消えない請求画面 その5

カテゴリー:消えない請求画面 投稿日:

「消えない請求画面」のウイルスに感染すると起こる「パソコン内部の仕掛け」

今回の解説は少し難しいかもしれません。

今まで説明してきたように、このウイルスに感染すると、請求画面が表示され、消しても消しても復活し、再起動しても同様の状態になります。

この仕組みを簡単に説明すると
ウイルスをインストールすることにより
①画面を消してもすぐに表示されるようなプログラムが動いている
②このプログラムをパソコンの起動時に自動的に起動(スタート)するような設定に変更されている
の2点に集約されます。

消えない請求画面の初期の仕組みは単純で削除も比較的簡単でした。
したがって、電話相談でもパソコンを操作しながら助言することも可能でした。

初期の仕組み

ウイルス感染すると「C:\WINDOWS\system32」の中に、「***.exe」「***.bat」の2つのファイルがインストールされます。
最終的には、この2つのファイルを削除すれば終了です。
フォルダでインストールの日付順に並べ替えたらすぐに発見できます。
「***」は何かというと、請求画面の名称ですので、それらしい名前(eroeroやadultなどの文字が入っている)ですが、正確に知るためには、Windowsのタスクマネージャーを起動させます。
①タスクマネージャーを起動させるには「Ctrl+Alt+Del」を同時に押すというおなじみの操作ですが、OSのバージョンにより起動方法は異なります。
そこにタブがいくつかあって、最初の「アプリケーション」タブには現在起動しているプログラムの一覧が並んでいます。
その横の「プロセス」のタブに、裏で起動しているプログラムも含めて一覧になっています。
その中に、「***.exe」というプログラムとそのプログラムファイルの保存されている場所が表示されています。
保存されている場所は、普通は「C:\WINDOWS\system32」ですが、違う場所の場合もあるかもしれません。
そのプロセスを選択して「プロセスの終了」をクリックすると、請求画面は閉じます。
ただし、すぐに復活することもあります。
これで悪さをするファイルの名称と保存場所が確認できました。
②パソコン起動時に自動的にスタートする設定を、「スタートアップ」といいます。
ウイルス対策ソフトなど必ず起動しなければならないソフトも多くあります。
このスタートアップの一覧から「***.exe」を除外(削除)すればOKです。
スタートからファイル名を指定して実行で、「msconfig」というコマンドを打ち込みます。
すると、「システム構成ユーティリティ」というプログラムが起動します。
その中の、「スタートアップ」のタブをクリックすれば、パソコンの起動時に自動的にスタートするプログラムの一覧が表示されています。
その中にある「***.exe」を除外すればOKです。これでパソコン起動時に請求画面は立ち上がりません。
ただし、この画面はOSのバージョンで若干違っていることもありますし、表示されているプログラム名も少し分かりにくくなっているかもしれません。
③最後に、「C:\WINDOWS\system32」の中の「***.exe」「***.bat」の2つのファイルを削除すれば終了です(フォルダ設定で「すべてのファイルを表示する」「拡張しw表示する」という設定にしておくこと)。
なお、「システム構成ユーティリティ」を省略して、いきなり削除できればそれでもOKですが、ときどき削除できないときもありますので、そのときは順番に処理してください。

※これらの操作は比較的簡単で、ウイルスとなるプログラムが分かりやすい名称であり、目立つ場所で動いているのが、分かりやすい要因です。ただし、当然ながら、これらの処理は自己責任となります。重要なファイルを消してしまうと故障の原因にもなりますが、ある程度、パソコンに慣れていれば難しくはないと思います。

ところが、今のウイルスはこれらの操作では簡単に削除できないように進化しています。
プログラムの動き(スタートアップと消しても立ち上がる)というのは同じですが、それを動かす仕組みを複雑にしています。

まず、ファイルの名称が文字の羅列になり、保存場所も深いところに入っていて判別しにくく、また、「hta」という複雑な仕組みを使って裏で動くようにしている、ことです。したがって、削除すべきファイルを発見して削除するのが困難になっています。
裏で動いているので、「システム構成ユーティリティ」の「スタートアップ」に表示されていない場合が多いです。
削除すべきファイルは、「***.vbs」「***.hta」がメインとなります。
それでも、表に出ている部分もあり、Windowsのタスクマネージャーのプロセスの中に、もろに、「mshta.exe」と表示されていることもあります。そのプロセスを終了すれば、画面は消えて、さらに二度と表示されない場合もあります。

以上が「消えない請求画面」のウイルスに感染すると起こる「パソコン内部の仕掛け」であり、昔は簡単に削除できたけれども、今の場合は削除が難しくなっているということについて解説しました。

次回は、このウイルスの削除方法について解説します。
①フリーツールでスタートアップやプロセスから除外する
②フリーツールでウイルスを除去(削除)する
③システムの復元をする
④初期化する
というパターンがありますが、③④はリスクが高く避けたいところです。
しかし、消費者センターではIPAを紹介、すなわち③の方法を助言しているんですね。
この是非についても次回に解説します。

 

(参考)ダウンロードしようとしているウイルスで、ファイル名は「candydolls_1326679406.hta」

スポンサーリンク