コンピューターウイルス：感染の兆候と安全な復旧方法

コンピューターウイルスとは、ほかのファイルやプログラムに寄生し、宿主が実行されると広がることのある悪意のあるコードです。マルウェアがすべてウイルスというわけではありません。ワーム、トロイの木馬、ランサムウェアは、広がり方や動き方が異なります。不審な挙動にどう対応するかを決めるうえで、この違いは重要です。

感染の経路

ウイルスが実行され、増殖するには、感染したプログラム、文書に含まれる危険なアクティブコンテンツ、そのほかの実行可能な媒体といった手段が必要です。最近の攻撃では、フィッシング、修正されていない脆弱性、偽のインストーラーが使われることもあります。Webページを閲覧しただけでは感染の証拠にはなりません。実際に攻撃が成功するか、有害なコンテンツが実行される必要があります。

緊急を装う添付ファイル、心当たりのないインストーラー、セキュリティソフトを無効にするよう求める依頼には注意が必要です。プログラムは信頼できる入手先からダウンロードし、更新はベンダーの公式な経路で確認しましょう。頼んでもいないのに送られてきたアクティブな文書は開かないでください。1つの習慣だけで守り切れるわけではありませんが、対策を何重にも重ねればリスクは下がります。

兆候と確かな確認方法

見覚えのないプロセス、変更されたセキュリティ設定、暗号化されたファイル、保護機能からの警告などは、調査を始める十分な理由になります。ただし、どの兆候にも無害な原因が考えられるため、1つの症状だけでマルウェアと決めつけないでください。OSとセキュリティ定義を更新してから、インストール済みの評判の良いツールでスキャンしましょう。

不審なプログラムが認証情報を盗み取っている可能性があるなら、その端末でパスワードを入力するのは避けてください。可能であれば、重要なアカウントやネットワークから切り離しますが、隔離によって重要なサービスが止まらないかも考慮しましょう。組織でインシデントの分析が必要になる場合に備えて、役立つ証拠は残しておきます。

復旧と予防

セキュリティツールの指示に従い、検出結果を確認しましょう。深刻な侵害の場合は、部分的な駆除を信用するより、クリーンであることがわかっているバックアップから復元するか、再インストールしたほうが安全なことがあります。影響を受けたパスワードは、信頼できる別の端末から変更し、利用できるなら多要素認証を有効にしてください。アカウントのアクティビティを確認し、不審なセッションは無効にしましょう。

ソフトウェアとブラウザーは最新の状態に保ち、復元テスト済みのバックアップを作り、必要な権限だけを持つアカウントを使いましょう。ファイアウォールで一部の通信は制限できますが、更新やファイルに対する判断の代わりにはなりません。仕事用の端末が関係している場合は、証拠を削除したりシステムを初期化したりする前に、担当の管理者に連絡してください。

再起動後も残り続ける動き、身に覚えのないブラウザー拡張機能、許可していないアカウントの変更にも注意しましょう。こうした観察は調査の方向を決める手がかりになりますが、さらなる証拠がなければ、どれも特定のマルウェアファミリーを断定する根拠にはなりません。

フィッシングと悪意のあるコードは別の脅威

端末が感染していなくても、偽のページで認証情報を盗まれることはありますし、マルウェアは目に見えるログインページがなくても活動できます。インシデントの際は、端末と重要なアカウントの両方を確認しましょう。紛らわしいドメイン名についてはPunycodeの解説で取り上げています。