「添付ファイルを開いたり、マクロの有効化やリンククリックをしたりした後、別のマルウェアに感染した」「ウイルスに感染したと思ったら、その後さらに危険なランサムウェアが入ってきた」——こうした多段階の感染被害の裏側にいることがあるのが「ダウンローダー」です。

マルウェアの文脈における「ダウンローダー（Downloader）」とは、感染したコンピューターから外部のサーバーへ通信し、追加のマルウェアや攻撃ツールをダウンロード・実行する機能を持つ悪意あるプログラムです。

単体では目立った破壊活動を行わず、ランサムウェア、バンキングトロジャン、スパイウェア、遠隔操作ツールなどの本命のマルウェアを呼び込む「入口」として使われることがあります。

本記事では、ダウンローダーの仕組み、ドロッパーとの違い、代表的なダウンローダー、多段階攻撃の流れ、LOLBinsとの関係、感染経路、検知方法、企業向けの対策、被害・注意事例、FAQまで解説します。

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから

ダウンローダーとは？

マルウェアの文脈におけるダウンローダー（Malware Downloader）とは、感染したコンピューターから攻撃者のC2（Command and Control）サーバーなどへ通信し、追加のマルウェアや攻撃ツールをダウンロード・実行することを主な目的とする悪意あるプログラムです。

ダウンローダーの主な動作

1. 感染：メールの添付ファイル、不正なWebサイト、マクロ、リンククリック、脆弱性悪用などでコンピューターに侵入する
2. C2通信：攻撃者のC2サーバーや外部サイトへ通信し、指令や追加ファイルの取得先を受け取る
3. ダウンロード：追加のマルウェア、スクリプト、攻撃ツールなどをダウンロードする
4. 実行：ダウンロードしたファイルやスクリプトを実行し、本格的な攻撃へ移行する

ダウンローダーは、最初の感染時点では大きな被害が見えにくい場合があります。しかし、外部通信を通じて追加マルウェアを呼び込むことで、情報窃取、不正送金、遠隔操作、ランサムウェア感染などへ発展するおそれがあります。

ダウンローダーとドロッパーの違い

似た概念として「ドロッパー（Dropper）」があります。どちらも追加のマルウェアを展開する役割を持ちますが、マルウェアの取得方法が異なります。

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから

代表的なダウンローダーの種類

Emotet（エモテット）

Emotetは、メール経由で広く拡散した代表的なマルウェアです。もともとはバンキングトロジャンとして知られていましたが、後に他のマルウェアをダウンロードする機能を持ち、多段階攻撃の起点として悪用されることがありました。

• 主な感染経路：メールの添付ファイル、リンク、悪意あるOfficeファイルなど
• 特徴：感染端末のメール情報を悪用し、実在のやり取りを装った不審メールを送る場合がある
• 注意点：他のマルウェアを呼び込み、ランサムウェアなどの被害へ発展する可能性がある

IcedID（アイスドアイディー）

IcedIDは、バンキングトロジャンとして知られたマルウェアで、後に追加マルウェアや攻撃ツールの配布に悪用されるケースも確認されています。

• 主な感染経路：フィッシングメール、添付ファイル、ZIP・ISO形式のファイルなど
• 特徴：認証情報の窃取や追加マルウェアの展開に関与する場合がある
• 注意点：ランサムウェア攻撃の前段階として使われる可能性がある

GuLoader（グーローダー）

GuLoaderは、外部サービスやクラウドストレージを悪用して追加ペイロードを取得するダウンローダーとして知られています。

• 特徴：正規のクラウドストレージや公開サービスを悪用することで、通信を正常なアクセスに見せかける場合がある
• 配布先の例：情報窃取型マルウェア、RAT、スパイウェアなど
• 注意点：URLフィルタリングだけでは検知が難しい場合がある

QakBot（クアックボット）

QakBotは、長年活動してきたマルウェアで、バンキングトロジャン、情報窃取、追加マルウェアの展開などに悪用されてきました。

• 主な感染経路：メールスレッドを悪用したフィッシング、添付ファイル、不正URLなど
• 特徴：企業ネットワークへの初期侵入や追加攻撃の足掛かりとして使われることがある
• 注意点：2023年8月にFBIなどの国際共同作戦でインフラが一時的に解体されましたが、類似手口や関連する活動には引き続き注意が必要です

その他の代表例

• GootLoader：検索結果を悪用し、正規サイトに見えるページから不審なファイルをダウンロードさせる手口で知られる
• BazarLoader：過去にランサムウェア攻撃の前段階として使われたことがあるダウンローダー
• SocGholish：偽のブラウザアップデート通知などを使い、ユーザーに不審なファイルを実行させる手口で知られる

多段階攻撃（マルウェアチェーン）の流れ

ダウンローダーは、ランサムウェア攻撃をはじめとする多段階攻撃の第一段階として使われることがあります。

1. 初期侵入：フィッシングメール、悪意あるWebサイト、マクロ、添付ファイル、脆弱性悪用などでダウンローダーが侵入する
2. C2通信の確立：ダウンローダーが外部サーバーへ通信し、次に実行する処理やダウンロード先を取得する
3. 偵察・横展開ツールの取得：攻撃者がCobalt Strikeなどの攻撃ツールやスクリプトを使い、社内ネットワークを調査する場合がある
4. 認証情報の窃取：保存されたパスワード、ブラウザ情報、認証トークン、管理者権限の情報などを狙う
5. 本命マルウェアの展開：ランサムウェア、情報窃取型マルウェア、遠隔操作ツールなどを展開する

LOLBins（環境寄生型攻撃）との関係

LOLBins（Living Off the Land Binaries）とは、WindowsやmacOSに標準搭載されている正規のシステムツールを悪用して、攻撃を進める手法です。ダウンローダーは、LOLBinsを使って外部ファイルやスクリプトを取得・実行することがあります。

代表的なLOLBinsを悪用したダウンロード手法

• certutil.exe：本来は証明書関連の管理ツールですが、外部URLからファイルを取得する用途で悪用されることがある
• bitsadmin.exe：バックグラウンドでのファイル転送機能を悪用されることがある
• PowerShell：Invoke-WebRequestやInvoke-Expressionなどを使い、スクリプトの取得・実行に悪用されることがある
• mshta.exe：HTMLアプリケーションを実行する正規ツールですが、不審なスクリプト実行に悪用されることがある
• regsvr32.exe：DLL登録ツールですが、外部スクリプトの実行などに悪用されることがある

ダウンローダーの感染経路

ダウンローダーの検知方法

EDRによるふるまい検知

EDR（Endpoint Detection and Response）は、シグネチャだけでなく、端末上のふるまいを監視します。たとえば、PowerShellやcertutil.exeが外部URLへ接続する、Officeアプリから不審な子プロセスが起動する、未知のファイルをダウンロードして実行する、といった挙動を検知できる場合があります。

C2通信のブロック

Proxyサーバー、DNSフィルタリング、ファイアウォールを使い、既知のC2サーバーのドメインやIPアドレスへの通信を遮断します。脅威インテリジェンスフィードを活用することで、最新の不審通信先を取り込める場合があります。

ネットワーク監視（NDR）

NDR（Network Detection and Response）は、ネットワーク上の異常な通信パターンを検知します。たとえば、見慣れない外部IPへの定期的なビーコン通信、不審なDNS問い合わせ、通常業務では使わない国やクラウドサービスへの通信などを検知できる場合があります。

サンドボックス分析

メールの添付ファイルやダウンロードファイルをサンドボックスで事前に実行し、外部通信、追加ファイルの取得、プロセス起動、ファイル変更などの挙動を確認します。

ただし、サンドボックス環境を検知して動作を隠すマルウェアもあるため、サンドボックスだけに依存せず、EDRやネットワーク監視と組み合わせることが重要です。

企業向けの具体的な対策

Officeマクロの無効化・制限

Emotetなどのマルウェアは、Officeファイルやマクロを悪用することがあります。Microsoft 365では、インターネットから取得したOfficeファイルのマクロが既定でブロックされる場合がありますが、組織の設定や利用環境によって挙動は異なります。

企業では、グループポリシーや管理ポリシーを使い、インターネットから取得したOfficeファイルのマクロを制限する、信頼済みの場所を限定する、業務上不要なマクロを許可しない、といった設定を行うことが重要です。

メールゲートウェイ・サンドボックスの導入

メールゲートウェイやクラウドメールセキュリティを使い、添付ファイルやURLを事前検査します。不審なファイルをサンドボックスで実行し、外部通信や追加ダウンロードの有無を確認することで、ダウンローダーの検知に役立ちます。

LOLBins悪用の監視・制限

certutil.exe、bitsadmin.exe、PowerShell、mshta.exeなどの正規ツールが、通常業務では見られない形で外部通信やスクリプト実行を行っていないか監視します。

必要に応じて、一般ユーザーのPowerShell利用を制限し、AppLockerやWindows Defender Application Controlで実行可能なアプリケーションを制御します。

Attack Surface Reduction（ASR）ルールの活用

Microsoft Defender for Endpointなどを利用している場合、Attack Surface Reduction（ASR）ルールを活用できます。

たとえば、Officeアプリから子プロセスの作成をブロックする、OfficeマクロからWin32 APIの呼び出しをブロックする、難読化されたスクリプトや不審な実行を抑止する、といったルールを設定することで、ダウンローダーの初期実行や追加ペイロード取得を防ぎやすくなります。

ネットワークのセグメンテーション

ダウンローダーが侵入しても、社内ネットワーク全体へ横展開されないようにネットワークを分離します。一般PC、業務システム、開発環境、管理系ネットワーク、バックアップ環境を分けることで、被害範囲を限定しやすくなります。

脅威インテリジェンスの活用

脅威インテリジェンスを活用し、Emotet、IcedID、QakBotなどに関連する不審ドメイン、IPアドレス、ファイルハッシュ、メール件名、C2通信先などを把握します。

MISPやOpenCTIなどの脅威インテリジェンスプラットフォーム、セキュリティベンダーの情報、JPCERT/CCやIPAの注意喚起を確認し、ファイアウォール、DNSフィルタリング、EDR、SIEMへ反映することが重要です。

ダウンローダーに関連する被害・注意事例2選

事例1：Emotet感染で顧客情報流出・不審メール発生

ダウンローダー型マルウェアの危険性を示す代表的な事例が、Emotet感染です。サイバーセキュリティ.comの記事では、ナビインシュアランスサービスの業務用パソコンがEmotetに感染し、端末内に記録されていた顧客情報が流出した可能性がある事例が紹介されています。

Emotetは、メールの添付ファイルやリンクをきっかけに感染し、感染端末内のメール情報を悪用して不審メールを拡散することで知られています。また、他のマルウェアをダウンロードし、さらなる攻撃の足掛かりになることがあります。

このようなマルウェアは、最初の感染時点では大きな破壊活動が見えない場合があります。しかし、C2通信や追加マルウェアの取得を通じて、情報窃取、不審メール拡散、ランサムウェア感染などへ発展するおそれがあります。Emotetを検知した場合は、感染端末の隔離、メールアカウントの確認、同様の不審メールの調査、ネットワーク内の横展開確認が重要です。

Emotet感染で流出や不審メール、ナビインシュアランスサービス

2022.12.27

画像：株式会社ナビインシュアランスサービスより引用 株式会社ナビインシュアラン

ライオン株式会社がEmotet感染、社内外に不審メール発生

2022.2.7

画像：ライオン株式会社より引用 ライオン株式会社は2022

事例2：IcedIDなどのマルウェア感染が確認された国内インシデント

ダウンローダー型マルウェアは、Emotetだけではありません。サイバーセキュリティ.comの記事では、IPAが2021年上半期のサイバーインシデント被害事例を公表し、その中でIcedIDなどのマルウェア感染が検出された事例が紹介されています。

IcedIDは、もともとバンキングトロジャンとして知られていましたが、後に他のマルウェアや攻撃ツールの配布に使われるケースも確認されています。こうしたマルウェアに感染すると、認証情報の窃取、追加マルウェアのダウンロード、攻撃者による遠隔操作、ランサムウェア攻撃への発展などが懸念されます。

この事例は、メール添付ファイルや不審URLによる初期感染を軽視せず、検知時点で端末隔離、通信先確認、ログ調査、同一ネットワーク内の感染確認を行う重要性を示しています。ダウンローダーは「本命の攻撃前の準備段階」として使われることがあるため、早期発見と封じ込めが重要です。

IPA、2021年上半期のサイバーインシデント被害事例を公表

2021.8.31

画像：情報処理推進機構（IPA）より引用 情報処理推進機構（

よくある質問（FAQ）

Q. ダウンローダーに感染したらすぐにわかりますか？

多くの場合、すぐには気づきにくいです。ダウンローダーは、単体では目に見える被害を起こさず、外部通信や追加マルウェアの取得を静かに行うことがあります。

感染に気づくきっかけとしては、EDRのアラート、ネットワーク監視での不審通信、見覚えのないプロセス、メールアカウントからの不審メール送信、ウイルス対策ソフトの検知などがあります。検知した場合は、端末単体の問題と考えず、ネットワーク全体の調査が必要です。

Q. ダウンローダーとウイルスはどう違いますか？

一般的に「ウイルス」は、ファイルに寄生して自己複製するマルウェアを指します。一方、ダウンローダーは、追加のマルウェアや攻撃ツールを外部から取得する機能に重点を置いたマルウェアです。

ただし、実際のマルウェアは複数の機能を持つことが多く、ダウンローダー機能、情報窃取機能、ワーム機能、遠隔操作機能などを併せ持つ場合もあります。そのため、分類名だけで安全性を判断せず、実際の挙動を確認することが重要です。

Q. Officeマクロを無効にするだけでダウンローダーを防げますか？

Officeマクロの無効化は有効な対策の一つですが、それだけでは不十分です。ダウンローダーは、マクロ以外にも、ZIP・ISO・LNKファイル、不正URL、ブラウザやアプリの脆弱性、SEOポイゾニング、マルバタイジングなどを経由して侵入することがあります。

マクロ制御に加えて、メールゲートウェイ、サンドボックス検査、EDR、URLフィルタリング、脆弱性パッチ適用、従業員教育を組み合わせた多層防御が重要です。

Q. ダウンローダーを発見したらどうすればいいですか？

まず、組織のインシデント対応手順に従って、感染が疑われる端末を隔離します。EDRを導入している場合は、EDRの隔離機能を使うことで証拠を残しながら通信を遮断できる場合があります。

その後、実行されたファイル、通信先、作成されたファイル、起動されたプロセス、認証情報の使用状況、同一ネットワーク内の他端末への影響を調査します。必要に応じて、MSSPやインシデント対応の専門業者に相談してください。

Q. LOLBinsを悪用したダウンローダーはウイルス対策ソフトで検知できますか？

従来のシグネチャベースのウイルス対策ソフトだけでは検知が難しい場合があります。certutil.exe、PowerShell、mshta.exeなどは正規のWindowsツールであり、ファイル名だけでは不審と判断しにくいためです。

LOLBinsの悪用を検知するには、正規ツールが外部URLへ接続する、スクリプトをダウンロードして実行する、Officeアプリから不審な子プロセスが起動する、といったふるまいを監視する必要があります。EDR、ASRルール、AppLocker、Windows Defender Application Control、SIEMによるログ監視を組み合わせることが有効です。

まとめ

ダウンローダーとは、感染したコンピューターから外部のサーバーへ通信し、追加のマルウェアや攻撃ツールをダウンロード・実行する機能を持つ悪意あるプログラムです。自分自身に追加マルウェアを内包するドロッパーとは異なり、外部通信によって後からペイロードを取得する点が特徴です。

Emotet、IcedID、GuLoader、QakBotなどは、ダウンローダー機能を持つ代表的なマルウェアとして知られています。多くの場合、フィッシングメール、添付ファイル、不正URL、SEOポイゾニング、マルバタイジングなどをきっかけに侵入し、追加マルウェアや攻撃ツールを呼び込むことで、多段階攻撃の起点になります。

対策としては、Officeマクロの制御、メールゲートウェイやサンドボックス検査、EDRによるふるまい検知、LOLBins悪用の監視、ASRルール、AppLockerやWindows Defender Application Control、ネットワークのセグメンテーション、脅威インテリジェンスの活用が重要です。

ダウンローダーを「小さなマルウェア」として放置すると、後から情報窃取やランサムウェア被害へ発展する可能性があります。検知した時点で端末隔離、通信先確認、ログ調査、横展開確認を行い、被害が拡大する前に封じ込めることが重要です。

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから