キーロガーとは、コンピュータやモバイルデバイスで操作されたキーボードの入力内容（キーストローク）を追跡して記録する監視技術の一種です。
目次
キーロガーは、ログイン情報や機密データの窃取など悪意のあるサイバー活動に悪用されることが多いですが、従業員の監視やペアレンタルコントロール用ソフトウェアなどの正当な目的で使用されることもあります。
キーロガーの種類
キーロガーは、動作の仕組みやシステムへのアクセスレベルがそれぞれ異なります。以下は最も一般的なタイプであり、それぞれ動作や検出の難易度が異なります。
APIベースのキーロガー
これらのキーロガーは、標準的なシステム「API」を利用してキー入力を記録します。ハードウェアとソフトウェア間の通常のやり取りを模倣するため、正規のプロセスとの区別が特に困難です。キーが押されたり放されたりするたびに、キーロガーはユーザに警告することなく、イベントをリアルタイムでキャプチャします。
フォームグラバー型キーロガー
フォームグラバーは、個々のキー入力を監視するのではなく、ユーザがフォームを送信した際にWebフォームの内容全体をキャプチャします。つまり、ユーザ名、パスワード、クレジットカード情報などの機密データが暗号化されて送信される前に傍受される可能性があります。
カーネルレベルのキーロガー
これらのキーロガーは、オペレーティングシステムの最深層であるカーネルで動作することで、管理者レベルのアクセス権を取得します。標準的なセキュリティ対策ツールでは検出されずにあらゆるアクティビティを記録できるため、最も危険な種類の1つとなっています。
JavaScriptベースのキーロガー
これらのキーロガーは、多くの場合、侵害されたWebサイトやブラウザベースの攻撃を通じて埋め込まれ、悪意のあるスクリプトを使用してWebページ内のキーボード入力を監視します。XSS（クロスサイトスクリプティング）、中間者攻撃、または侵害されたサードパーティコンテンツなどの手法を通じて展開されます。
ハードウェアベースのキーロガー
ハードウェアベースのキーロガーは、キーボードとコンピュータの間に挿入される物理デバイス、あるいはキーボード自体に埋め込まれたデバイスです。インストールには対象デバイスへの物理的なアクセスが必要ですが、従来のウイルス対策ソフトやソフトウェアスキャンでは実質的に検出できません。インストールされると、キー入力を内部メモリに記録するか、ワイヤレスで外部受信機に送信します。
キーロガーの仕組み
キーロガーは、ユーザの入力内容を傍受・記録することで動作します。多くの場合、ユーザやセキュリティソフトウェアから隠ぺいするためにステルス戦術を活用します。その仕組みを詳しく見てみましょう。
キーボード入力をキャプチャするキーロガー
キーロガーが主に用いる方法は、キー入力を傍受することです。通常、以下の方法でこれを実現します。
APIフッキング：多くのソフトウェアキーロガーは、WindowsのSetWindowsHookEx APIなどのシステムレベルのフックを使用して、キーボードイベントがアプリケーションに到達する前にそれを傍受します。
カーネルレベルの傍受：より高度なキーロガーはカーネル層で機能し、ハードウェアから生の入力データを直接キャプチャし、多くの場合、ユーザモードのセキュリティ防御を回避します。
これにより、キーロガーは、ユーザが気付かないうちに、入力された文書からログイン情報まですべてを記録できるようになります。
キーロガーのデータ処理とステルス技術
多くのキーロガーは、キーストロークを記録するだけでなく、より広範なユーザアクティビティを収集し、盗んだ情報を秘密裏に送信するように設計されています。
- 拡張データ収集：一部の亜種はクリップボードの内容を記録したり、定期的にスクリーンショットを撮影したり、訪問したウェブサイトやアプリケーションの使用状況をログに記録したりします。
保存と送信：キャプチャされたデータは、ローカルの隠しファイルに保存されるか、電子メール、FTP、または暗号化された通信チャネルを介してリモートサーバに送信されます。
ステルス操作：検出を避けるために、キーロガーは正当なプロセスを装ったり、ルートキット技術を使用して存在を隠したり、ファイルベースのウイルス対策スキャンを回避するためにシステムメモリ内でのみ動作したりすることがよくあります。
キーロガーの実際の利用例
悪意あるキーロガーの利用例
個人情報の盗難：サイバー犯罪者はキーロガーを使用して、ユーザ名、パスワード、銀行の認証情報、個人識別番号（PIN）を盗み取ることができます。
監視：ハッカーは、電子メールを読んだり会話を追跡したりして、被害者のオンライン活動を監視します。
企業スパイ活動：ビジネス環境では、キーロガーを使用して企業秘密を盗んだり、機密情報に不正にアクセスしたりすることがあります。
正当なキーロガーの利用例
ペアレンタルコントロール：子どものオンライン行動を監視し、子どもが安全で有害なコンテンツに触れないようにするために、キーロガーをインストールする保護者もいます。
職場監視：雇用主は、生産性を追跡し、企業ポリシーの順守を確保するために、エンドポイント監視ツールの一部としてキーロガーを使用することがあります。ただし、これは従業員のプライバシー権を尊重し、透明性と倫理性をもって実施する必要があります。
キーロガーがデバイスに感染する方法
キーロガーは、一般的に次のような他の種類のマルウェアと同様の方法で配信されます。
フィッシングメールと悪意のある添付ファイル：攻撃者は、感染した文書やリンクを含む、巧妙なメールを送信します。マクロが有効になっているWord文書など、罠が仕掛けられたファイルを開くと、キーロガーが密かにインストールされる可能性があります。
ファイルレスマルウェア手法：明らかな痕跡を残す代わりに、ファイルレスキーロガーはPowerShellやDLLインジェクションなどのツールを使用してコードをメモリに直接挿入します。
トロイの木馬化されたソフトウェアとソフトウェアのバンドル：キーロガーは、一見正規のアプリケーションや海賊版ソフトウェアのダウンロードに隠されていることがあります。これらの改ざんされたプログラムをインストールすると、意図せずバックグラウンドでキーロガーがインストールされてしまいます。
悪意のあるブラウザ拡張機能（Man-in-the-Browser攻撃）：偽の、または侵害されたブラウザアドオンは、パスワードマネージャや仮想キーボードなどの保護を回避して、Webフォームに入力されたすべての情報を取得します。
ドライブバイダウンロードとエクスプロイトキット：古いブラウザやプラグインを使用して侵害されたWebサイトにアクセスするだけでも、自動ダウンロードがトリガーされ、デバイスにキーロガーがサイレントにインストールされる可能性があります。
USBメディアの悪用と物理的なアクセス：攻撃者は、感染したUSBデバイスを仕掛けたり、キーボードとコンピュータの間にハードウェアキーロガーを物理的にインストールして、ユーザの操作を必要とせずにデータを密かにキャプチャしたりする可能性があります。
キーロガーの永続化テクニック
キーロガーは一度インストールされると、次のような方法を使用して再起動しても駆除されず、隠れたままになります。
自動起動エントリとスケジュールされたタスク：キーロガーは、スタートアップフォルダ、レジストリキー、またはスケジュールされたタスクに自身を追加し、起動時に自動的に再起動します。
サービスのインストールとプロセスインジェクション：一部のキーロガーはシステムサービスとしてインストールされるか、正当なプロセス（explorer.exeなど）に挿入されて通常のシステム操作に溶け込みます。
正当なツールの悪用：「Living Off The Land（環境寄生型）」バイナリ（wscript.exeやpowershell.exeなど）を使用すると、キーロガーは明らかなマルウェアの痕跡を残さず静かに実行できます。
ファームウェアまたはブートキット：非常に高度なキーロガーは、システムBIOSまたはデバイスのファームウェアに感染し、オペレーティングシステムが読み込まれる前でもアクティブ化できる可能性があります。これは通常、標的を絞った高度な攻撃で見られる戦術です。
キーロガーを検出して削除する方法
キーロガーの存在を認識するのは難しい場合がありますが、明らかな兆候があります。
キーボードの反応が予期せず遅れたり遅くなったりする
タスクマネージャまたはアクティビティモニタで実行されている不明またはあやしいプロセス
頻繁なアプリケーションクラッシュや異常なシステム動作
Webブラウジングのパフォーマンスが著しく低下
キーロガーを削除するには
マルウェア対策ツールまたは専用のキーロガー対策ツールを使用してデバイスをスキャン
ウイルス対策ソフトウェアを最新の状態に保ち、定期的にスキャンを実行して新たな脅威を検出
セーフモードで起動し、より詳細なシステムチェックを実行
ブラウザとアプリの設定をリセットし、悪意のある拡張機能を削除
キーロガーから身を守る方法
キーロガー感染を防ぐための予防策をいくつか紹介します。
ソフトウェアを最新の状態に保つ - オペレーティングシステム、ブラウザ、アプリケーションを定期的に更新して、キーロガーやマルウェアが悪用することが多い既知の脆弱性を修正します。
ウイルス対策とエンドポイントセキュリティを使用する - リアルタイム保護と挙動検知機能を備えた評価の高いウイルス対策またはエンドポイントセキュリティソリューションをインストールして、既知の脅威と新たな脅威の両方を検出します。
MFA（多要素認証）を有効にする - パスワードが盗まれた場合でも、MFAにより不正アクセスをブロックできる重要な追加のセキュリティ層が追加されます。
仮想キーボード - 仮想キーボードを使用すると、キーボード入力の代わりに画面上のキーをクリックできるため、基本的なキーロガーによる入力のキャプチャが難しくなります。
ユーザトレーニングとセキュリティ意識向上 - フィッシングのリスク、あやしいダウンロード、キーロガーの警告サインについて、定期的にユーザを教育します。
Trend Vision One™ プラットフォーム
攻撃をより迅速に阻止し、サイバーリスクをコントロールするには、単一のプラットフォームから始める必要があります。AI、最先端の脅威調査、インテリジェンスを活用した包括的な防御、検知、対応機能で、セキュリティを総合的に管理します。
Trend Vision Oneは、多様なハイブリッドIT環境をサポートし、ワークフローを自動化および調整し、専門的なサイバーセキュリティサービスを提供することで、セキュリティ運用を簡素化および統合します。
Jon Clayは、29年以上にわたってサイバーセキュリティ分野の経験を持ちます。Jonは業界での知見を活かして、トレンドマイクロが外部に公開する脅威調査とインテリジェンスに関する教育と情報共有を担っています。