2014年7月13日ここ最近、自社ウェブサービスのご提供をする傍ら、お客様の業務用PCの故障診断などをする機会が増えています。その中で特に多いのが、マルウェア感染(不正プログラムのうっかりインストールなど)によって、PCの動作が重くなったり、アラートが出て使えなくなったり、という症状による対応依頼です。これらは、セキュリティソフトとしてインストールを促すものが多く、うっかりインストールしてしまうことが少なくないようです。この類のソフトの多くは迷惑ではありますが、削除は比較的容易で、アプリケーション名で検索すれば、削除方法を記したページもすぐに見つかります。Pro』はかなり悪質なソフトで、アプリケーションをインストールするだけでなく、トロイの木馬に化けるファイルも埋め込んでしまうという、かなり凶悪なソフトウェアでした。これらのマルウェアの削除方法を記載しているページ(サイト)の多くはアフィリエイトを目的としてる?のか、表面的な駆除方法は記載されていますが、実害を経験していないと思われるサイトが多いです。このソフトそのものの駆除方法は前述のサイトを検索・参照していただくとして、こちらでは、仕掛けられるトロイの木馬(ウィルス)の確認方法と駆除方法を記載したいと思います。削除方法は、こちらが参考になります。このソフトによって埋め込まれてしまうトロイの木馬は、\windows\system32\baspstat.dllというファイル名で作成されるようです。(他のファイル名もあるかもしれません、念のため)このファイルは作成されてしまうと、セキュリティソフトを起動していても関係なくトロイとしての機能が発動してしまいます。起動トリガーは不明ですが、トロイが活性化されてしまうとセキュリティソフトでは削除・検疫共にできない場合があります。(実際、TrendMicroのビジネスセキュリティクライアントでは、ウィルス検出はできましたが、削除も検疫もできませんでした)更に、セーフモードで起動しても、ファイル削除はできませんでした。削除した後も、セキュリティソフトの監視に引っかかり続け、定期的にアラートが出る、という事態に陥る場合があります。インストールされてしまったであろう日時以前の状態に復元してやることで、ファイルを消去することができます。詳しい「システムの復元」機能の使い方は、こちらも検索するとマイクロソフトのサイトが見つかりますので、そちらを参照してください。これにより、マルウェアをインストールする以前の正常な状態に戻して、PCを再使用できるようになります。マルウェアやトロイの木馬に感染したから、と諦めないで、試ししてみることをお勧めします。追記:この記事のコメントに皆さんが書き加えてくださっていますが、どうやらこのソフトは改悪(機能追加)されているようで、上記の通りに作業しただけでは削除できないものも出てきているようです。セーフモードにさえ入れないため、削除ができない、という方は、コメント欄を参照してみてください。本来は、芳しいことではありませんが、削除の際に一時的にアクティベーションコードが必要になるようです。コメント内でリンクを貼って下さっているページを参照されることをお勧めしますが、万一、該当ページがなくなった時のことを考え、そのページに記載されているコードを転記しておきます。必要に応じ、活用してみてください(あくまで自己責任で)。AM参考になりました。ありがとうございます。PMコメントありがとうございます。削除する前に「復元」をしても平気かもしれません。当社のクライアントへの対応の際は、1.まずアプリケーションの削除を実施2.レジストリのクリーニングを実施3.セーフモードでウィルスチェックをかけ、ウィルスが発見された場合に該当ファイルの削除を実施4.それでも削除できなかった場合に、システムの復元を実施という手順で行っています。1.アプリケーションがインストールされていても、トロイの仕掛けられたファイルが生成されていない場合があるため。2.インストールされているセキュリティソフトによっては、トロイの仕掛けられたファイルを駆除できる場合があるため。3.アプリケーションを削除せずにシステムの復元を試みた際に、復元の日付を選べない事象が実際にあったため。駆除の考え方として、前述の1~4のプロセスを経ることが適切と、当社では考えています。システムの復元はOSの持つ非常に強力なツールですが、復元される際に具体的にどの部分が対象になって、その影響がどこまで及ぶのかが、正直なところ掌握でききれませんので、復元は最後の手段と考えています。AM大変わかりやすく解説されていて、助かったと思い作業しようとしているのですが、セーフモードで起動しようとすると、シャットダウンされてしまうのです。PMコメントありがとうございます。通常、当社で対応させていただく場合、パソコンの保証条件の関係でセーフモードで起動できないパソコンの復旧は、別途料金でのデータ救出サービスをご提案しています。その理由は、セーフモードで起動できない原因が、1.レジストリが破損していてWindowsが正常に起動できない2.ハードウェアの故障に起因してWindowsが起動できないという2点のいずれかであることが多いです。1の場合、Windowsは正常起動できてもインストールされていた各種アプリケーションが起動できなくなる場合が多く、データの救出はできても、それ以前の動作状態に復元できないケースが殆どです。2の場合、メモリの不具合の時々見受けられますが、パーツの取り外しや交換による確認のためパソコンのケースを開けてしまった時点でメーカー保証が受けられなくなるため、実施できないことが多々あります。ご質問の状況から見て、マルウェア感染前の正常状態に復旧するのが目的だと思われますので、1の方法(レジストリの初期化対応)を試されるのはお勧めできません。可能であれば(ノートパソコンですと困難かもしれませんが)、デスクトップパソコンであれば、可能な限り部品を取り外し、起動に必要な最小限の部品構成にし、再度起動を試されることをお勧めします。Windows起動選択時のF8キー押下後、セーフモード選択のメニュー画面さえ起動しないでシャットダウンしてしまうのであれば、ブートローダーが壊れているだけ、という可能性もあります。AM早速の回答ありがとうございます。PM当方が確認する際には、Windowsを起動するのに最低限必要な構成まで部品を取り外し、確認することが多いです。1.メモリ起動可能な最小容量の1枚のみにするか、予め正常機能チェック済みの1枚を用意し、確認します。2.グラフィックボードマザーボード・オンボードでグラフィック出力がある場合は、AGPやPCIeのグラフィックボードは外します。3.拡張ボードPCI、PCIeなどの拡張バスを利用しているボードがある場合は、すべて取り外します。当然ですが、USB接続の機器やLANの接続はすべて外します。これらの機器を取り外した上で、BIOSを初期化(デフォルト設定の読み込み)し、動作確認を実施します。ここまでの対応を行うのは、極めてまれです。この操作を試してもセーフモード起動ができない(途中でシャットダウンしてしまう等の)ような場合は、OSに関わる致命的な損傷がHDD内に存在すると判断し、データの退避とリカバリー(完全初期化)を行うようにしています。AMこのマルウェアは、セーフモード潰しなる動作もさせるもので恐らくPC起動時などにマルウェアからのアクセスの認証が表示された際に承認してしまったからでしょう。その状態になってしまうとセーフモード関連で起動しようとしても自動的に再起動がかかり通常起動してしまいます。通常起動ではファイルのダウンロード、レジストリ、スタートアップ、リカバリ等を実行しようとしてもマルウェアの妨害により実行できません。対応方法としては通常起動状態で以下のとおり行ってください。※マルウェア自体は対処できますが責任は追えません。アクティベートコードで故意に購入状態へと持ってくことにより削除する方法です。アンインストールができるようになってる5.再起動を行うとセーフモード等も起動可能になる※感染による後遺症のようなものは残りますが、残りは一つずつケアしていくしかありません。AMありがとうございます。ハードウェアの取り外しもよくわからず、アクティブコードを入力して、なんとかセーフモードで再起動できました。なんとか、削除もできました。本当にありがとうごさいました。AMコメント(補足)ありがとうございます。当方の遭遇していない状況でしたので、補足とてもありがたいです。感染後の期間や使用状況などによって削除方法に関して対応を随時変える必要があるのかもしれないですね。ありがとうございます。こちらでも、また新しい状況などに遭遇しましたら、追記していきたいと思います。proに困り果ててこちらにたどり着きました感染された皆さんは簡単にフォルダの削除まで出来ているようですがどうしてもそこまでたどり着けません、もし宜しければ助言を頂けると有り難いです。自分なりに復旧するために最終的に購入した状態に戻すリカバリをかけようと思っているのですが最終手段です。仕事先のPCなので、又後日復旧に取りかかる形になって手が尽くせていないままの質問で申し訳有りません。__フォルダごと削除と思い、隠しファイル表示状態にしてからセーフモードでフォルダを削除しようと試みたのですがvistaだからなのか、既に新しい要素が入ったウィルスになっているのか「別のプログラムがこのファイルを開いているので、操作を完了できません」のエラーが出てしまいフォルダの削除が出来ません。試してみても失敗セーフモードに入ってないのかもしれないとも考えましたが起動する前の画面ではしっかりとセーフモード選択は出来ています。(単なるセーフモード/ネットワーク上のセーフモードどちらも試しました)これを切ってくれるフリーソフトは有るそうなのですが、IEのアプリケーションは機動出来てもサイトに飛べない状態です。PMコメントありがとうございます。お困りの様子、お察しします。proのフォルダ内のいずれかのファイルが使用中の状態にあることが原因かと推察されます。お試しになられているかもしれませんが、1.通常モードなら、ネットワークを無効にして再起動する。セーフモードならネットワークのドライバは組み込まれないのでそのままでOKです。2.タスクバーを確認し、起動しているアプリケーションをできる限り終了させてみる。タスクマネージャを起動し、「プロセス」タブで表示されるプロセスで、ユーザー名が自機のもの(SYSTEMでないもの)をできる限り終了させる。フォルダを削除できないという事象にはまだ遭遇したことがありません。何らかのアプリケーションが削除の邪魔をしているか、削除対象が違っているか、ではないかと思われるのですが・・・ただ、このアプリ自体に亜種が発生しているのであれば、この解釈も適切ではないかもしれません。インストーラは付属していないはずなので、プログラムの追加と削除のリストにアプリケーションがリストアップされるはずもないですし。追加情報などありましたら、教えていただけるとありがたいです。AMコメントありがとうございます。proがインストールされてしまい、Yahoo検索ができない状況です。フォルダをゴミ箱に入れても再起動すると、またスキャンが開始される状態にあります。PMコメントありがとうございます。返信が大変遅くなりました。ご心配の内容に関してですが、当方はまだ削除できない状況に遭遇したことがないので推測になりますが、下記のYuichi136さんのコメントを拝見する限り、購入のボタンを押して、次の画面に遷移するけれど、すでにアクティベーションコードを持っている(購入済みだと認識させる)という選択肢を選び(新規に支払いを行わずに)、下記コメント内のリンクにあるコードを入力する。いうことだと認識しました。このアクティベーションコードそのものは、どなたかが支払いに使ったものなのか、あるいは、プログラムの認証部分をクラックして見つけ出したものなのかはわかりませんが、認証に使えるものだということ、だと思います。一般的にアプリケーションのライセンスコードの転用やアプリケーションのクラックは違法行為に含まれる事柄ではあります。こいういったマルウェア的なアプリケーションへの適用行為は、個人的な見解としては容認されるべきものと解釈しています。実施は自己責任において行われるよう、くれぐれもご注意ください。PM皆さんのコメント、対処方法非常に参考になりました。アクティベーションコードを使ってプログラムからは削除ができました。Scannerのダウンロードができません。何か考えられることはありますか。PMこのような対策方法を書き出していただきありがとうございます。途中で操作が止まってしまうので相談させていただきます。detectedの表示しか出て来なくてそのあとどうすればいいか困っています。したらいいか助言頂けると助かります。コメントをキャンセルメールアドレスが公開されることはありません。Securityがインストールされているとブルースクリーンで突然立ち上がらなくなる事例メーカー製のパソコンには、予め多くのアプリケーションがバンドルされています。法人さまのセキュリティソフト入れ替え作業の依頼が、今年は例年に比べ非常に多い傾向にあります。その翌月のWindowsXPのサポート終了。法人のお客さまの管理パソコンで、ご担当者の退職などの理由から、パソコン内のデータのバックアップ(外部メディアや別のパソコンに保存)とリカバリーをご依頼いただくケースがあります。最近のコメント(改訂)coreserverでwordpressを使う場合にやるべきこと。(改訂)coreserverでwordpressを使う場合にやるべきこと。