ファイルレスマルウェアとは？ 仕組み・感染経路・最新対策を解説

ファイルレスマルウェアは、ファイルをディスクに残さずメモリ上で動作するため、従来のウイルス対策ソフトでは検出が困難なマルウェアです。近年、ランサムウェアと組み合わせた攻撃や標的型攻撃の手口として用いられるケースが増加しており、企業・組織にとって深刻な脅威となりつつあります。

本記事では、ファイルレスマルウェアの仕組みや感染経路をわかりやすく解説するとともに、感染時に現れる兆候や確認方法、EDRをはじめとする具体的な対策まで、実務に役立つ情報をまとめてお伝えします。

ファイルレスマルウェアとは？

ファイルレスマルウェアの定義

ファイルレスマルウェアとは、感染先のPC上にファイルを残さず、OSのメモリ上に直接読み込まれて動作するマルウェアの一種です

通常のマルウェアは「悪意のある実行ファイル（.exeなど）をディスクに保存して実行する」という流れで攻撃を行います。一方ファイルレスマルウェアは、ファイルとしてディスクに書き込まれることなくメモリ（RAM）上だけで完結するため、痕跡がほとんど残りません。

従来のマルウェアとファイルレスマルウェアの違い

マルウェアには多くの種類があります。一般的なマルウェアとファイルレスマルウェアの主な違いは下表のとおりです。

順位	従来のマルウェア	ファイルレスマルウェア
ディスクへの保存	あり（実行ファイルが残る	なし（メモリ上のみ）
アンチウイルスでの検出	比較的容易	極めて困難
再起動後の残存	残る	基本的に消える（※）
使用するツール	独自のマルウェア本体	OSの正規ツールを悪用
フォレンジック調査	比較的容易	極めて困難
攻撃の痕跡	多い	少ない

※レジストリや自動起動設定に仕掛けを埋め込み、再起動後も持続性を保つ手口も存在します。

「ファイルレス」という呼称の由来

ファイルレス（Fileless）とは、「ファイルがない」という意味です。ファイルレスマルウェアという呼称は、ディスク上に悪意あるファイルの実態が存在しないことに由来します。従来型のマルウェア対策は「ディスクに保存されたファイルのパターン（シグネチャ）を照合して検知する」仕組みを基本としているため、ファイルが存在しなければ基本的には検出できないのが実情です。

ファイルレスマルウェアの仕組みと攻撃フロー

ファイルレスマルウェアによる攻撃は段階的に進行します。攻撃の全体像と悪用される傾向のある正規ツールをまとめました。

攻撃の全体像

Step 1：初期侵入

フィッシングメールや不正広告（マルバタイジング）を通じてユーザーがリンクをクリックしたり、不審な添付ファイルを開いたりすることで攻撃が始まります。この段階で悪意あるコードが投下されることもありますが、マクロやスクリプトが直接メモリ上でコードを実行するパターンも存在します。

Step 2：正規ツールのハイジャック

攻撃者は侵入後、WindowsにデフォルトでインストールされているPowerShellやWMI（Windows Management Instrumentation）、mshta.exeなどの正規ツールを悪用して、悪意あるコードをメモリ上で実行します。これらはユーザーや管理者が日常的に使うツールであるため、不審な挙動として弾かれにくい傾向があります。

Step 3：認証情報の取得・横展開（ラテラルムーブメント）

メモリ上で動作しながら、MimikatzなどのツールでWindows認証情報（パスワードハッシュ）を窃取し、ネットワーク内の別の端末やサーバーへと侵害を広げていきます。

Step 4：バックドアの設置

レジストリの自動起動キーを書き換えるなどして、再起動後も侵入できるようバックドアを設置します。これにより攻撃者は長期間にわたって組織内に潜伏できます。

Step 5：情報窃取・ランサムウェア展開

機密情報を外部のC&Cサーバー（Command & Control Server）へ送信したり、ランサムウェアを展開してファイルを暗号化したりといった最終的な攻撃目的を実行します。

悪用される主な正規ツール

・PowerShell：タスク自動化のためのスクリプト言語。Windows APIに深くアクセスできることから、攻撃者に選ばれる傾向がある。
・WMI（Windows Management Instrumentation）：Windowsシステムの管理機能。リモートからのコード実行に悪用されやすい。
・mshta.exe / regsvr32.exe：Microsoftの正規プログラム。スクリプトを実行する用途に悪用される。
・Cobalt Strike：本来はセキュリティ評価ツールだが、攻撃者にも広く使われる攻撃後（Post-Exploitation）フレームワーク。

LotL（環境寄生型攻撃）との関係

ファイルレスマルウェアの手法は「LotL（Living off the Land：環境寄生型攻撃）」とも呼ばれます。これは、攻撃対象のシステムに最初から備わっている正規のツールや機能を利用して攻撃を実行する手法です。外部から新たなツールを持ち込む必要がないため、セキュリティ製品による検知を回避しやすく、攻撃者にとって効率的な手口といえます。

難読化・スクリプト偽装による検知回避の手口

ファイルレスマルウェアに使われるスクリプトは多くの場合「難読化（obfuscation）」されており、Base64エンコードや文字列の分割・結合によって、セキュリティ製品が内容を解析しにくい状態にされています。また、ショートカットファイル（.lnk）のアイコンをテキストファイルに見せかける「拡張子偽装」が使われるケースも少なくありません。

ファイルレスマルウェアはどこから侵入するのか

ファイルレスマルウェアの侵入経路が気になる方もいるでしょう。主な侵入経路として「フィッシングメール・不正添付ファイル」「不正広告」「Webサイト脆弱性」「サプライチェーン経由」が挙げられます。

フィッシングメール・不正添付ファイル

最も一般的な感染経路の1つです。メール本文中のURLリンクをクリックさせたり、悪意あるマクロを仕込んだOfficeファイル（Word・Excel）を添付して開かせたりすることで、PowerShellなどをバックグラウンドで起動します。

不正広告（マルバタイジング）

正規のWebサイトに表示される広告が不正なものに差し替えられ、閲覧するだけでブラウザの脆弱性が悪用されてメモリ上でコードが実行される場合があります。ユーザー側に明確なクリック操作がなくても感染するケース（ドライブバイダウンロード）も確認されています。

Webサイトの脆弱性悪用

外部に公開しているWebサーバーやVPN機器の既知の脆弱性を悪用して侵入し、Webシェル（China Chopperなど）を設置することで、ファイルを残さずにリモートアクセス権を確立するケースがあります。

サプライチェーン経由の侵入

取引先や委託先のシステムを踏み台にして、本来の標的組織へと侵入するサプライチェーン攻撃にも、ファイルレスの手法を組み合わせて用いられるケースが増えています。ソフトウェアのアップデート機能を悪用して、正規ツールをそのまま感染の踏み台にすることもあります。

ファイルレスマルウェアが特に脅威となる理由

数あるマルウェアの中でも、ファイルレスマルウェアが特に脅威と見なされやすい背景には、次に挙げる4つの理由があります。

従来のアンチウイルスでは検出できないおそれがある

シグネチャベースのアンチウイルスは、既知のマルウェアのファイルハッシュやパターンを照合して検知します。しかし、ファイルレスマルウェアはそもそも悪意あるファイルをディスクに書き込まないため、スキャンの対象が存在しません。また、PowerShellなどの正規ツールが実行するコマンドは、通常セキュリティソフトに信頼されているため、検知されず素通りしてしまいます。

フォレンジック調査が困難

マルウェアがメモリ上にのみ存在する場合、感染中にシステムが再起動されるとメモリの内容は失われます。インシデント発生後の原因調査（フォレンジック）で証拠を集めようとしても、ディスク上に痕跡がほとんど残らないため、侵入経路や被害範囲の特定は困難です。

ランサムウェアとの組み合わせによる多重被害

近年、ファイルレスマルウェアはランサムウェア攻撃の初期侵入・横展開フェーズとして頻繁に利用されています。検知を回避しながら組織内を静かに広がり、最終的に大規模なランサムウェアの展開や情報窃取を行う手口です。バックアップから復旧できたとしても、事前に窃取されたデータを公開・売却するなどと脅される「二重恐喝型」の攻撃との組み合わせも一般化しています。<

最新動向：脅威の拡大

IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」においても、ランサムウェアによる被害が組織向け脅威の第1位を継続して占めています。その侵入手口として、ファイルレス型の攻撃や環境寄生型（LotL）の使用率が高まっているのが実情です。攻撃は不特定多数を狙うものから、特定業種を狙う標的型へと移行しており、医療機関・金融・インフラ事業者が特に狙われる傾向があります。

感染の兆候と確認方法・初動対応

ファイルレスマルウェアは検知が困難ではあるものの、挙動の異常などの兆候が現れる場合もあります。具体的な兆候と確認方法、感染が疑われる場合の初動対応について確認しておきましょう。

ファイルレスマルウェア感染の主なサイン

ファイルレスマルウェアはディスクに痕跡が残りにくいとはいえ、次のような振る舞いが異常として現れることがあります。

• PowerShell・WMIが通常業務では起動しないはずの時間帯に動作している
• WordやExcelなどのOfficeアプリケーションと同時にPowerShellが起動している
• 大量のネットワーク通信が外部（不審なIPアドレス）に向けて発生している
• システムパフォーマンスが原因不明で低下している
• 管理者も把握していない新しいタスクスケジューラの登録がある
• Windowsイベントログに不審なPowerShell実行の記録がある

PowerShellの異常な起動を確認する方法

Windowsのイベントログ（PowerShellログ）を有効にしておくことで、実行されたコマンドの記録が残ります。グループポリシーから「PowerShellスクリプトブロックのログ記録」を有効にすると、難読化されたスクリプトの実行内容も可視化できるでしょう。

ただし、このログ分析には専門知識が欠かせません。SIEM（Security Information and Event Management）ツールやEDRとの組み合わせが実務では効果的です。

感染が疑われる場合の初動対応

ファイルレスマルウェアへの感染が疑われる場合には、次の手順で被害の拡大を抑えるとともに、影響範囲の確認に向けて速やかに行動することが大切です。

1. 該当端末をネットワークから即時切断する（横展開を防ぐ）
2. 電源を落とさない（メモリのダンプを取得するため）
3. セキュリティ担当者またはIT部門に即時報告する
4. 影響範囲の確認を専門家に依頼する（必要に応じてフォレンジック調査）

ファイルレスマルウェア対策は「多層的なアプローチ」がポイント

ファイルレスマルウェアに対しては、1つの対策だけで完全に防ぐことはできません。人的対策・技術的対策・組織的対策を組み合わせた多層防御が基本です。

OSとソフトウェアの最新化

既知の脆弱性を悪用した侵入を防ぐため、OSやアプリケーションに対して最新のセキュリティパッチを速やかに適用します。

PowerShell・マクロの実行制御

PowerShellの実行ポリシーを適切に設定し、未署名スクリプトの実行を制限します。また、業務上不要なOfficeマクロの自動実行を無効化することも有効です。これにより、多くのファイルレス型攻撃の初期侵入ベクターを封じられます。

ネットワークのセグメンテーション

重要なシステムやデータを別のネットワークセグメントに隔離することで、万一の侵入時も横展開（ラテラルムーブメント）を食い止めやすくなります。

SIEM・ログ管理

PowerShellのスクリプトブロックログ、Windowsイベントログ、ネットワークトラフィックログを継続的に収集・分析します。SIEMツールを導入することで、異常なパターンの早期検知が可能になります。

定期的なバックアップ（3-2-1ルール）

ランサムウェアとの組み合わせ攻撃に備え、重要データのバックアップを定期的に取得します。オフライン保管やオフサイト保管を含む3-2-1ルール（3つのコピー・2種類の媒体・1つはオフサイト）が基本です。

ゼロトラストセキュリティとの組み合わせ

「社内ネットワークは安全」という前提に立つのではなく、すべてのアクセスを都度検証するゼロトラストの考え方は、ファイルレスマルウェア対策と相性が良い方針です。正規ツールを悪用した内部からの動きに対しても、継続的な認証・認可・監視によって異常を検知しやすくなります。

セキュリティ教育と標的型メール訓練

フィッシングメールや不正なリンクを見抜く力を養うため、定期的なセキュリティ教育と実践的な訓練が有効です。「見慣れた差出人からのメールだから安全」という思い込みが、最初の侵入口になることを全従業員が理解する必要があります。

最小権限の原則

管理者権限を持つアカウントを必要最小限に絞り込みます。PowerShellやWMIなどの強力なツールへのアクセス権も、業務上必要なユーザーに限定することで、万一感染した場合の被害範囲を限定できます。

不審な動作の報告体制

従業員がシステムの異常な動作や不審な事象を発見した際に、すぐにIT部門やセキュリティチームへ報告できる体制を整えます。

EDRの導入がファイルレスマルウェア対策の要

ファイルレスマルウェアに対抗するうえで、最も重要な技術的対策がEDR（Endpoint Detection and Response）の導入です。従来のアンチウイルス（EPP）がファイルのシグネチャを照合するのに対し、EDRはエンドポイント上で発生するあらゆる「振る舞い」をリアルタイムで監視します。

【EDRによるファイルレスマルウェア検知の仕組み】
1. プロセス監視：PowerShellがWordから起動されるなど、通常ではあり得ないプロセスの親子関係を検知する
2. メモリスキャン：メモリ上で実行中の不審なコードを検知する
3. APIコール監視：マルウェアが悪用しがちなWindows APIの呼び出しパターンを検知する
4. ネットワーク通信の分析：外部C&Cサーバーへの不審な通信を検知・ブロックする
5. IOA（攻撃の痕跡）分析：既知の攻撃パターン（TTPs）に基づき、攻撃が進行中であることを早期に検知する

さらに「R（Response）」機能として、感染端末の隔離・プロセスの強制終了・感染前状態へのロールバックを自動または半自動で実行します。

ALSOK EDRサービス｜AIが脅威を自動検知・自動対応

ALSOKのEDRサービスは、AIによる振る舞い検知で従来のアンチウイルスでは発見できないファイルレスマルウェアも検出。感染ファイルのロールバック機能でランサムウェア被害からの迅速な復旧を支援します。1台から導入可能で、30日間の無料トライアルも実施中です。

感染後の対応：インシデントレスポンスの手順

万一感染が確認された、または強く疑われる場合は、次の手順で対応します。

Step1：封じ込め・隔離

感染が疑われる端末を直ちにネットワークから切断します。LANケーブルを抜く、Wi-Fiを無効化するなど、物理的・論理的に他の端末との通信を遮断しましょう。その際、メモリ内の証拠を保全するために電源は落とさないのが原則です。

Step2：証拠保全とフォレンジック調査

・メモリダンプ（揮発性の証拠）を取得する
・Windowsイベントログ・PowerShellログ・ネットワークログを保全する
・「いつ・どこから・何が・どう動いたか」の全体像を把握するためにEDRのタイムラインデータを活用する

これらは専門知識が必要な作業です。対応が困難な場合はフォレンジック専門業者や外部セキュリティベンダーへの依頼を検討しましょう。

Step3：根絶と復旧

感染経路を特定し、同じ脆弱性が他端末にも残っていないか確認します。悪用された認証情報（パスワード・セッショントークン）をすべてリセットしましょう。さらに、設置されたバックドア・スケジュールタスクを削除し、クリーンなバックアップからシステムを復旧します。

Step4：再発防止と報告

発生した事象の根本原因を分析し、セキュリティポリシー・手順を改訂します。社内関係者に報告するとともに、法的義務がある場合は監督機関・取引先への通知を行いましょう。事例を踏まえて、訓練や教育プログラムを見直すことも大切です。

ファイルレスマルウェアに関するよくある質問

Q. 無料のアンチウイルスソフトでファイルレスマルウェアへの対策ができますか？

シグネチャベースの無料アンチウイルスでは、ファイルレスマルウェアの検知は困難です。振る舞い検知機能を備えた次世代型のエンドポイント保護（EPP）、さらには検知・対応機能を搭載したEDRの導入が推奨されます。

Q. ファイルレスマルウェアはスマートフォンにも感染しますか？

現在のファイルレスマルウェアの主な標的はWindowsエンドポイントです。スマートフォン（iOS/Android）での感染事例は限定的ですが、モバイル端末向けのスパイウェアやランサムウェアは別途存在します。企業のBYOD環境では端末管理（MDM）の導入が推奨されます。

Q. ファイルレスマルウェアに感染した場合、PCを再起動すれば消えますか？

メモリ上のコードは再起動で消えますが、攻撃者はレジストリの自動起動キーやスケジュールタスクを悪用して再起動後も攻撃を再開できる仕組みを仕掛けることがあります。再起動は応急処置にはなりますが、バックドアが残っていれば根本解決にはつながりません。専門家による調査が必要です。

Q. EDRとEPP（ウイルス対策ソフト）は何が違いますか？

EPPは既知の脅威を「未然に防ぐ」ための予防的なツール、EDRは未知の脅威も含め「検知して対応する」ための事後対応ツールです。両者は補完関係にあるため、可能であれば組み合わせて活用するのが理想です。

Q. 中小企業でもEDRは必要ですか？

必要です。ファイルレスマルウェアやランサムウェアによる攻撃は、大企業だけでなく中小企業も標的にしています。セキュリティ人員が少ない中小企業こそ、検知・対応を自動化できるEDRが有効です。

まとめ