- EDRキラーとは、攻撃者がランサムウェアを実行する前に、守り役であるEDRなどのセキュリティソフトを狙って無効化するための専用ツールのことだ。
- 警備員を先に眠らせてから金庫を破るようなもので、検知の目を潰してから本命の暗号化を仕掛けるために生まれた。守る側のツールそのものが標的になっているのが厄介な点だ。
- これを知っておくと、EDRを入れたから安心という思い込みが危ういと分かり、権限管理や怪しいドライバ対策にまで自然と目が向くようになる。
この4コマは、ランサムウェア被害の現場で実際に起きている侵入の段取りを、番人と金庫に置き換えたケーススタディです。コマ①の番人がEDR、金庫が会社のデータにあたります。守りが効いている間は、攻撃者も簡単には手を出せません。ところがコマ②で番人に一杯を勧める場面こそ、EDRキラーが本領を発揮する瞬間を表しています。
実務的に見ると、この一杯を渡すには前提条件があります。攻撃者は先に管理者相当の強い権限を奪い、その力を使ってセキュリティソフトを止めにかかるのが定石です。コマ③で金庫が開くのは、暗号化という本命の攻撃が始まった合図にほかなりません。つまり被害の本番は、番人が眠った後に一気に進みます。
だからこそコマ④のデプロイ太郎は、金庫の鍵よりも先に番人を眠らせる相手を止めろと訴えています。EDRを導入するだけで満足せず、権限を奪われない設計と、無効化の兆候を見張る運用まで踏み込むことが、この物語から読み取るべき教訓です。
なぜEDRキラーがランサムウェア攻撃の必須装備になったのか？
EDRキラーが広まった理由は、攻撃側の分業が進んだことにあります。海外のセキュリティ専門メディアHelp Net Securityが2026年3月19日に報じたところによれば、ESET Researchは実際の攻撃で使われているEDRキラーを約90種類も追跡しています。攻撃者はまず高い権限を奪い、そこでEDRキラーを走らせて防御を止め、最後に暗号化ツールを実行するという流れが定番化しました。中でも主流とされるのが、正規だが脆弱なドライバを利用してカーネルレベルの操作権を得るBYOVDと呼ばれる手口です。守り役を正面から破るのではなく、内側から機能停止させる発想が、攻撃の成功率を押し上げています。
裏を返せば、権限さえ渡さなければEDRキラーは動き出せません。ESETが公開した2026年上半期の脅威レポート（観察期間は2025年12月から2026年5月）でも、EDRキラーはClickFix攻撃やQRコード詐欺と並ぶ主要な脅威として取り上げられました。国内でもITmedia（＠IT）が2026年7月にこの内容を報じています。導入した製品を過信せず、脆弱なドライバの一覧を把握して読み込みを制限する運用が、被害の分かれ目になると言えるでしょう。
EDRキラーのよくある誤解
EDRを入れていれば無効化は防げるという油断
EDRキラーは、そのEDR自体を止めることを目的に作られたツールです。高性能な製品を導入していても、管理者権限を奪われた後に機能を停止させられれば、検知も対応も働きません。守りの層を一枚増やすことと、その層が外されない仕組みを作ることは、まったく別の課題だと考えておく必要があります。
単体で悪さをするウイルスだと思い込む
EDRキラーは、それ自体が情報を盗んだりファイルを暗号化したりするわけではありません。役どころはあくまで露払いで、本命の攻撃が動きやすいように守りを削ぐ準備係です。単体では地味に見えても、この一手があるかないかで、後続のランサムウェアの被害規模が大きく変わってしまうのではないでしょうか。
高度な攻撃者だけが使う特殊技術という思い込み
かつては専門知識が要る手口でしたが、今はBYOVDのようにツール化・定型化が進み、参入障壁が下がっています。ESET Researchが約90種類も追跡している事実は、EDRキラーがもはや一部の凄腕だけのものではなく、攻撃現場で広く出回る道具になったことを示しています。
会話での使われ方
先月のインシデント、ログを追ったらランサムの前にEDRキラーが走ってました。EDRが落ちた数分後に一斉暗号化です。権限管理を見直さないと同じことが起きます。
社内のセキュリティ定例会議で、情シス担当者が課長にインシデントの調査結果を報告している場面。原因の順序を淡々と共有している。
御社のEDRは優秀ですが、最近はそのEDRキラーで無効化される事例が増えています。そこで、脆弱なドライバの読み込みをブロックする設定まで合わせてご提案させてください。
セキュリティ製品を扱うベンダーの営業担当が、導入を検討している顧客企業との商談で、追加対策を提案しているシーン。
EDRキラーって結局ウイルスなんですか？
新人エンジニアがチャットツールで先輩に素朴な疑問を投げかけた、業務の合間の短いやり取り。
EDRキラーとランサムウェアの違い
EDRキラーとランサムウェアは同じ攻撃の中で連携して使われるため混同されがちですが、担う役割はまったく異なります。攻撃の順序で捉えると違いが見えやすくなります。
| 比較観点 | EDRキラー | ランサムウェア |
|---|---|---|
| 目的 | 守り役のセキュリティソフトを無効化する | データを暗号化し身代金を要求する |
| 攻撃での役割 | 本命を通すための露払い・下準備 | 被害を直接生み出す本命 |
| 使われる順番 | 暗号化の直前に実行される | EDRが無効化された後に実行される |
| 対策の力点 | 権限管理・脆弱なドライバの制御 | バックアップ・復旧体制の整備 |
【まとめ】EDRキラーの3つのポイント
- 守りを眠らせる露払い役：EDRキラーは、本命のランサムウェアを通すために防御を先に止める下準備のツールだと捉える
- 権限を渡さない運用が効く：管理者権限の奪取が前提のため、最小権限と脆弱なドライバ制御で発動そのものを防ぐ
- 導入＝安心ではないと知る：EDRを入れただけで満足せず、無効化される前提で兆候を見張る発想へ切り替える
よくある質問
-
QEDRキラーはどうやってEDRを無効化するのですか？
-
A
正規だが脆弱なドライバを悪用して深い権限を得る手口が主流です。この手法はBYOVDと呼ばれ、攻撃者は署名済みのドライバを持ち込んでカーネルレベルの操作権を握り、その力でセキュリティソフトのプロセスを停止させます。前提として管理者相当の権限が奪われている点も見逃せません。
-
QEDRキラーに対してEDRやアンチウイルスは無力なのですか？
-
A
無力ではありませんが、過信は禁物です。権限を奪われる前であれば、EDR自身が不審なドライバの読み込みや停止操作を検知できる可能性は十分にあります。問題は管理者権限を握られた後で、そこからは守り役を止められてしまうため、権限管理と併用してこそ効果を発揮します。
-
QEDRキラーから会社を守るには何をすればいいですか？
-
A
権限を渡さない設計が最初の一手になります。日常業務で管理者権限を使わない最小権限の徹底、脆弱なドライバの読み込みを止めるブロックリストの適用、そして被害に備えたオフラインバックアップの三点が現実的です。EDRの導入はゴールではなく、その守りが外されない運用まで含めて対策と考えましょう。
-
QEDRキラーとランサムウェアとの違いは何ですか？
-
A
役割が正反対と言えるほど違います。EDRキラーは本命を通すために守りを止める露払いで、直接の被害は生みません。一方ランサムウェアはデータを暗号化して身代金を要求する本命そのものです。攻撃の順序としては、EDRキラーで防御を無効化してからランサムウェアが実行される、という関係になります。
EDRキラーと一緒に知っておきたい用語
| 用語 | EDRキラーとの関連 |
|---|---|
| EDR | EDRキラーが無効化を狙う、まさにその防御製品そのもの |
| ランサムウェア | EDRキラーが露払いを務めた後に実行される本命の攻撃 |
| XDR | EDR単体の死角を補う統合型検知。無効化への備えとして注目される |
| 脆弱性 | BYOVD手法が悪用する、正規ドライバに潜む弱点 |
| マルウェア | EDRキラー自体が分類される、悪意あるソフトウェアの総称 |
【出典】参考URL
https://www.helpnetsecurity.com/2026/03/19/edr-killer-ransomware-attacks/：ESET Researchが約90種類のEDRキラーを実際の悪用として追跡していること、攻撃フローとBYOVD手法の根拠
https://atmarkit.itmedia.co.jp/ait/articles/2607/10/news062.html：ESET2026年上半期脅威レポート（観察期間2025年12月〜2026年5月）でEDRキラーが主要脅威として紹介されたことの根拠
https://news.sophos.com/ja-jp/2025/08/06/shared-secret-edr-killer-in-the-kill-chain-jp/：EDRキラーがランサムウェアのキルチェーンで標準装備化している実態の根拠
コメント