今日のように相互接続が一般化する前は、悪質なコードはCD-ROMやフロッピーディスクなどの可搬型ストレージを通じて拡散した。当時のマルウェア（その多くはブートセクタ内に隠されたウイルス）はデジタル寄生虫として動作し、起動プロセスに侵入するという形でホストPCに感染した。侵入したウイルスは、ハードディスクのマスターブートレコード（MBR）、起動ディスクのブートセクタコード、あるいはディスクパーティションテーブル（DPT）を書き換えることによってマシンに損傷をもたらした。ブートセクタウイルスは今日めったに見られなくなったが、Vistaのデバイスドライバ署名要求を欺く可能性を持った新しいrootkit技術は、この種のウイルスを思い起こさせる。

　「bootkit」はブートプロセスを操作することによって、カーネルへのアクセスと隠ぺい能力を獲得する。機能的に見れば、bootkitはrootkitと何ら異なるところはない。両者の違いはアクセスを獲得する方法にある。従来のrootkitは、昇格した権限をOSの動作中に利用する。これに対し、bootkitは外部デバイスのブートセクタからインストールされ、システムの起動プロセスの間ずっとメモリ内にとどまる。このコンセプトは2005年に初めて紹介された。eEye Digital Securityのセキュリティ研究者らが、起動時にBIOSを悪用する手法を開発したのだ。彼らの「BootRoot」プロジェクトで開発されたカスタムブートセクタコードは、Windows NTカーネルのサブバージョンと永続的なリアルモードアクセスを可能にする。

　2007年4月に開催された「BlackHat Europe」でインドのNV Labsの研究者らが発表した「VBootkit」も、カスタムブートコードによるカーネルのサブバージョンを実現できる。BootRootとVBootkitの類似性については一部で物議を醸しているが、後発のVBootkitには、Vistaのアップデートされた起動プロセス（ブートローダーアーキテクチャが変更された）に対応するように修正された命令コードが含まれている。どのブートプラットフォームを使用するにせよ、起動プロセスを利用するbootkitテクニックが幾つか存在するのが実情だ。

　bootkitのカスタムブートセクタコードは、ROM BIOSコードが実行された後、真のMBRが読み込まれる前に、起動ルーチンを乗っ取る。このコードはメモリに読み込まれると、ソフトウェア割り込み命令を実行する（これは「フッキング」とも呼ばれる）。フックされるのはINT 13で、これは以降のセクタ読み出しを許可する命令だ。これが実行されると、bootkitは起動プロセスを通じて一連のパッチ適用シーケンスを利用し、起動プロセスの構造を変更し、論理フローを操作するのだ。

　デジタル署名とチェックサムを回避するために、各種のコード変更手法がさまざまな段階で利用される。bootkitコードは検出を免れるために、幾つかの迂回手段を使ってメモリ内での自身の格納場所を変更する。rootkitもチェックサムを再計算して入れ替えることができる。チェックサムは、ファイルの整合性を確認するために用いられるビット値だ。

　rootkitがカーネル空間に居座って検出されなければ、追加ペイロード（コード）を実行することができる。これにより、少なくとも秘密のチャネルを確立し、犠牲者のマシンに無制限にアクセスする能力を悪質なハッカーに与えるのである。rootkitの追加的な実行可能ペイロードとしては、ユーザー名とパスワードを取得するもの、特定のアプリケーション（セキュリティスイートなど）を無効にするもの、代理で攻撃させるためにそのマシンを利用するもの、そのrootkit自身をさらに拡散させるものなどがある。

　カーネル空間で命令を操作するために使用されるこれらのマシンコード手法は、この種のマルウェアの深刻さを物語っている。rootkitを検出・除去するためのソフトウェアは存在するが、bootkitの登場は防御の重要性をあらためて浮き彫りにした。起動プロセスに割り込むという手法は、物理的アクセスに関するポリシーを総合的なセキュリティ戦略に組み込む必要性を強調するものである。

　bootkit技術に対する防御は、マシンの起動プロセスの防御を意味する。システムのBIOSは、ハードディスク以外の起動デバイスを無効にするよう設定できる。また、不正な変更を防止するために、システムBIOSをパスワードで保護することも可能だ。コンピュータのケースを物理的に施錠すれば、BIOSチップとそのCMOSバッテリ（これらを利用すればBIOSのパスワードをクリアできる）が搭載されたマザーボードへのアクセスを制限できる。公共のエリアに置かれているシステムの場合には、外部メディア装置（フロッピーディスクドライブやCD／DVDドライブなど）を取り外すことも検討すべきだ。USBポートやFireWireポートを無効にしたり、特定のマシンをキオスクモード（訳注：Webページの閲覧しかできない全面表示モード）でのみ動作させるといった方法も効果的だ。

　コンピュータのカーネル空間への侵入方法にかかわらず、rootkitは非常に強力で、現実的な脅威である。これらは「生息中」のマルウェアのほんの一部にすぎないかもしれないが、ほとんどのセキュリティソフトウェアで対応が一歩遅れており、その存在を検出することができない。境界部の防護、ユーザー権限レベルの制限といった対策を運用中のサービスの厳格なコントロールと組み合わせれば、rootkitの侵入に対して強固なネットワーク防御を実現することが可能だ。ITセキュリティの担当者にとっては、防御技術の進化に目を向けるだけでなく、rootkit技術の動向も注視することが重要だ。

本稿筆者のノア・シフマン氏は、改心した元ブラックハットハッカー（悪質なハッカー）で、25年近くにわたってFortune 500企業のシステムに侵入した経験がある。同氏は現在、フリーのITセキュリティコンサルタントとして活躍する。リスク評価、侵入テスト、暗号化、デジタルフォレンジクス、予測分析モデル、セキュリティ指標、企業セキュリティポリシーなどを専門とする。心理学と機械工学の学位を持つほか、南カリフォルニア医科大学で医学博士号も取得した。サウスカロライナ州チャールストン在住。