パソコンの動作が急に重くなったり、CPUやメモリ、ディスク使用率が高い状態が続いたりすると、「ウイルスが裏で動いているのではないか」と不安になることがあります。Windowsではタスクマネージャーを使うことで、現在動作しているプロセスやCPU・メモリ・ディスク・ネットワーク使用率を確認できます。

ただし、タスクマネージャーに見慣れないプロセスが表示されているだけで、ウイルス感染と断定することはできません。Windowsでは、svchost.exeやRuntimeBroker.exeなどのシステムプロセスが複数動作することもあり、プロセス名だけで判断すると正常な処理を誤って停止してしまうおそれがあります。

一方で、正規プロセスに似せた名前を使いながら不自然な場所から実行されている、タスクを終了してもすぐ復活する、Windows Securityやタスクマネージャーが勝手に無効化されるといった挙動が重なる場合は、マルウェアや不要な常駐プログラムを疑う必要があります。

そのため、タスクマネージャーでは「プロセス名」だけを見るのではなく、実行ファイルの保存場所、デジタル署名、リソース使用率、自動起動設定などを組み合わせて確認することが重要です。

そこで本記事では、タスクマネージャーを使ってウイルス感染の可能性を確認する方法、怪しいプロセスの見分け方、Microsoft Defenderを使ったスキャン、スタートアップやタスクスケジューラの確認、不審なプロセスが消えない場合にフォレンジック調査で確認できることまでを解説します。

タスクマネージャーでウイルス感染を疑う主なサイン

タスクマネージャーでは、プロセス名だけではなく、CPU・メモリ・ディスク・ネットワーク使用率や実行場所などを確認することで、不審なプログラムを絞り込みやすくなります。

CPU・GPU・ディスク使用率が高い状態が続く

何も操作していない状態でもCPUやGPU、ディスク使用率が高止まりしている場合は、バックグラウンドで何らかの処理が継続している可能性があります。

ただし、Windows Update、バックアップ、検索インデックス作成、セキュリティスキャンなど正規の処理でも一時的に負荷が高くなることがあります。

そのため、負荷が高いという事実だけで感染と判断せず、どのプロセスが消費しているのかを確認します。

見覚えのないプロセスが常時動作している

タスクマネージャーに、導入した覚えのないソフトウェアや意味不明な名前のプロセスが表示されている場合は、実体を確認します。

ファイルの保存場所や発行元、デジタル署名などから、正規ソフトウェアかどうかを切り分けてください。

正規プロセスに似た不自然な名前がある

マルウェアでは、Windowsの正規プロセスに似た名前を使用して目立ちにくくする場合があります。

たとえば、正規のsvchost.exeに似せてsvch0st.exeやscvhost.exeなどの名称を使うケースがあります。

また、ファイル名が正しく見えても、%AppData%や%Temp%、Downloadsフォルダなど不自然な場所から実行されている場合は確認が必要です。

タスクを終了してもすぐ復活する

見覚えのないプロセスを終了しても数秒後に再起動する場合は、サービス、タスクスケジューラ、スタートアップなどに自動起動設定が登録されている可能性があります。

ただし、Windowsの正規サービスも自動的に再起動するため、復活することだけでマルウェアとは判断できません。

タスクマネージャーやWindows Securityが使えない

タスクマネージャー、Windows Update、Windows Security、レジストリエディタなどが突然開けなくなった場合は注意が必要です。

マルウェアがセキュリティ機能を妨害するケースがありますが、会社支給PCではGPOやMDMによって管理者が機能を制限している場合もあります。

「負荷が高い」「知らないプロセスがある」だけではなく、実行場所・署名・自動起動・セキュリティ機能の異常が複数重なるほど、詳しい確認が必要です。

タスクマネージャーで怪しいプロセスを確認する方法

タスクマネージャーからウイルス感染の可能性を調べる場合は、プロセス名だけでなく、実行ファイルの保存場所や署名まで確認します。

CPU・メモリ・ディスク・ネットワーク使用率を確認する

Ctrl + Shift + Escを押してタスクマネージャーを開きます。

「プロセス」タブでCPU、メモリ、ディスク、ネットワークの列をクリックし、使用率が高い順に並べます。

アイドル状態にもかかわらず、特定の見覚えのないプロセスが長時間高負荷になっている場合は確認対象になります。

「ファイルの場所を開く」で実行場所を確認する

確認したいプロセスを右クリックし、「ファイルの場所を開く」を選択します。

Windowsのシステムファイルに見えるにもかかわらず、ユーザーのAppData、Temp、Downloadsなどから実行されている場合は注意してください。

デジタル署名・発行元を確認する

実行ファイルを右クリックして「プロパティ」を開き、「デジタル署名」や発行元を確認します。

Microsoftや正規ベンダーの署名があることは判断材料になりますが、署名があるだけで完全に安全とは限りません。

プロセス名とファイルパスを記録する

不審なプロセスを見つけても、すぐ削除・終了する前に、以下を記録しておくと後の調査に役立ちます。

• プロセス名
• PID
• フルパス
• 発行元
• CPU・メモリ使用率
• 発見日時
• 可能であればファイルハッシュ

タスクマネージャーが開けない場合に確認すること

タスクマネージャーが突然開けなくなった場合は、マルウェアによる妨害だけでなく、Windows設定や組織の管理ポリシーも確認する必要があります。

Ctrl + Shift + Escで起動できるか確認する

ショートカットから開けない場合でも、別の起動方法で確認します。

Ctrl + Alt + Deleteから起動する

Ctrl + Alt + Deleteを押し、表示された画面からタスクマネージャーを選択します。

会社の管理ポリシーで無効化されていないか確認する

会社支給PCでは、GPOやMDMによってタスクマネージャーの利用が制限されている場合があります。

業務端末では自己判断でポリシーを変更せず、情シスや管理者に確認してください。

Windows Securityなど他の機能も使えないか確認する

タスクマネージャーだけでなく、Windows Update、Windows Security、レジストリエディタなど複数の管理機能が同時に使えなくなっている場合は、より慎重な確認が必要です。

Microsoft Defenderでウイルス感染を確認する方法

タスクマネージャーだけで感染を断定することはできないため、Windows標準のMicrosoft Defenderなどを使って端末をスキャンします。

フルスキャンを実行する

「Windows セキュリティ」→「ウイルスと脅威の防止」→「スキャンのオプション」からフルスキャンを実施します。

クイックスキャンより時間はかかりますが、端末内を広く確認できます。

Microsoft Defenderオフラインスキャンを実行する

強い感染疑いがある場合は、Microsoft Defenderオフラインスキャンも検討します。

通常のWindowsが完全に動作していない状態でスキャンするため、OS起動中に自己防御するタイプのマルウェア確認に有効な場合があります。

ただし、再起動が発生するため、フォレンジック調査や証拠保全が必要な端末では、実行前に方針を確認してください。

保護の履歴を確認する

検出された脅威の名前、ファイルパス、検出日時、隔離・削除されたかどうかを確認します。

検知内容はスクリーンショットなどで残しておくと、再発時や専門調査時の手掛かりになります。

Defenderで何も検出されなかったことだけを理由に「絶対に感染していない」と判断しないことも重要です。未知のマルウェアや正規ツールを悪用する攻撃では、別のログや挙動確認が必要になる場合があります。

スタートアップ・タスクスケジューラ・サービスも確認する

不審なプロセスを終了しても再び起動する場合は、自動起動の仕組みに登録されている可能性があります。

スタートアップアプリ

タスクマネージャーの「スタートアップ アプリ」から、Windows起動時に自動実行されるプログラムを確認します。

見覚えのないものがあっても、名称だけで無効化せず、発行元や実行ファイルを確認してください。

タスクスケジューラ

タスクスケジューラには、特定の時刻やログオン時にプログラムを実行する設定が登録できます。

不審な名前、ランダム文字列、AppDataやTemp内のファイルを実行するタスクなどがないか確認します。

Windowsサービス

マルウェアがWindowsサービスとして常駐する場合もあります。

見覚えのないサービスを発見しても、正規ドライバやソフトウェアの可能性があるため、削除前に実体を確認してください。

ブラウザ拡張機能

不審な広告表示や認証情報窃取が疑われる場合は、ChromeやEdgeなどのブラウザ拡張機能も確認します。

情報窃取型マルウェアが疑われる場合の対処法

不審なプロセスがブラウザ情報や認証情報を盗むインフォスティーラーなどだった場合は、マルウェアを削除するだけでは不十分です。

端末をネットワークから隔離する

不審な外部通信、情報窃取、ランサムウェアなどが疑われる場合は、Wi-Fiを切るかLANケーブルを外して端末をネットワークから隔離します。

業務端末の場合は組織のIR・CSIRT手順を優先してください。

感染疑いPCではパスワードを変更しない

端末に情報窃取マルウェアが残っている場合、そのPCで新しいパスワードを入力すると変更後の認証情報まで盗まれる可能性があります。

別端末から重要アカウントを保護する

信頼できる別の端末から、メール、Microsoftアカウント、Google、金融、SNS、クラウドなど重要度の高いサービスを優先して保護します。

既存セッションを失効させる

パスワード変更だけでなく、ログイン中の端末やセッション、OAuth連携、MFA登録情報も確認してください。

タスクマネージャーでウイルスを確認するときにやってはいけないこと

見慣れないプロセスを片っ端から終了する

Windowsの正常動作に必要なプロセスを停止すると、OSやアプリが不安定になる可能性があります。

プロセス名だけでウイルスと断定する

同じ名前でも、実行場所やデジタル署名によって意味が異なります。

証拠を残さずファイルを削除する

感染経路や情報流出範囲を調査する必要がある場合、削除によって重要な痕跡が失われる可能性があります。

感染疑いPCで重要パスワードを変更する

情報窃取型マルウェアが残っている場合、新しいパスワードまで盗まれるおそれがあります。

業務端末を自己判断で初期化する

会社PCの場合はログやEDRテレメトリなどがインシデント調査に必要になるため、情シス・CSIRTへ先に報告します。

タスクマネージャーで見つけた不審プロセスをフォレンジック調査で確認する方法

タスクマネージャーは現在動いているプロセスを確認するには有効ですが、それだけで感染経路や情報流出の有無まで判断することは困難です。

不審プロセスの実行ファイルと起動経路

端末に残る実行履歴やファイル情報を確認し、どのプログラムから不審プロセスが起動したのかを調査します。

スタートアップ・タスク・サービスによる永続化

マルウェアが再起動後も動作するよう、自動起動設定を追加していないか確認します。

不審な外部通信の有無

ネットワークや端末上の記録から、不審なIPアドレスやドメインへの通信が発生していないか確認します。

認証情報やファイルが盗まれた可能性

インフォスティーラーが疑われる場合は、ブラウザ保存パスワード、Cookie、セッショントークン、ファイルなどが窃取された可能性も調査対象になります。

感染時刻・侵入経路・他端末への影響

不審ファイルのダウンロード、実行、外部通信、アカウント異常などを時系列で整理し、どの操作をきっかけに感染した可能性があるか確認します。

怪しいプロセスが消えない・感染有無を判断できない場合はフォレンジック調査会社に相談する

高負荷の原因がWindows Updateや正規アプリであることを確認でき、Defenderのスキャン後も異常がない場合は、専門調査まで必要にならないケースもあります。

一方、見覚えのないプロセスが終了しても復活する、Windows Securityが勝手に無効化される、不審な外部通信がある、マルウェアが検出された、アカウントに身に覚えのないログインがある場合は、端末全体の調査を検討した方がよいでしょう。

特に、不審プロセスを自己判断で強制終了したり、実行ファイルを削除したり、端末を初期化したりすると、どのプログラムが侵入し、どの経路から起動し、外部へ何を送信した可能性があるのかを確認する痕跡が失われる場合があります。

不審な兆候を確認した場合、フォレンジック調査会社への相談をお勧めします。フォレンジック調査会社では、システムがマルウェアに感染しているか、どのファイル・プロセスが実行されたか、不審な通信が発生していないか、認証情報や重要データが外部へ送信された可能性があるかなどを詳細に調査できます。

こうした専門的な調査によって問題の全体像を整理できれば、単なる不審プロセスなのか、情報窃取型マルウェアやランサムウェアなどにつながる侵害なのかを切り分け、必要な復旧・認証情報変更・再発防止策を判断しやすくなります。

おすすめのフォレンジック調査会社

公式サイトデジタルデータフォレンジック

編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。

デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。

24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。

【厳格調査】デジタルデータフォレンジックの評判は？口コミや評価、料金体系からサービスを調査

2024.3.5

フォレンジックとは「パソコンやHDD、スマートフォンなどのデジタル端末に残されたログやデータ類を抽出し、サイバーセキュリティ調査や法的紛争支援などを行う」技術です。 その中でも【

【2026年版】ハッキング調査会社を見分けるポイント6選！費用相場や悪徳業者の特徴も解説

2024.3.5

「パソコンが遠隔操作され、詐欺にあったかもしれない…」 「会社のパソコンのログを確認したら、未知のIPアドレスから不正アクセスを受けた痕跡を見

まとめ

タスクマネージャーに見慣れないプロセスが表示されていても、それだけでウイルス感染とは断定できません。まずCPU・メモリ・ディスク・ネットワーク使用率を確認し、対象プロセスの実行ファイルの場所やデジタル署名、発行元などを確認することが重要です。

正規プロセスに似た名前でもAppDataやTempなど不自然な場所から実行されている、タスク終了後も復活する、Windows Securityやタスクマネージャーなどの管理機能が使えない場合は、スタートアップ、タスクスケジューラ、サービスなども確認してください。

また、Microsoft Defenderのフルスキャンやオフラインスキャンを使うことで、既知のマルウェアを検出できる場合があります。ただし、スキャンで何も見つからないことだけで侵害なしとは断定できません。

不審プロセスが繰り返し起動する、不審な外部通信やアカウント異常がある、情報窃取型マルウェアが疑われる場合は、証拠を不用意に削除・初期化せず、必要に応じてフォレンジック調査で実行履歴、永続化、外部通信、認証情報窃取、感染経路まで確認することが重要です。