ポリモーフィック型マルウェアとは？ぽりもーふぃっくがたまるうぇあ
ポリモーフィック型マルウェアとは、感染や増殖のたびに暗号化の鍵と復号ルーチンを作り替え、ファイル上のバイト列を毎回変化させることで、既知パターンとの照合による検出を逃れるマルウェア。動作させたときの振る舞いは同じままで、静的な見た目だけが変わる点が特徴である。復号ルーチンの命令列そのものを毎回組み替えるため、亜種を1つ捕まえて特徴を抽出しても次の検体には当たらない。
最終更新：2026-10-06
この語が出る過去問を解く →背景
パターンマッチングによる検出は、検体を採取して特徴的なバイト列を抽出し、定義ファイルとして配布するという手順に依存している。攻撃側から見れば、配布までの時間を稼ぐか、そもそも一致するバイト列を残さないかのどちらかで無効化できる。後者を自動化したのがこの型で、1つの検体から実質無限の亜種が生まれるため、検出側は静的な特徴に頼る方針そのものの見直しを迫られた。
具体例
実行時に自分自身を復号する構造なので、メモリ上に展開されたあとのコードは毎回同じになる。Microsoft Defenderをはじめとする対策製品が、ファイルの見た目ではなく展開後のメモリ内容や実行時の挙動を判定材料に置いているのはこの性質を突いたものである。
試験での引っ掛け
パターンファイルを最新にしても検出できるとは限らない点が問われる。有効なのはビヘイビア法（挙動監視）やヒューリスティック検査である。なお、復号ルーチンを含めて本体のコードそのものを書き換えるものはメタモーフィック型と呼ばれ、区別して出題される。
関連用語
出た過去問
出典：令和3年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問16（IPA）
ポリモーフィック型マルウェアの説明として、適切なものはどれか。
正解：感染ごとにマルウェアのコードを異なる鍵で暗号化するなどの手法によって、過去に発見されたマルウェアのパターンでは検知されないようにする。
要点：ポリモーフィック型は形を変えてシグネチャ検知を逃れる
ポリモーフィック型マルウェアは、感染や増殖のたびに自分自身のコードを異なる鍵で暗号化するなどして見た目の形を変え、シグネチャ（パターン）による検知を逃れる。本体の動作は同じままなので、振る舞い検知やヒューリスティック検知が有効な対策となる。
出典：令和5年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問16（IPA）
ポリモーフィック型マルウェアの説明として、適切なものはどれか。
正解：感染ごとに自身のコードを異なる鍵で暗号化するなどの手法によって、過去に発見されたマルウェアのパターンでは検知されないようにする。
要点：ポリモーフィック型は形を変えてシグネチャ検知を回避する
ポリモーフィック型マルウェアは、感染するたびに自身のコードを別の鍵で暗号化するなどして見かけの形を変え、既知のパターン（シグネチャ）による検知をすり抜ける。復号ルーチンを経て実行される本体の動作は変わらないため、実行時の振る舞いを見る検知や、メモリ上での展開後の検査が有効な対策となる。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。