UEFIを狙うマルウェアとは？特徴や感染経路、確認ポイントまで解説

UEFIを狙うマルウェアは、PCの起動時に動作するUEFI（Unified Extensible Firmware Interface）領域に感染するマルウェアの一種です。従来のマルウェアとは異なり、OSの起動前から動作するため、従来のセキュリティソフトでは検知が難しく、被害が発覚しづらいという特性があります。

本記事では、UEFIを狙うマルウェアの基本的な定義や仕組み、実際に観測された主なインシデントや感染経路を整理し、リスクの全体像を把握するための基礎情報を解説します。

＼マルウェア感染の痕跡調査・感染経路の特定に対応／

UEFIを狙うマルウェアとは

UEFIを狙うマルウェアとは、パソコンのファームウェア領域であるUEFIに感染し、OSよりも先に起動・常駐するタイプの高度なマルウェアです。従来のBIOSに代わるUEFIは、OSのブート（起動）を制御する重要な役割を担っており、この領域に侵入されると、OSやセキュリティソフトが機能する前から攻撃者のコントロールが始まってしまいます。

たとえば、UEFI領域にマルウェアが仕込まれると、PCを再インストールしてもマルウェアが残り続け、知らぬ間に再感染することがあります。これは「Persistence（永続性）」と呼ばれ、APT（高度持続的脅威）攻撃などに多く用いられる特徴でもあります。

UEFIを狙うマルウェアの主なインシデント

UEFIを狙うマルウェアは通常のマルウェアと異なり、OSのセキュリティレイヤーを回避して動作するため、攻撃手法も極めて巧妙です。以下では、UEFIを狙うマルウェアに関連して実際に発生した、または発生が懸念される主なインシデントを紹介します。

ファームウェア改ざんとセキュアブートのバイパス

UEFIにはセキュアブートという安全機構が備わっていますが、脆弱性（例：CVE-2022-21894など）を突かれることで、この機能がバイパスされ、マルウェアの埋め込みが可能となる事例があります。

リークサイトやダークウェブでの流通

BlackLotusやMosaicRegressorといったUEFIマルウェアが、ダークウェブなどで実際に流通していたことが報告されています。国家支援型の標的型攻撃にも利用されたとされ、企業・団体は特に警戒が必要です。

高い権限を持った情報窃取・バックドア機能

UEFIに常駐することでOSのログ記録を回避し、情報窃取・コマンド制御などが実行されます。キーロガー、バックドア、C2（Command and Control）通信といった高度な機能が搭載されるケースもあります。

自己判断で初期化やソフトの再インストールを進めると、感染の原因や範囲を正確に把握するのが難しくなり適切な対応を行えない可能性があります。

当社では、マルウェア感染調査を通じてUEFIへの書き換えや不審な通信の有無、設定改変の履歴などを確認し、端末の状態を客観的に可視化します。必要に応じて、再発防止や報告用に活用できる形でご報告可能です。初期診断は無料で、24時間365日体制で対応しています。

＼マルウェア感染の痕跡調査・感染経路の特定に対応／

UEFIを狙うマルウェアの手口

UEFIを狙うマルウェアは、OSやセキュリティソフトが動作するよりも前の段階から活動を開始するため、一般的な検出ツールでは発見が難しく、検知・駆除をすり抜ける高度な手口が用いられます。

ファームウェアへのマルウェア埋め込み

攻撃者は脆弱性を悪用して、UEFIファームウェア領域にマルウェアを埋め込みます。通常のアンチウイルスではこの領域にアクセスできないため、検知は極めて困難です。

ペイロードダウンロード型のブートキット

ブートローダーに細工を加え、OS起動時に外部のC2サーバーからマルウェアの本体をダウンロードして実行するタイプの攻撃です。これにより感染の痕跡を最小限にとどめることができます。

ルートキットによる永続的なバックドア

UEFI領域に設置されたルートキットがOS起動後も監視や操作を続け、ネットワーク通信の盗聴やファイルの送信などが可能になります。OSのクリーンインストールを行っても消去されず、再感染の原因にもなります。

UEFIを狙うマルウェアの感染経路

UEFIを狙うマルウェアは一般的なメールやファイル経由のマルウェアとは異なり、特殊な経路から侵入します。ここでは代表的な感染パターンを紹介します。

不正なUSBメモリや外部ストレージ経由

OSの起動前にUEFI設定画面にアクセスし、USB等から不正なファームウェアアップデートを実行させることで、マルウェアが仕込まれます。

サプライチェーン攻撃

出荷前の段階で、すでに感染した状態でPCやマザーボードが供給される事例もあります。UEFIレベルでの攻撃は、製造や流通プロセスに紛れて行われることがあります。

ファームウェアの脆弱性を利用した遠隔侵入

OS上で管理者権限を獲得した後、ファームウェア書き換え用のツールを用いてUEFIに不正コードを書き込む方法です。これにより遠隔から感染が成立します。

UEFIを狙うマルウェアに感染した場合の主なサイン

UEFIを狙うマルウェアは見た目上の症状が少ないケースも多いですが、以下のような異変が複数重なる場合、感染を疑う必要があります。

PC起動時の異常（フリーズ・遅延・起動失敗）

OSが起動しない、起動が極端に遅いといった症状は、UEFI領域に問題が発生しているサインである可能性があります。

OS再インストール後も異常が継続する

通常のマルウェアであれば、OSを再インストールすれば消去されるはずですが、それでも異常が続く場合はUEFI領域が感染している可能性が高いです。

セキュリティソフトの異常や無効化

設定が勝手に変わっていたり、ソフト自体が機能しなくなっている場合、UEFIマルウェアによる無効化が行われていることがあります。

不審なネットワーク通信の増加

通信先の不明なIPアドレスへの定期的なアクセスが増加している場合は、マルウェアのC2通信である可能性が考えられます。

身に覚えのない設定変更や管理者権限昇格

管理者ユーザーが突然追加されていたり、ポリシーが変更されている場合、UEFIマルウェアによる遠隔操作が行われている可能性があります。

UEFIを狙うマルウェアへの対策

UEFIを狙うマルウェアの対策には、OSやアプリの更新だけでは不十分です。ファームウェアという特殊な領域に感染する性質から、予防と早期検知の両面での取り組みが必要です。以下に代表的な対策を整理します。

セキュアブートの有効化と改ざんチェック

セキュアブートとは、UEFIが署名されたソフトウェアのみを起動させる仕組みです。これにより、不正なファームウェアやマルウェアの実行を未然に防ぐことができます。

ファームウェアやBIOSの定期的アップデート

UEFIの脆弱性が悪用されるケースが多いため、ベンダーから提供されるアップデートを定期的に適用することが重要です。

EDRなど高度なセキュリティ製品の導入

UEFIを狙うマルウェアのような高度な脅威に対しては、EDR（Endpoint Detection and Response）など、振る舞いを監視するタイプのセキュリティ製品が効果的です。

サイバーセキュリティの専門業者に相談する

UEFIを狙うマルウェアに関連する不審な挙動がある場合、企業や個人での判断には限界があります。特に証拠が消失する恐れがあるファームウェア領域では、専門的な調査と保全が欠かせません。

サイバーセキュリティ専門業者は、感染の有無や侵入経路、被害の範囲を多角的に調査することができます。UEFIのログやメモリダンプ、システムのブートプロセス全体を対象に、正確な診断が可能です。

私たちデジタルデータフォレンジックでは、官公庁・上場企業・捜査機関等からの依頼実績を活かし、UEFIを狙うマルウェアを含む高度なインシデントに対応しています。初動対応は最短15分、24時間365日体制でご相談を受け付けております。

＼マルウェア感染の痕跡調査・感染経路の特定に対応／

詳しく調べる際はフォレンジック調査会社に相談を