正解：ア
各選択肢の解説
ア不正な実行ファイルをディスクに残さず、OSに標準で備わる正規のツールを使ってメモリ上で動作するから。
正解。照合する相手のファイルがディスク上に無いため、特徴の一致を調べる パターンマッチングでは手掛かりが得られません。使われるのがOS標準の正規ツール である点も、通常の操作と見分けにくくしています。
イ感染した端末のファイルを次々に暗号化するので、対策ソフトが中身を読み取れなくなってしまうから。
誤り。ファイルを暗号化して身代金を要求するのはランサムウェアの動作で、 暗号化されるのは利用者のデータです。対策ソフトが自分の検査対象を 読めなくなるわけではありません。「暗号化」の語につられやすい誤りです。
ウ利用者が正規のソフトウェアだと思い込んで自分で導入するので、対策ソフトが検査の対象から外すから。
誤り。正規のソフトに見せかけて利用者自身に導入させるのはトロイの木馬の手口です。 この場合もプログラムはファイルとして端末に残るので、パターンマッチングで 検知できる余地があります。利用者が導入したという理由で検査対象から外れることもありません。
エWebサイトを閲覧しただけで感染し、メールの添付ファイルを経由しないので対策ソフトが働かないから。
誤り。閲覧しただけで感染させる手口はドライブバイダウンロードと呼ばれ、 これは侵入の経路にあたる話です。対策ソフトはメール以外の経路でも検査するので、 経路の違いが検知されにくさの理由にはなりません。
理解を深めるために
「置いていくもの」が無いマルウェア
従来のマルウェア対策は、空港の手荷物検査に似ています。持ち込まれた荷物（ファイル）を 開けて、危険物リスト（マルウェア定義ファイル）と照らし合わせる方式です。
ファイルレスマルウェアは、この検査をそもそも受けません。不正なプログラムを ファイルとしてディスクに置かず、OSに最初から入っている正規のツールに 命令を与えて、メモリ上だけで悪事を働かせるからです。
なぜ正規のツールが使われるのか
Windowsのコマンドを自動実行する仕組みなど、OS標準のツールは管理者が日常的に使う 正規のプログラムです。これを禁止すれば業務が止まりますし、動いていること自体は 不審ではありません。攻撃者は、あらかじめ端末にある道具を借りて目的を果たします。
- ディスクに痕跡が残りにくく、電源を切ると消えてしまうため調査も難しい
- 動作そのものは正規ツールの実行なので、実行ファイル名では判別できない
- 対抗策は、ファイルではなく振る舞いを見る検知（ビヘイビア法）が中心になる
紛らわしいものとの違い
| 用語 | どこが特徴か |
|---|---|
| ファイルレスマルウェア | 不正な実行ファイルを残さず、メモリ上で正規ツールを悪用する |
| ランサムウェア | データを暗号化し、復旧と引き換えに金銭を要求する |
| トロイの木馬 | 正規のソフトに見せかけて導入させ、裏で不正動作する |
| ドライブバイダウンロード | Webサイトの閲覧だけで感染させる侵入の経路 |
試験では、**「何をするマルウェアか（目的）」と「どう隠れるか（検知回避）」**の どちらを問われているかを読み分けます。ファイルレスは後者に属する特徴です。