マルウェア感染の確認は、ウイルス対策ソフトの結果だけでは終わりません。保護の履歴、自動で起動するアプリ、サインインの記録、メールの転送設定を順に見て、不審な点があれば責任者へ報告します。スキャンで何も出なくても、感染していないとは言い切れません。
今日やることは、気になるパソコンの持ち主に「いつから、何が変わったか」を聞き取り、メモすることです。平時なら、担当者のパソコン1台で、この記事の順に見る練習をしておきます。見る場所を知っているだけで、本番の動きが変わります。
この記事はWindowsとMicrosoft 365を使う会社を例にしています。別の製品を使う場合は、同じ意味の画面を探してください。基礎はサイバー攻撃の基本と最新動向のカテゴリにまとめています。
先に切り離す場面
画面に身代金を求める表示が出ている、ファイルが次々と開けなくなっている場合は、以下の確認をしません。すぐ「いま止める場面」の節に進みます。
なぜスキャンの結果だけでは足りないのか？
ウイルス対策ソフトは必要ですが、見ているものに限りがあります。IPAのランサムウェア被害から学ぶ教訓集は、OS標準のツールなど正規のツールを悪用する手法もあり、マルウェアの検知を前提とするウイルス対策ソフトだけで全てを検知して防ぐのは難しいとしています。攻撃者がウイルス対策ソフトやEDRを無効にしようとすることもある、とも書かれています。
確認ツールも同じです。JPCERT/CCはEmotetの注意喚起で、最新のEmoCheckでも検知できないケースを確認していると述べています。ツールの「検出なし」は「そのツールでは見つからなかった」という意味で読みます。
逆に、警告が1回出たからといって、大きな事故とも限りません。検出して隔離できたのか、すでに動いていたのかで次の動きが変わります。そのために、結果の中身を見ます。
社内のパソコンでどこを見るのか？
ここからは、記録を消さないように、見るだけにとどめます。削除や設定の変更はしません。気づいた点は、日時と画面の写真を残します。
1. 保護の履歴
Windowsなら、Windows セキュリティの保護の履歴を開きます。Microsoft Defender ウイルス対策が取った対応や、削除した不要なアプリ、オフになった主要なサービスが並びます。見るのは次の3点です。
- 赤の表示など、対応を求めるものが残っていないか
- 重要なサービスがオフになった記録がないか
- 持ち主が「デバイスで許可」を選んでいないか
イベントが保持されるのは2週間で、その後は一覧から消えます。 詳細を見るには管理者権限が必要です。別のセキュリティ製品を入れている会社は、その製品の管理画面で検出の履歴を確かめます。
2. 自動で起動するアプリと、入れた覚えのないアプリ
タスク マネージャーのスタートアップ アプリのタブで、サインイン時に自動で起動するものの一覧を見ます。あわせてインストール済みのアプリも見ます。
知らない名前がそのまま感染を意味するわけではありません。業務ソフトの部品や更新の仕組みも並ぶからです。同じ部署の別のパソコンと比べ、1台だけにある項目を書き出します。遠隔操作のソフトで、誰も入れた覚えがないものは、特に持ち主と保守会社に確かめます。
3. アカウントのサインインの記録
職場のMicrosoftアカウントなら、マイ サインインの最近のアクティビティで、場所やブラウザ、OSを見ます。覚えのないサインインの成功は、攻撃者がアカウントにアクセスした可能性を意味します。
ただし、Microsoftも注意しているとおり、位置はIPアドレスからのおおよその推定で、モバイル回線では離れた場所に見えることがあります。場所だけで決めず、時刻と端末も合わせて持ち主に聞きます。
4. メールの転送と送信の記録
メールのルールで、外部のアドレスに転送する設定がないかを見ます。Microsoftはすべてのメールのコピーを外部へ転送する受信トレイのルールを、疑わしい動きの例に挙げています。送信済みのメールに、本人が覚えていない送信がないかも確かめます。
5. 社外からの連絡
パソコンの中だけでは分からないこともあります。IPAのセキュリティインシデント対応の手引きは、ウイルスが添付されたメールを受け取った外部からの通知で発覚することもあるとしています。「御社からおかしなメールが来た」という電話は、総務や営業で止めず、担当者まで必ず届く流れを作ります。
追加のスキャン
見終わったら、定義ファイルを最新にしたうえでスキャンします。Windows セキュリティには、再起動してWindowsを読み込まずに走るオフライン スキャンがあり、Microsoftは感染が心配なときに使うものとして案内しています。再起動を伴うので、責任者や保守会社に相談してからにします。
どう判断すればいいのか？
次の表は、IPAの手引きをもとに、社内で迷わないために私たちが整理した目安です。感染の有無を確定するものではありません。判断に迷ったら、1段上の扱いにします。
| 見えたもの |
扱い |
次の動き |
| 検出して隔離済み、ほかに不審な点なし |
記録して様子を見る |
日時と名前を控え、定義を更新してスキャン |
| 検出の記録があり、対応が済んでいない。覚えのないアプリやサインインがある |
責任者へ報告 |
利用を控え、保守会社や専門の窓口へ相談 |
| 外部への不審な通信、セキュリティ機能がオフ、外部から「メールが来た」と連絡 |
感染を疑う |
利用を止めて切り離し、社内外へ連絡 |
| 身代金を求める表示、ファイルの暗号化 |
事故として扱う |
すぐ切り離し、経営者へ報告して体制を作る |
手引きは、内部から外部への不正な通信、意図しない通信や一時的な大量の通信も、ウイルス感染を疑う場面に挙げています。通信の記録はパソコン側だけでは分かりにくいので、ルーターやファイアウォールのログを誰が見られるかを平時に確かめておきます。機器の入れ替えを考えるなら、ファイアウォール機器の比較が材料になります。
いま止める場面では何をするのか？
手引きの最初の動きは、感染したパソコンやサーバーの利用を止め、ネットワークから切り離すことです。LANケーブルを抜き、Wi-Fiをオフにします。
このとき、電源を切るなどの不用意な操作で記録を消さないように、と手引きは注意しています。慌てて再起動しない、初期化しない、怪しいファイルを消さない。自分で「きれいにする」と、侵入の時期や範囲が分からなくなることがあります。
そのうえで情報セキュリティの責任者に報告します。伝えるのは、いつ、誰のパソコンで、何が見えたか、何をしたかです。ほかのパソコンにも広がっていないか、定義ファイルを最新にして確かめます。
相談先は次のとおりです。
原因や範囲の特定が必要なら、ディスクやメモリ、ログを調べるフォレンジック調査の出番です。依頼先の違いはフォレンジック調査サービスの比較で確かめられます。依頼先を決める前に、サイバーセキュリティ会社に相談する前に決めておくことも目を通しておくと話が進みやすくなります。
製造業の現場ではどう確かめるのか？
たとえば、検査装置につながったパソコンや、設備メーカーが設定した端末の動きがおかしい場合です。装置の制御に関わる端末では、設定の確認やスキャンそのものが生産に響くことがあります。担当者の判断だけで再起動やスキャンをせず、設備の保守会社と製造の責任者に先に連絡します。
切り離すときも、装置の動作への影響を確かめます。事前に「どの端末は誰が止めてよいか」を決めておけば、当日に迷いません。図面のファイルサーバーにつなぐ設計部のパソコンなら、ほかの部署への広がりと、共有フォルダの変化も一緒に見ます。
次から早く気づくには？
今回見た場所は、人の目で後から確かめる方法です。台数が増えると、手作業では追いつきません。
端末の基本の守りは、法人向けセキュリティソフトの比較で、集中管理の有無を確かめます。検出の履歴を担当者が1か所で見られると、この記事の最初の確認が短くなります。
端末の動きを記録して調べたいなら、教訓集が補完の対策として挙げるEDRです。EDRの製品比較で、調査や対応の範囲の違いを見られます。入れるときは、通知を受ける人まで決めます。
平時の備えとしては、手引きの「整理しておくべき事項」を印刷し、連絡の順番と一緒に置いておきます。社内の備え全体は、防ぐ・気づく・戻すで足りない所を探す方法で見直せます。社長への指示の形にするならサイバーセキュリティ経営ガイドラインの要点も使えます。
