読み方：ルートキット

rootkit【ルートキット】

概要

rootkitとは、コンピュータへの不正侵入に成功した攻撃者が、侵入後に遠隔操作や活動の隠蔽を続けるために用いるソフトウェア一式のこと。システムへの侵入痕跡やプロセス、ファイルの存在を隠す機能を中心に、複数のツールが一つのパッケージとして構成されている。

rootkitは侵入後の活動を利用者や管理者に気付かれないよう、ログへの記録や画面表示に痕跡を残さない仕組みを備えている。ログインやコマンドの実行、外部との通信なども通常の確認手段からは見えなくなる。

含まれるプログラムの多くは一般的な管理ツールと機能的には同じだが、表示や記録の機能が改竄されている。ストレージ内のファイルや実行中のプロセスを不可視化する機能も持ち、通常の操作では発見が難しい。

パッケージには、侵入に使った脆弱性が修正された後も再侵入を可能にする「バックドア」（backdoor：裏口）を設置するツール、通信を盗聴する「スニッファ」（sniffer）、他のコンピュータを攻撃するためのプログラムなどが含まれることが多い。これらを組み合わせることで、攻撃者は発見を避けながら長期間に渡り対象のシステムを支配下に置くことができる。

rootkitはオペレーティングシステム（OS）の管理者権限（root権限やAdministrtor権限）を奪取した攻撃者によって仕掛けられることが多く、動作する階層によって検知の難しさが異なる。アプリケーション層で動くものに加えて、OSの中核部（カーネル）に介入するもの、ブート領域やファームウェア（UEFIなど）に常駐するものまで存在し、階層が低いほどセキュリティソフトによる検出が困難になる。こうした高度なrootkitはOSの起動前に動作するため、システムが起動した状態からの発見が難しく、感染が判明した場合はOSの再インストールやファームウェアの書き換えといった対処が必要になることもある。

感染経路としては、ソフトウェアの脆弱性を突いた侵入のほか、改造されたソフトウェアやデバイスドライバへの同梱、フィッシングなどにより利用者自身が誤って実行してしまう場合などがある。もともとはLinuxなどのUNIX系OSでroot権限を奪取した攻撃者が使うツール群を指していたが、現在ではWindowsやモバイルOS（Android/iOS）を対象としたものも存在する。

(2026.6.29更新)