、カーネルルートキットも同様の機能を持つ場合があり、バックドアが非特権ユーザによって起動されたプロセスを、通常は特権ユーザにしか許されない権限で動作させることを可能にすることがある。さらに、システムを侵害するための他のあらゆる種類のツールもルートキットによって隠蔽される可能性があり、これには侵入したコンピュータから他のシステムへのさらなる攻撃を支援するスニファやキーロガーなどのツールが含まれる。

侵入されたコンピュータの一般的な悪用方法として、さらなる攻撃の踏み台として利用されることがある。これは、攻撃が攻撃者からではなく、侵入を受けたシステムやネットワークから発せられているかのように見せかけるために行われる。このようなツールには、DoS攻撃ツールや、チャットセッションの中継、電子メールでのスパム攻撃を行うツールがある。

商用CDでデジタル著作権管理（DRM）の一環としてルートキットが用いられた例として、Sony BMG CD XCP問題が挙げられる。

タイプ

基本的なタイプ

ルートキットは大別して二種類がある。カーネルレベルのものとアプリケーションレベルのものである。カーネルレベルのルートキットはカーネルコードに追加コードを加えるか、もしくは一部のカーネルコードを改造されたコードで置換するかもしくはその両方を行なうことによってコンピュータシステムに設置されたバックドアを隠蔽するのを助ける。これはしばしばデバイスドライバもしくはローダブルモジュール、例えばLinuxならLinux Loadable Kernel Module、Windowsならデバイスドライバという形でカーネルに新しいコードを追加することによって行なわれる。カーネルルートキットはよくシステムコールにパッチをあてたりフックしたり置換したりして攻撃者の情報を隠蔽する。アプリケーションレベルルートキットは普通のアプリケーションをトロイが仕込まれた偽物に置換したり、既存のアプリケーションの振舞いをフックやパッチや挿入コードやその他の手段で改造したりする。カーネルルートキットは検出困難なので特に危険である（特にメモリ管理コアのページテーブルを操作して隠蔽するもの）。

例

• FU Rootkit
• SuckIT
• T0rn
• Ambient's Rootkit (ARK)
• Hacker Defender
• SonyのFirst 4 Internet XCP DRM [1]
• nProtect GameGuard
• Alureon

検出

あらゆるルートキット検出プログラムには、それが疑わしいシステム上で動作する限り、それにつきものの制約がある。それは、ルートキットはシステム上の全てのプログラムが頼っているライブラリやツールの多くを修正してしまうプログラムだということである。あるルートキットは動いているカーネルを（Linuxや多くのUNIXライクなOSではローダブルモジュールを、MS Windowsなどではおそらくは仮想デバイスドライバなどを通じて）修正する。ルートキット検出の根本的問題は今動いているオペレーティングシステムが信用できないということにある。言い替えれば、全ての作動中のプロセスの表示やディレクトリの中の全てのファイルのリストの表示の要求といった行為の結果が、元々の設計者が意図したような振舞いであると信用できないということである。

もっとも信頼できる最良のルートキット検出の手段は、感染の疑いのあるコンピュータをシャットダウンして、他のメディアから（例えばレスキューCD-ROMやUSBから）起動してストレージを検査することである。動いていないルートキットはその存在を隠すことができず、ほとんどの確立したアンチウイルスプログラムは（おそらくルートキットによって修正されているはずの）標準的なOSコールと低レベルのクエリーに頼るルートキットを検出可能である。なぜならそれらは信頼性を保っているはずだからである。もし何か違いがあればルートキット感染が想定される。ルートキットは検査が終了するまで動いているプロセスを監視して自らの隠蔽行動を停止することで、ルートキットスキャナーに引っかからない、ステルス機能のないマルウェアを装うことで自らを守ろうとすることもある。

セキュリティベンダはルートキット検出を既存のアンチウイルス製品に統合するソリューションを構想している。ルートキットがスキャン中に自分を隠そうとすれば、ステルス検出によって見分けられる。もし一時的にシステムからアンロードしようとするならば、今までのアンチウイルスソフトがパターンファイルによって発見するだろう。この統合された防御によって、ルートキットにメモリからセキュリティソフトウェアを強制的に削除し、実質的にアンチウイルスソフトを殺してしまう反撃機構(retro routine)を攻撃者が実装することを余儀なくされる。

ルートキットを検出できるプログラムはいくつかある。Unix系のシステムでもっとも有名なものを二つ挙げるならchkrootkitとrkhunterだろう。Windowsプラットフォームで個人用でなら無償で使用できるステルススキャナーとしてはBlacklightというソフトがベータ版としてF-Secure社のWebsiteからダウンロードできる。他のWindows用検出ソフトとしてはRootkitRevealerというソフトがSysinternalsから入手できる。これはいまある全てのルートキットをOSの返す一覧と実際にディスクそれ自身から読み出した一覧とを比較することで検出することができる。ただし、いくつかのルートキットはこのプログラムを隠蔽先から外し始め、実質上、二つの一覧の違いを無くすことで検出ソフトによって表示されないようにしてきている。しかしrootkitrevealer.exeというファイル名をランダムな名前に変更することでこれは対処できる。この機能は最新のRkdetectorのリリースにも含まれている。

除去

ルートキットの除去が事実上禁止されているくらい非実用的なものだとする一定の意見が存在する。たとえルートキットの正体と特性がわかっていても、必要な技術や経験をもつシステム管理者の時間と労力はゼロからオペレーティングシステムをインストールすることに費やしたほうがましだというものである。「現存するルートキットは発見されたとしてももっと除去しづらいように作ることはできたはずだと思うが、そうするだけの充分な動機づけはないように思う。なぜなら経験あるシスアドがルートキットで汚染されたシステムを見つけた時の典型的な反応は、データをセーブして再フォーマットをかけることだからだ。これはルートキットが良く知られていて100%削除可能である場合ですらそうだ」Rootkit Question

システムがオンラインの時に他のファイルシステムドライバを用いてルートキットを削除する方法が存在する。Rkdetector v2.0はシステムが作動中の時に自分自身のNTFSもしくはFAT32ファイルシステムドライバを用いて隠しファイルを削除する方法を実装している。一度消去されシステムが再起動されると、データが壊れてしまうためルートキットは動作しなくなる。

コンピュータウイルスやワームとの比較

コンピュータウイルスとルートキットの鍵となる違いは増殖の仕方にある。ルートキットと同様に、コンピュータウイルスはシステムの中核ソフトウェアコンポーネントを修正し、「感染」の隠蔽を試みたり攻撃者にある種の機能やサービスを提供したりするコード（ウイルスの「ペイロード」）を追加する。

ルートキットの場合、ペイロードはルートキット（システムへと侵入したソフトウェア）の一貫性を維持しようとすることがある --- 例えばルートキットのpsコマンドは実行されるたびにシステムのinitやinetdのコピーをチェックして、それらがのっとられたままであることを確認し、必要なら「再感染」を行なうかもしれない。ペイロードの残りの部分の目的は、侵入者がシステムを制御下に置き続けられるようにすることである。システムの制御は一般に、ハードコードされたユーザ名／パスワードの組、隠されたコマンドラインスイッチ、もしくは秘密の環境変数設定といったバックドアを介して行なわれる。バックドアにより、のっとられていないプログラムが提供するはずの正常なアクセス制御ポリシーを覆すのである。いくつかのルートキットはポートノッキングチェックをinetdやsshdといった既存のネットワークデーモン（サービス）に加えたりする。

コンピュータウイルスはどのような種類のペイロードでも運べるが、それに加えてコンピュータウイルスは他のシステムへの伝播をも試みる。一般にルートキットのすることはひとつのシステムの制御の維持に限られている。

自動的にネットワークをスキャンして脆弱性のあるシステムを探し、脆弱性をついてシステムをのっとるプログラムもしくは一揃いのプログラムはコンピュータワームと呼ばれる。またもっと受動的に動作する形のコンピュータワームもあり、ユーザ名とパスワードを盗聴してそれを使ってアカウントをのっとり、そうして得たアカウントのそれぞれに自分自身のコピーをインストールする（そして普通はのっとったアカウント情報をある種の隠れチャネルを通じて侵入者へ送る）。

勿論混成型も存在する。ワームはルートキットをインストールできるし、ルートキットはひとつないしそれ以上のワームやスニファやポートスキャナのコピーを含んでいるかもしれない。ウイルスであると同時にワームであるようなマルウェアも存在する。こうした言葉は全て使われ方がある程度重なっているものであり容易に合成されるものでもある。

一般的に入手できるルートキット

システム攻撃者によって利用されるほとんどのソフトウェアと同様に、多くの実装が共有されてインターネットで容易に入手可能になっている。侵入されたシステムで、一般に入手できる洗練されたルートキットが経験の乏しいプログラマによって書かれたとおぼしい粗雑なワームもしくは攻撃ツールを隠しているのを見るのは珍しいことではない。

インターネットで入手可能なほとんどのルートキットは概念実証(proof of concept)のために作られたものである。それらはコンピュータシステムの中に何かを隠す新しく実験的な手法の実用性を証明するために作られた。しかし実験的であるために、しばしばステルス性のために最適化されていない。そうしたルートキットで攻撃を行なうと、大変に効果的であったりする。しかし発見された時、例えばCDのような信頼できるメディアからオペレーティングシステムが起動されたような場合には、しばしば非常に明瞭な存在の痕跡を残す。例えば、「rootkit」といった名前のファイルをコンピュータシステム上のありがちな場所に残すなどである。

関連項目

• マルウェア
• コンピュータウイルス
• トロイの木馬 (ソフトウェア)
• キーロガー

外部リンク

• www.antirootkit.com (Rootkit Removal Software)
• Linux Kernel Rootkits
• analysis of the T0rn rootkit
• WindowsとLinuxのルートキットとルートキット検出ソフトウェア
• ウイルスによって投下されたルートキットの例
• Anti-trojan.org (トロイ系ルートキットと除去の情報)
• Strider GhostBuster Rootkit Detection
• Please stop flaming us
• Sony, Rootkits and Digital Rights Management Gone Too Far (Sony DRMルートキットについてのMark Russinovichの最初のブログエントリ)
• Steve Gibson's Security Now! Episode #9 (ルートキット)
• Steve Gibson's Security Now! Episode #12 (ルートキット)
• wikiHow - How to Protect Yourself from Sony DRM Rootkit Malware

ソフトウェア

商用

• BOClean Privacy Software Corporation (Windowsのセキュリティとプライバシー保護)

シェアウェア

• Blacklight F-Secure (Windows/Linuxセキュリティ)
• Security Task Manager Neuber Software (Windowsユーティリティ)
• TaskInfo Igor Arsenin (Windowsユーティリティ)
• UnHackMe Greatis Software (Windowsセキュリティ、ユーティリティおよび開発)
• TrojanHunter Mischel Internet Security AB (Windowsセキュリティ)
• ProcessGuard Diamond Computer Systems Pty. Ltd. (Windowsセキュリティとプライバシー保護)
• 様々なWindows/Linuxのセキュリティ/アンチセキュリティダウンロード (ドイツのハッカーグループ本拠地である) www.egocrew.de より

フリーウェアおよびオープンソースソフトウェア

• chkrootkit Nelson MuriloとKlaus Steding-Jessen (UNIX/Linuxセキュリティ)
• Rootkit Hunter Rootkit.nl (UNIX/Linux管理)
• RootkitRevealer Sysinternals (Windows管理)
• FLISTER joanna@invisiblethings.org (Windows 2000/XP/2003; ユーザモードおよびカーネルモードのWindowsルートキットによって隠されたファイルを検出するproof-of-conceptコード)
• klister "joanna" (probably joanna@invisiblethings.org) (Windows 2000/XP/2003)
• IceSword "pjf_" (こちら がpjf_とのインタビュー)
• RootKit Hook Analyzer Resplendence Software Projects (Windows管理とセキュリティ)

注 "MoreBandwidthPls"[2][3] はhttp://www.sysinternals.com/blog/2005/10/sony-rootkits-and-digital-rights.html、 http://www.technutopia.com/forum/showthread.php?t=1321 と http://en.wikinews.org/wiki/Sony's_DRM_protected_CDs_install_Windows_rootkits で Sony XCP DRMのルートキットの検出ソフトを書き http://downloads.technutopia.com/antivirus/SonyDRMxcpRootkitRevealer.exe で公開すると言っていたが、彼は手を引いたようである。

関連書籍

• Butler, Jamie and Hoglund, Greg: Rootkits: Subverting the Windows Kernel. Addison Wesley, 2005. ISBN 0321294319
• 渡辺勝弘 伊原秀明 不正アクセス調査ガイド—rootkitの検出とTCTの使い方 オライリー・ジャパン 2002 ISBN 4873110793

ウィキペディア小見出し辞書

ルートキット

出典: フリー百科事典『ウィキペディア（Wikipedia）』 (2022/02/26 00:41 UTC 版)

「マルウェア」の記事における「ルートキット」の解説

攻撃者が被害者のコンピュータに侵入したあとに用いるツールを集めたパッケージで、マルウェアとして被害者のコンピュータにしかける。侵入の発覚を防ぐログ改ざんツール、バックドアをしかけるツール、キーロガー、パスワードやクレジットカード情報等の窃盗ツール、DDoS攻撃用のボット化ツール、セキュリティソフトの無効化ツールなどが含まれていることがある。こうした攻撃を容易にするため、システムバイナリを含めたファイルを数百個単位で改竄する。ルート権限を奪うなど管理者レベルのアクセス権を取得する事を定義とする場合もある。又、基本的にルートキットは隠蔽されているので、普通のセキュリティソフトでは見つけられなく、専用のセキュリティソフトでないと見つける事が困難とされる。