マルウェアの種類と攻撃者の拠点

結論：マルウェアは「どう広がるか」「何をするか」で見分ける

マルウェア（悪意のあるソフトウェアの総称）は、名前ごとに決まった特徴が1つあります。試験ではその特徴を説明文にして、別の種類の説明を選択肢に混ぜてきます。だから「この種類ならこの一言」という対応を覚えるのが最短です。

たとえるなら、ウイルスは「人に取り付いて移る寄生虫」、ワームは「自分の足で家から家へ渡り歩く虫」です。

ワーム：自己増殖がすべて

ワームの特徴は自己増殖（自分のコピーを作って他のコンピュータへ広がること）です。ネットワーク経由でもUSBメモリなどのリムーバブルメディア（抜き差しできる記録媒体）経由でも広がります。

• 「単独のプログラムとして不正動作する」はトロイの木馬にも当てはまるので、ワームならではの特徴ではありません。
• 「他のプログラムに感染する」「ネットワークを使わずに増える」はウイルス側の説明です。
• 「暗号化する」はランサムウェア、「条件まで待機」はロジックボムです。

バックドアとrootkit：侵入した後に居座るための道具

バックドアは、正規の認証（ログインなど）を通らずにシステムへ入れるようにした裏口です。攻撃者は一度侵入すると、次回も楽に入れるようにバックドアを仕掛けます。この知識の中では出題が最も多いテーマです。

rootkit（ルートキット）は、バックドアを作ったり侵入の痕跡を隠したりする道具を詰め合わせたパッケージです。「痕跡の隠蔽」と書いてあったらrootkitを選びます。

たとえるなら、バックドアは「泥棒が勝手に作った合鍵」、rootkitは「合鍵づくりの道具と足跡を消すほうきのセット」です。

キーロガーとスパイウェア：情報を盗み見る

キーロガーはキーボードの入力を記録するソフトで、ネットバンキングのパスワードを盗むのが典型的な悪用例です。スパイウェアは利用者が知らないうちに入り込み、個人情報や閲覧履歴を集めるプログラムです。

ボットネットとC&Cサーバ：乗っ取ったPCの司令塔

ボットは、外から遠隔操作できるようにされたマルウェア（またはそれに感染したPC）です。たくさんのボットがまとまった集団をボットネットと呼びます。C&Cサーバ（Command and Control＝指令と制御）は、ボットに命令を出し、結果を受け取る司令塔です。

ボットとC&Cサーバの通信にはTCPの80番ポート（HTTP）がよく使われます。理由は、Web閲覧に使う番号なのでファイアウォールで許可されている可能性が高いからです。普段の通信にまぎれて外へ出られる、というのがポイントです。

flowchart LR
  A["攻撃者"] --> C["C&Cサーバ（司令塔）"]
  B1["ボットに感染したPC"] -->|"HTTP 80番で問い合わせ（FWを通過）"| C
  C -->|"命令を返す"| B1
  B1 --> T["攻撃先・情報の送り先"]

C&Cの選択肢には、キャッシュサーバ（コンテンツの代理配信）や認証方式（CHAP、ワンタイムパスワード）の説明が混ぜられます。「命令」「指示」という言葉が入っているものを選びます。

hostsファイルの改ざんでボット感染を疑う

hostsファイルは、ドメイン名とIPアドレスの対応をPCの中に直接書いておくファイルです。DNSより先に参照されるため、ボットはここを書き換えてOSやウイルス対策ソフトの提供元を127.0.0.1（自分自身）に向け、更新を妨げます。初期状態は「127.0.0.1 localhost」だけなので、それ以外の行があれば改ざんを疑います。

ゼロデイ攻撃とAPT：攻撃のやり方の名前

ゼロデイ攻撃は、脆弱性（セキュリティ上の弱点）に対する修正パッチが出る前にその弱点を突く攻撃です。対策が出た日を「1日目」とすると、それより前（0日目）に攻撃される、というイメージです。

APT（Advanced Persistent Threat＝高度で持続的な脅威）は、明確な目的をもって特定の組織を狙い、相手に合わせて複数の手口を組み合わせ、気付かれないよう長期間しつこく続ける攻撃（または攻撃者）です。

試験での問われ方

• 定義を選ばせる形が中心です。「〇〇に該当するものはどれか」「〇〇の特徴はどれか」と聞かれ、他のマルウェアや攻撃の説明が選択肢に並びます。
• 逆向きの形もあります。説明文を出して「どれか」と用語を選ばせ、RFID（ICタグ）、TKIP（無線LANの暗号方式）、フォレンジックスなど関係ない技術用語を混ぜてきます。
• APTでは「DDoSを繰り返す」「不特定多数にばらまく」が定番のひっかけです。APTは特定の標的と気付かれないことがセットです。