- ホーム>
- マルウェア感染を確認する5つの方法とは？調査手順と具体的な確認方法を解説
公開日：2026.04.14（火） 更新日：
マルウェア感染の確認方法5選と実務調査の進め方
システムエンジニアとして業務に携わる中で、マルウェア感染の疑いが生じた際、迅速かつ正確に感染状況を確認することは極めて重要です。
感染の兆候を見逃すと、データ漏洩やシステム停止といった深刻な被害に発展する可能性があります。
本記事では、マルウェア感染を確認するための5つの具体的な方法と、実務で活用できる調査手順を詳しく解説します。
セキュリティインシデント対応の実践的な知識として、感染検出の基礎から高度な解析手法まで、体系的に理解したい方におすすめの内容です。
マルウェア感染の兆候と初期確認
マルウェア感染を早期に発見するには、システムやネットワークにおける異常な挙動を見逃さないことが重要です。
感染初期の段階で適切に対応できれば、被害を最小限に抑えることができます。
ここでは、感染の疑いが生じた際に最初に確認すべき兆候と、初期段階で実施すべきチェック項目について解説します。
一般的なマルウェア感染の兆候
マルウェア感染時には、パソコンやサーバーに様々な異常が現れます。
システムのパフォーマンス低下は最も頻繁に観察される兆候の一つで、CPUやメモリの使用率が異常に高くなる場合があります。
通常の業務で使用しているアプリケーションの動作が著しく遅くなったり、起動に時間がかかるようになった場合は要注意です。
不審なプログラムやプロセスがバックグラウンドで実行されていることも、マルウェア感染の明確な兆候となります。
タスクマネージャーやアクティビティモニターで確認した際、見慣れないプロセス名や異常にリソースを消費しているプロセスが存在する場合は、詳細な調査が必要です。
ネットワーク通信の異常も重要な指標となります。
外部への不審な通信や、通常とは異なる大量のデータ送信が発生している場合、攻撃者への情報漏洩やC&C（コマンド＆コントロール）サーバーとの通信が行われている可能性があります。
ファイルの改ざんや予期しないファイルの作成も、マルウェアによる活動の痕跡です。
システムファイルのタイムスタンプが不自然に変更されていたり、身に覚えのない実行ファイルがダウンロードフォルダや一時フォルダに存在する場合は注意が必要です。
デバイスごとの初期確認ポイント
Windowsデバイス
Windowsデバイスでは、イベントログの確認が初期調査の基本となります。
セキュリティログやシステムログに記録されたエラーや警告、不正なログイン試行などの情報は、感染経路や攻撃者の行動を把握する手がかりになります。
タスクスケジューラやスタートアップに登録された不審なタスクも確認すべき項目です。
マルウェアは持続性を確保するために、これらの機能を悪用して自動実行を設定することが多いためです。
Linuxサーバー
Linuxサーバーの場合は、/var/logディレクトリ内の各種ログファイルを確認します。
特にauth.logやsyslogには、不正アクセスやシステムの異常動作に関する記録が残されています。
cronジョブや/etc/init.d内のスクリプトも、マルウェアが悪用しやすい箇所であるため、定期的なチェックが推奨されます。
ネットワーク機器においては、トラフィックの急激な増加や、通常と異なる通信パターンの出現が感染の兆候となります。
ルーターやファイアウォールのログを分析し、不審な接続先やポートスキャンの痕跡がないか確認することが重要です。
モバイルデバイス
モバイルデバイスでは、バッテリー消費の異常な増加やデータ通信量の急増が初期の警告サインです。
インストールした覚えのないアプリケーションや、過剰な権限を要求するアプリの存在にも注意を払う必要があります。
マルウェア感染を確認する5つの方法
マルウェア感染の有無を正確に判断するには、複数の確認方法を組み合わせた多層的なアプローチが効果的です。
ここでは、実務で活用できる5つの具体的な確認方法について、それぞれの特徴と実施手順を詳しく解説します。
各方法には得意とする検出対象や限界があるため、状況に応じて適切な手法を選択することが重要です。
方法1：アンチウイルスソフトによるスキャン
アンチウイルスソフトを使用したスキャンは、マルウェア検出の最も基本的かつ重要な方法です。
既知のマルウェアに対しては高い検出率を誇り、定義ファイルが最新の状態であれば、多くの脅威を自動的に検知できます。
フルスキャンの実施手順
フルスキャンは、システム内の全てのファイルとプログラムを網羅的に検査する手法です。
通常のクイックスキャンでは検出できない深く潜伏したマルウェアも発見できる可能性があります。
実施前には、アンチウイルスソフトの定義ファイルを最新版に更新することが必須です。
定義ファイルが古い状態では、新しい種類のマルウェアを検出できない可能性があります。
スキャンの実行中は、システムリソースが大量に消費されるため、業務時間外や負荷の低い時間帯に実施することが推奨されます。
スキャン完了後は、検出されたファイルのログを詳細に確認し、誤検知の可能性も考慮しながら対処方針を決定します。
複数のセキュリティツールの活用
単一のアンチウイルスソフトでは検出できないマルウェアが存在する可能性があるため、セカンドオピニオンとして別のツールを併用することが有効です。
Microsoft Defenderに加えて、他社のアンチウイルス製品やマルウェア検出ツールを使用することで、検出精度を向上させることができます。
また、オンラインスキャンサービスを利用する方法もあります。
VirusTotalなどのサービスでは、複数のアンチウイルスエンジンで同時にファイルをスキャンできるため、より包括的な検査が可能です。
ただし、機密情報を含むファイルをオンラインサービスにアップロードする際は、情報漏洩のリスクを十分に考慮する必要があります。
方法2：システムリソースとプロセスの監視
不審なプロセスやリソースの異常使用を監視することで、アンチウイルスソフトでは検出できないマルウェアの活動を発見できる場合があります。
特に、ゼロデイ攻撃や高度な標的型攻撃では、この方法が有効です。
タスクマネージャーによる確認
Windowsのタスクマネージャーは、現在実行中のプロセスとリソース使用状況を確認できる基本的なツールです。
「プロセス」タブでは、各プロセスのCPU使用率、メモリ消費量、ディスクアクセス、ネットワーク通信量が表示されます。
不審なプロセスを特定するには、以下のポイントに注目しましょう。
- 見慣れないプロセス名や、Windowsのシステムプロセスに酷似した名前のプロセス
- 通常では考えられない高いリソース消費を示すプロセス
- 実行ファイルの保存場所が通常とは異なるプロセス（System32以外の場所にあるsvchost.exeなど）
- デジタル署名が存在しない、または無効な署名を持つプロセス
「スタートアップ」タブでは、システム起動時に自動実行されるプログラムを確認できます。
マルウェアは持続性を確保するためにスタートアップに登録されることが多いため、見慣れない項目がないか定期的にチェックすることが重要です。
リソースモニターとパフォーマンスカウンターの活用
Windowsのリソースモニターは、タスクマネージャーよりも詳細な情報を提供します。
特にネットワークタブでは、各プロセスが通信している送信先アドレスとポート番号を確認できるため、C&Cサーバーへの通信を検出できる可能性があります。
不審な外部IPアドレスへの接続や、通常使用しないポートでの通信が確認された場合は、該当プロセスを詳細に調査する必要があります。
Linuxシステムでは、topやhtopコマンドでプロセスの状態を監視します。
psコマンドやnetstatコマンドを組み合わせることで、プロセスの実行状況とネットワーク接続の詳細を把握できます。
特に、/proc/[PID]ディレクトリ内の情報を確認することで、プロセスの実行パス、開いているファイル、環境変数などを詳細に調査できます。
方法3：ネットワークトラフィックの解析
ネットワーク通信を監視することで、マルウェアが攻撃者のサーバーと通信している証拠を発見できます。
特に、データ窃取型のマルウェアやボットネットへの参加を試みるマルウェアは、必ず外部との通信を行うため、この方法が効果的です。
ファイアウォールログの確認
ファイアウォールのログには、許可された通信と遮断された通信の両方が記録されています。
通常とは異なる送信先への接続試行や、大量のデータ送信が記録されている場合は、マルウェアによる活動の可能性があります。
特に注目すべき通信パターンは以下の通りです。
- 深夜や休日など、通常業務を行わない時間帯の通信
- 既知の悪性IPアドレスやドメインへの接続試行
- 短時間に大量の接続を繰り返すビーコン通信
- 通常使用しないプロトコルやポート番号での通信
Windowsファイアウォールのログは、通常C:\Windows\System32\LogFiles\Firewall\pfirewall.logに保存されています。
ログの解析には、PowerShellスクリプトやログ解析ツールを使用すると効率的です。
パケットキャプチャツールの使用
Wiresharkなどのパケットキャプチャツールを使用すると、ネットワークトラフィックの詳細な内容を確認できます。
実際の通信データを解析することで、マルウェアが送信している情報の内容や、使用している通信プロトコルを特定できます。
パケットキャプチャを実施する際は、以下の手順で進めます。
- 監視対象のネットワークインターフェースを選択してキャプチャを開始
- 十分な時間（少なくとも数時間）データを収集
- 収集したパケットをフィルタリングして不審な通信を抽出
- 該当する通信の詳細を解析し、送信内容や通信先を特定
HTTPやHTTPSの通信内容を確認する場合、TLS/SSL通信は暗号化されているため、プロキシサーバーのログや、証明書をインストールした上でのSSL復号化が必要になることがあります。
外部との通信先の調査
検出された不審な通信先IPアドレスやドメインについては、脅威インテリジェンスデータベースで照会することが重要です。
VirusTotalやAbuseIPDBなどのサービスでは、既知の悪性IPアドレスやドメインの情報を検索できます。
通信先が正当なサービスのIPアドレスであっても、マルウェアがそのサービスを悪用している可能性があるため、通信の内容と頻度を慎重に確認する必要があります。
| 調査項目 | 確認内容 | 使用ツール |
|---|---|---|
| 通信先IPアドレス | 既知の悪性IPか、地理的位置、所属組織 | VirusTotal、AbuseIPDB、whois |
| ドメイン情報 | 登録日、登録者情報、レピュテーション | VirusTotal、URLVoid |
| 通信パターン | 頻度、データ量、使用ポート | Wireshark、ファイアウォールログ |
| 通信内容 | 送信データの種類、暗号化の有無 | Wireshark、プロキシログ |
方法4：ファイルシステムの詳細調査
マルウェアは必ずファイルシステム上に痕跡を残すため、不審なファイルの存在や改ざんの痕跡を確認することが重要です。
特に、システムフォルダや一時フォルダは、マルウェアが好んで利用する場所です。
システムファイルの整合性チェック
Windowsには、システムファイルの整合性を確認するためのSystem File Checker（SFC）というツールが標準で搭載されています。
管理者権限のコマンドプロンプトで「sfc /scannow」を実行することで、システムファイルの破損や改ざんを検出できます。
より高度な検証が必要な場合は、DISMツールを使用します。
「DISM /Online /Cleanup-Image /RestoreHealth」コマンドを実行することで、システムイメージの整合性を確認し、問題があれば修復できます。
Linuxシステムでは、rpmやdpkgパッケージマネージャーの検証機能を使用します。
「rpm -Va」コマンドや「debsums -c」コマンドで、インストールされているパッケージのファイルが改ざんされていないか確認できます。
不審なファイルとフォルダの特定
マルウェアが作成したファイルは、しばしば以下の特徴を持っています。
- ランダムな文字列で構成されたファイル名
- 通常のユーザーがアクセスしない場所に保存されている
- システムファイルのような名前だが、保存場所が異なる
- 作成日時や更新日時が最近で、使用した覚えがない
重点的に確認すべきフォルダは以下の通りです。
- Windows
%TEMP%、%APPDATA%、C:\Windows\System32、C:\Windows\SysWOW64 - Linux
/tmp、/var/tmp、/dev/shm、ユーザーのホームディレクトリ - 共通
ダウンロードフォルダ、スタートアップフォルダ
PowerShellを使用すると、効率的にファイルを検索できます。
例えば、最近作成された実行ファイルを検索する場合、以下のようなコマンドが有効です。
Get-ChildItem -Path C:\ -Include *.exe,*.dll -Recurse -ErrorAction SilentlyContinue | Where-Object {$_.CreationTime -gt (Get-Date).AddDays(-7)} | Select-Object FullName,CreationTime,Length
ファイルハッシュ値の検証
不審なファイルが発見された場合、そのハッシュ値を計算して脅威インテリジェンスデータベースで照会します。
VirusTotalでは、ファイルのMD5、SHA-1、SHA-256ハッシュ値を入力することで、既知のマルウェアかどうかを判定できます。
Windowsでは、certutilコマンドやGet-FileHashコマンドレットでハッシュ値を計算できます。
certutil -hashfile [ファイルパス] SHA256
Linuxでは、md5sumやsha256sumコマンドを使用します。
複数のファイルのハッシュ値を一括で計算し、既知の正常なハッシュ値と比較することで、改ざんされたファイルを効率的に特定できます。
方法5：メモリダンプとレジストリの解析
高度なマルウェアは、ファイルレス攻撃と呼ばれる手法で、ディスク上にファイルを残さずメモリ内でのみ動作することがあります。
このような場合、メモリダンプを取得して解析することが唯一の検出方法となります。
メモリダンプの取得方法
Windowsでは、Process ExplorerやProcdumpなどのSysinternalsツールを使用してメモリダンプを取得できます。
特定のプロセスのメモリダンプを取得する場合、Procdumpを使用すると簡単です。
procdump -ma [プロセスID] [出力ファイル名.dmp]
システム全体のメモリダンプが必要な場合は、DumpItやFTK Imagerなどのフォレンジックツールを使用します。
メモリダンプファイルは非常に大きくなるため、十分なディスク容量を確保する必要があります。
取得したメモリダンプは、Volatility Frameworkなどのメモリフォレンジックツールで解析します。
マルウェアのコードやC&Cサーバーのアドレス、暗号化キーなどの重要な情報を抽出できる可能性があります。
Windowsレジストリの調査
Windowsレジストリは、マルウェアが持続性を確保するために頻繁に悪用される領域です。
特に以下のレジストリキーは重点的に確認する必要があります。
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
レジストリエディタ（regedit）で手動確認することもできますが、Autoruns for Windowsを使用すると、自動起動に関連する全てのレジストリエントリとファイルを一覧表示できます。
不審なエントリが見つかった場合は、対応する実行ファイルの場所とハッシュ値を確認し、マルウェアかどうかを判定します。
レジストリキーの最終更新日時も重要な情報です。
感染が疑われる時期と一致するタイミングで作成または変更されたエントリは、詳細な調査が必要です。
イベントログとの相関分析
メモリダンプやレジストリの調査結果は、Windowsイベントログと照合することで、より正確な感染経路の特定が可能になります。
セキュリティログのイベントID 4688（新しいプロセスの作成）やイベントID 4698（スケジュールされたタスクの作成）などは、マルウェアの活動を追跡する上で重要です。
PowerShellの実行ログ（イベントID 4103、4104）も、PowerShellを悪用する攻撃の検出に有効です。
難読化されたスクリプトや、外部からのダウンロード実行が記録されている場合は、詳細な調査が必要となります。
マルウェア感染確認後の対応手順
マルウェア感染が確認された場合、迅速かつ適切な対応を実施することで、被害の拡大を防止し、早期の復旧を実現できます。
組織のインシデント対応計画に従いながら、以下の手順を体系的に実施することが重要です。
感染の規模や種類によって対応方針は異なりますが、基本的な流れと重要なポイントを解説します。
初動対応とインシデント対応体制の確立
マルウェア感染を確認した時点で、まず実施すべきは感染の拡大防止です。
感染したデバイスをネットワークから物理的に切り離すか、ネットワークケーブルを抜く、Wi-Fiを無効化するなどの措置を取ります。
ただし、電源を切るとメモリ上の証拠が失われるため、フォレンジック調査が必要な場合は、電源を入れたままネットワーク隔離を実施します。
インシデント対応チームを招集し、役割分担を明確にします。
一般的には、調査担当、駆除担当、被害範囲確認担当、関係者への連絡担当などの役割が必要です。
情報セキュリティ責任者や経営層への報告も、初動段階で実施すべき重要な対応です。
感染の証拠保全も初動対応の重要な要素です。
以下の情報を可能な限り早期に記録・保存します。
- 感染発見時刻と発見者
- 感染が疑われる端末の一覧とネットワーク構成
- 実行中のプロセスとネットワーク接続のスナップショット
- 関連するログファイル（システムログ、アプリケーションログ、ファイアウォールログ）
- メモリダンプ（可能な場合）
被害範囲の特定と影響評価
感染したデバイスの特定は、ネットワークトラフィックの解析、ログの相関分析、同一セグメント内の他デバイスのスキャンなどにより実施します。
特に、ワーム型マルウェアやランサムウェアの場合、横展開により複数のデバイスに感染が拡大している可能性があります。
感染経路の調査も重要です。
メールの添付ファイル、不正なウェブサイトへのアクセス、USBメモリなどの外部記憶媒体、リモートデスクトップの脆弱性など、様々な感染経路が考えられます。
感染経路を特定することで、同様の攻撃を受けている他のデバイスを発見できる可能性があります。
影響評価では、以下の観点で被害状況を確認します。
| データの漏洩 | 機密情報や個人情報が外部に送信されたか |
|---|---|
| データの改ざん・削除 | 重要なファイルが破壊または暗号化されたか |
| システムの可用性 | 業務に必要なシステムが停止しているか |
| 他システムへの影響 | 感染が他のシステムやサービスに波及しているか |
特にランサムウェアの場合、バックアップの状態確認が極めて重要です。
バックアップ自体が暗号化されていないか、最新のバックアップはいつ取得されたものか、復旧に要する時間はどの程度かを評価します。
駆除と復旧の実施
マルウェアの駆除方法は、感染の種類と深刻度によって異なります。
軽度の感染であれば、アンチウイルスソフトによる自動駆除が可能な場合もありますが、深刻な感染やルートキットの場合は、システムの完全な再構築が必要になることがあります。
駆除の基本的な選択肢は以下の通りです。
| アンチウイルスソフトによる自動駆除 | 定義ファイルに含まれる既知のマルウェアの場合に有効 |
|---|---|
| 手動での駆除 | 不審なファイルとレジストリエントリを特定して削除 |
| システムの復元 | 感染前の復元ポイントに戻す |
| クリーンインストール | 最も確実だが時間がかかる方法 |
クリーンインストールを実施する場合の手順は以下の通りです。
- 重要なデータのバックアップ（マルウェアに感染していないことを確認してから）
- OSのクリーンインストール
- 全てのセキュリティパッチの適用
- アンチウイルスソフトのインストールと最新化
- 必要なアプリケーションのインストール
- バックアップからのデータ復元（事前にスキャンして安全を確認）
復旧後は、同じ脆弱性を突かれないよう、セキュリティ対策の強化が必要です。
使用していたソフトウェアのバージョンが最新か、不要なサービスが動作していないか、アクセス権限が適切に設定されているかなどを確認します。
再発防止策とセキュリティ体制の強化
インシデント対応の最終段階として、再発防止策の策定と実施が不可欠です。
今回の感染で明らかになった脆弱性や対応の課題を分析し、具体的な改善策を講じます。
技術的な対策としては、以下が挙げられます。
- エンドポイント保護の強化（EDRソリューションの導入）
- ネットワークセグメンテーションの実施
- アプリケーションホワイトリストの導入
- 多要素認証の導入と権限管理の厳格化
- ログ監視と異常検知システムの強化
組織的な対策も同様に重要です。
セキュリティ教育の実施、インシデント対応手順の見直し、定期的な訓練の実施などにより、組織全体のセキュリティ意識とインシデント対応能力を向上させます。
特に、フィッシングメールやソーシャルエンジニアリング攻撃への対策として、ユーザー教育は極めて効果的です。
また、外部への報告義務についても確認が必要です。
個人情報保護法や業界ごとの規制により、一定規模以上の情報漏洩が発生した場合は、監督官庁への報告や影響を受けた個人への通知が義務付けられていることがあります。
法務部門や顧問弁護士と連携し、適切な対応を実施します。
インシデント対応の全過程を記録し、事後レビューを実施することも重要です。
対応の経緯、実施した措置、得られた教訓などを文書化し、次回のインシデント対応に活かせるようナレッジとして蓄積します。
まとめ
マルウェア感染の確認は、アンチウイルススキャン、プロセス監視、ネットワーク解析、ファイルシステム調査、メモリ解析という5つの方法を組み合わせることで、高い精度で実現できます。
感染を早期に発見し適切に対応するには、日常的な監視と定期的なセキュリティチェックが不可欠です。
インシデント発生時には迅速な初動対応と体系的な調査により、被害を最小限に抑えることができます。
本記事で解説した手順と方法を、自組織のセキュリティ対策に活用してください。
合わせて読みたい
監修者プロフィール
株式会社クロスオーバー
取締役 ITコンサルティング事業部 事業部長
大手SI事業者にて、大規模開発のPMを経験後、日本能率協会コンサルティング（JMAC）に入社し、金融から物流、自治体まで幅広くシステムグランドデザインやシステム化企画、業務分析・改善等の支援に従事。
近年は、JMACのグループ会社であるクロスオーバーにて、メガバンク、政令市、大手アパレル、製造業等におけるシステム再構築やインフラアウトソーシングの案件等のシステム化企画やユーザー側のPMOを中心に支援している。
