ルートキット（Rootkit）とは？仕組みや被害、企業が取るべき対策をわかりやすく解説

「セキュリティソフトを入れているのに、なぜか不審な挙動が続いている」

「マルウェア感染を検知・駆除できたはずなのに、再び被害が拡大した」

このような不気味で深刻なトラブルを引き起こす原因として知られているのが「ルートキット（Rootkit）」です。

ルートキットは、攻撃者が端末やサーバーに深く潜伏し、自身の存在や不正活動をセキュリティソフトや管理者から「隠蔽」するためのツール群です。

本記事では、IT・情シス担当者様向けに、ルートキットの基本概念や仕組み、主な種類、被害事例、そして企業が取るべき現実的な対策をわかりやすく解説します。

1. 3分でわかる「ルートキット（Rootkit）」とは？

ルートキット（Rootkit）とは、「サイバー攻撃者がシステムへ侵入した後に、最高管理者権限（Root権限 / Administrator権限）を維持し、自身の存在やマルウェアの活動を隠蔽・永続化させるために使うツール（プログラム）のセット」です。

名称の由来は、UNIX/Linuxにおける最高管理者権限である「root（ルート）」と、それを維持・操作するための「kit（キット・道具一式）」を組み合わせたものです。

通常、マルウェアに感染した場合はウイルス対策ソフトがファイルを検出・隔離したり、タスクマネージャー等で不審なプロセスを発見したりできます。

しかし、ルートキットはOSの深層部（カーネル領域など）に入り込み、プロセス一覧、ファイル一覧、ログ情報などを偽装します。

そのため、セキュリティソフトやシステム管理者から「存在しないもの」として姿を消してしまい、発見や駆除が極めて困難になります。

ルートキットは、システム内のどの層（レイヤー）に潜伏するかによって分類されます。

崩れやすい図表を使わず、文章形式でわかりやすく整理します。

① アプリケーションレベル・ルートキット（ユーザーモード）
- OSの「ユーザーモード（通常のアプリが動作する領域）」で動くルートキットです。システムファイルやAPIを書き換えたりフックしたりすることで、不審なファイルやプロセスを表示させないように偽装します。比較的発見・駆除しやすい部類に入ります。
② カーネルレベル・ルートキット（カーネルモード）
- OSの中核である「カーネル（Kernel）領域」に侵入する高度なルートキットです。デバイスドライバーなどに悪質なコードを組み込み、OSそのものの挙動を制御します。セキュリティソフトもカーネルの命令を信じるため、検知を回避されてしまいます。
③ ファームウェア・ブートレベル・ルートキット（ブートキット）
- BIOS/UEFIやハードディスクのブートセクタ（MBR/VBR）など、OSが起動する前のハードウェア・ファームウェア層に感染します。OSを再インストールしたり初期化したりしてもルートキットが生存し続けるため、最も駆除が困難です。