Trojan Horse (トロイの木馬) #

Trojan horse (トロイの木馬) は 「正規ソフトウェアに偽装し、ユーザに自発的に実行させる」マルウェア の総称。ホメロス『イリアス』 に出てくる「巨大な木馬の中に兵士を隠し、敵の城内に運び込ませた」ギリシャ神話のエピソードから命名されている。「敵自身に城門を開けさせる」という発想がそのまま、「ユーザ自身に install ボタンを押させる」攻撃モデルに対応する。

ウイルス (Virus) やワーム (Worm) のように 自己増殖する わけでも、未パッチの脆弱性を必要とする わけでもないため、コードに 1 つのバグもない完全なシステムでも感染が成立する。**最初の一歩は常に「ユーザの判断ミス」**であり、これが Trojan を 30 年以上にわたって主要な攻撃面にしている本質である。

本稿は 「Trojan が Virus / Worm / Ransomware / RAT 等とどう関係しているか」 を 1 枚で整理し、現代の Trojan の機能別サブ分類、配送から目的達成までの攻撃チェーン (MITRE ATT&CK 縮図) をもう 1 枚で展開し、持続化 / 検出回避 / 代表事件 / Malware-as-a-Service エコシステム / 防御 までを扱う。「Trojan は古い概念だが、2026 年現代の攻撃の入口は依然 Trojan が圧倒的に多い」 — この事実を踏まえた地図を頭に入れることが目標。

1. マルウェアの分類における Trojan の位置 #

「ウイルス」「マルウェア」「Trojan」「ランサムウェア」を全部同じ意味で使っているニュース記事は多いが、技術的には機能と性質で明確な区別がある。1 つのマルウェアが複数のカテゴリに同時に当てはまることもある (例: WannaCry = Worm + Ransomware) ため、**「分類の地図」**を持っておくと整理が楽。

ポイント:

• Virus と Worm と Trojan は「拡散方法」の分類。何を運ぶか (Ransomware / Stealer / RAT) と は独立した軸。「WannaCry はランサムウェアでありワーム」「Emotet はトロイの木馬であり Banking Trojan であり Botnet client であり Loader」のように多重に当てはまるのが普通。
• **Trojan は「自己増殖しない」**点で Virus / Worm と違う。配信は人間が起点 (フィッシング、海賊版 DL、偽広告) となる。
• Backdoor (RAT) は「Trojan 経由で侵入された後、攻撃者が遠隔操作する」インタフェース部分。Cobalt Strike (本来は商用ペンテストツール) が犯罪者の標準ツールになっている事実は、業界の闇。
• Rootkit は「他のマルウェアを見えなくする」隠匿層。Trojan 自身が rootkit を兼ねていることもある。

2. Trojan の現代的な機能別サブ分類 #

Trojan の機能をより細かく分類すると、犯罪者の経済的目的ごとに分かれる:

「現代の Trojan は単機能でなくモジュラ」 — Emotet が初期侵入し、Trickbot を呼び込み、Trickbot が BloodHound で AD を偵察し、最後に Ryuk / Conti で暗号化、という多段攻撃チェーンが標準。Initial Access Broker (IAB) という、「初期侵入だけ専門に売る」業者まで存在する分業化が進んでいる。

3. 配送経路 — 2026 年の現実 #

Trojan がユーザの PC に届くまでの経路は、過去 10 年でかなり変化した。Office マクロ封印 (Microsoft 2022) や OS 側のセキュリティ強化 で、昔ながらの方法が通じなくなったぶん、新しい配送形態が次々現れている:

• フィッシングメールの添付 — 依然として圧倒的トップ。.docm (マクロ付き Word) はマクロ封印で衰退、代わりに .iso / .lnk / .one (OneNote) / .svg / .html smuggling が流行
• HTML smuggling — メール本文の HTML がブラウザで JavaScript で zip を組み立てる。EDR がファイル添付として検出できない
• Malvertising (悪意ある広告) — 検索結果上部の有料広告で 「正規ソフト ダウンロード」 を装う (実例: PuTTY, Notion, OBS, VS Code)。Google Ads がしばしばクリーンアップに失敗する古典的問題
• 海賊版・クラックソフト — Adobe / Office / ゲームの crack に Trojan が同梱される。「無料で手に入る何か」には常にリスク
• ソーシャルエンジニアリング電話 (Vishing) — 「IT サポートです、PC が乗っ取られています、このリンクからツールを入れて」。AnyDesk / TeamViewer 系の正規ツールを攻撃者が遠隔操作で使う
• USB ドロップ — 駐車場に「経理 2026」と書かれた USB を 100 個撒く古典手法。今でも企業ターゲットで成功する
• Drive-by download — ブラウザ脆弱性を踏み台に訪問するだけで感染。Chrome/Firefox/Edge の sandbox により困難になっているがゼロデイで成立
• 供給チェーン (Supply Chain) — 正規ソフトのアップデート機構を汚染 して全顧客に配布。SolarWinds Sunburst (2020) / 3CX (2023) / XZ utils backdoor (2024) が代表
• Living off Trusted Sites — GitHub / Discord / Telegram / Cloudflare R2 / AWS S3 をマルウェア配布や C2 通信に流用。「まさかこんな大手サービスが」が攻撃者の盾になる

4. 攻撃チェーン — 初期侵入から目的達成まで #

Trojan の動きを MITRE ATT&CK の Tactics 順 に追うと、**「クリックから ransomware 起動まで」**の道筋が見える。Lockheed Martin の Cyber Kill Chain とも対応する。

このチェーンのどこか 1 段で止められれば被害は最小化できる:

• 段階 ①〜② で止める = メールフィルタ / マクロ無効化 / 海賊版禁止 / Application Allowlisting (一番効果的)
• 段階 ③〜⑤ で止める = EDR の挙動検知 / プロキシでの C2 ドメイン遮断 (現代の主戦場)
• 段階 ⑥〜⑨ で止める = LSASS 保護 / ネットワークセグメンテーション / Tier 管理 / honey tokens
• 段階 ⑩ で止める = ほぼ手遅れ。バックアップから復旧が事業継続の最後の砦

5. 持続化と検出回避 — 動き続ける技術 #

マルウェアの最大の課題は「再起動後も生き残る」こと。Windows での持続化 (Persistence) の代表手法:

• Registry Run keys — HKCU\Software\Microsoft\Windows\CurrentVersion\Run にエントリを書き込む。一番古典的で一番見つかりやすい
• Scheduled Task — schtasks /create でログオン時起動を仕込む
• Service — sc create で Windows サービスとして登録 (system 権限で動く)
• DLL hijacking — 正規 EXE が探す DLL を先に読み込まれる場所に配置
• COM hijacking — Registry の COM CLSID を書換え
• WMI Event subscription — WMI イベントで定期実行を仕込む (検出が難しい)
• Bootkit / UEFI rootkit — OS 起動より前から走る (LoJax, MoonBounce, BlackLotus)

検出回避 (Defense Evasion) の典型:

• Packer / Crypter — UPX / Themida / 商用 packer / カスタム crypter でコードを暗号化して実行時展開。AV シグネチャを避ける
• Polymorphic / Metamorphic — 感染のたびにコードを変形し、シグネチャが効かなくする
• コード署名証明書の濫用 — 盗んだ正規ベンダーの証明書で署名 (Stuxnet が Realtek / JMicron の証明書を使用)
• Process injection / hollowing — 正規プロセス (explorer.exe, svchost.exe) の中に自分のコードを注入
• Living off the Land Binaries (LOLBins) — powershell, mshta, certutil, regsvr32, rundll32, bitsadmin などの正規システムツールでマルウェア相当の動作を実現 (LOLBAS Project が一覧化)
• Sandbox 検出 — VM / sandbox の特徴 (低 RAM, sleep を加速, 特定 driver の有無) を見て自己終了
• Sleep / Stalling — 数時間〜数日寝てから動く。短時間しか動かない sandbox 解析を回避

6. 歴史的な代表 Trojan #

「Trojan は 35 年で衰えるどころか、年々高度化している」が実情。特に供給チェーン攻撃は防御が極めて困難で、XZ utils 事件 (2024) が**「ほぼ全 Linux に backdoor が入る寸前だった**」事実は業界に衝撃を与えた。

7. Malware-as-a-Service と現代エコシステム #

「単独のハッカーが書いて配る」モデルから、「分業化された商業エコシステム」に進化している。ソフトウェア業界そのもののような構造を持つ:

• MaaS (Malware-as-a-Service) — マルウェア作者が月額/利用料で他犯罪者に貸し出す。RedLine Stealer は月 $200、LockBit は身代金の 20% を作者へ
• RaaS (Ransomware-as-a-Service) — 上の特化形。「アフィリエイト」が侵入を担当し、暗号化と交渉は本部
• IAB (Initial Access Brokers) — 「企業 X の社内ネットへの足場 (RDP/VPN 認証情報)」を 1 件 $1,000〜$50,000 で取引するブローカー。Russian Market / Genesis Market 等のフォーラム経由
• Stealer ログ (combo list) — 感染端末から抽出した 「URL + ID + パスワード」のセットが 1 ボット分で $2〜$20。これを買ってそのまま攻撃に使う
• Crypter / Packer サービス — 「あなたのマルウェアを AV 検知されない形に packing します」を月額で提供
• Bullet-proof hosting — 法執行から守られる (ほぼ) サーバ提供サービス。多くがロシア・東欧・中国

「侵入は IAB から買い、暗号化は RaaS で、stealer ログは別で買う」という完全に分業化された経済が、身代金 $50M+ クラスの大型攻撃を可能にしている。MGM Resorts (2023, $100M+ 損失) や Change Healthcare (2024, $22M 身代金支払い + $872M 損失) はこのモデルから生まれた事件。

8. 防御 — 唯一の根本対策と現実的な多層防御 #

「信用できないコードを実行しない」 が 唯一の根本対策。だが普通のユーザに完璧な判断を求めるのは非現実的なので、多層で防御するのが標準形:

個人ユーザの最低 5 つ: ① メールの添付は基本開かない / ② OS とブラウザの自動更新を ON / ③ MFA を有効化 (Authenticator アプリ) / ④ 海賊版・cracked SW を入れない / ⑤ MS Defender / macOS XProtect / Linux ClamAV を有効に。これだけで 90% の Trojan 攻撃は無力化できる。

9. 解析アプローチ — 怪しいファイルが手元に来たら #

疑わしいファイルを入手したとき (例: 不審な添付メール、共有 PC で見つけた exe) の解析手順:

# 最低限の確認シーケンス (Linux ホスト想定)
file suspicious.exe                       # ファイル形式
sha256sum suspicious.exe                  # ハッシュ → VT 検索キー
strings -a -n 8 suspicious.exe | head -50 # 文字列を見る (URL / API 名 / mutex 名)
exiftool suspicious.exe                   # メタデータ
upx -d suspicious.exe 2>/dev/null         # UPX packer なら解凍
clamscan -i suspicious.exe                # 簡易 AV スキャン

# Sandbox 提出 (Any.Run はブラウザから / VirusTotal は CLI 可)
curl -F "file=@suspicious.exe" -H "x-apikey: YOUR_KEY" \
     "https://www.virustotal.com/api/v3/files"

絶対に本番環境やプライベート PC では実行しない。隔離された VM (VMware / VirtualBox スナップショット付き) か 使い捨てクラウド VM、または オンライン sandbox (Any.Run) で。ネットワークも切るか、アナライザ用の MITM プロキシ経由に限定するのが基本。

Trojan horse は、**「自己増殖でも脆弱性悪用でもなく、ユーザに自発的に install させる」**という、人間心理を最大の脆弱性として狙うマルウェア配送モデルである。コードがいかに正しくても、暗号がいかに強くても、ユーザが「実行」をクリックすれば終わりという性質が、Trojan を 35 年経っても主要攻撃クラスに留め続けている理由。

現代の特徴は 「単独で完結しない」こと — Emotet → Trickbot → Conti のような多段チェーン、Initial Access Broker から RaaS まで完全に分業化された商業エコシステム、SolarWinds / 3CX / XZ utils のような供給チェーン、Pegasus のような国家系商用スパイウェア — どこを切り取っても産業化している。

防御は 「信用できないコードを実行しない」 が根本だが、普通のユーザに完璧を求めるのは無理なので、メールフィルタ + マクロ無効化 + EDR + MFA + バックアップ + パッチ + Application Allowlisting の多層防御が現実解。「1 つの層で全部防ぐ」考えではなく、「Trojan が必ず最初の数層を突破することを前提に、後の段階でどう止めるか」が 2026 年のセキュリティ設計の標準的な発想である。