消えない請求画面　その6

消えない請求画面は「ウイルス｣であるということは共通理解になっているところです。
それでは、ウイルスに感染した場合に、一般的にどんな処置をするでしょうか？
⇒正解は「ウイルスを駆除する」です。
(「インストールしたソフトは削除すればいい」、それだけがポイントなのです)

そして、「ウイルスを駆除」するためそは、どのような方法をするのか？
⇒正解は「ウイルスを削除する」です。
「ウイルスを削除する」というのは、パソコンから「ウイルス｣のみ削除することです。
一般的には、ウイルス対策ソフトなどで削除しますが、この種のウイルスは通常のウイルス対策ソフトでは削除できないことが多いです。

ウイルス対策ソフトなどでうまく削除できなかった場合はどうするのか。
⇒正解は「Windowsの復元」の機能を利用する、または、「OS(Windous)を初期化(クリーンインストール)して購入時の状態に戻します。
または、というのは、昔のOSでは「Windowsの復元」の機能がないので初期化するしかありません。

OSの初期化について

OSの初期化の問題点
・購入後にインストールしたソフトやドライバーをすべて再インストールしなければならない
・ネット接続などの設定をもう一度やり直さなければならない
・作成したデータファイルはなくなるので、外部メディア(USBメモリーやディスク)に保存(バックアップ)しなければならない
・時間がかかる(慣れれば数時間ですが慣れていないと1日では終わらないことも)
OSの初期化のメリット
・データはバックアップしているので、なくなる心配はない
・何も考えずにできる初期化作業なので、失敗の可能性は少ない

IPAで対応策として紹介している、そして、消費者センターでも紹介している「システムの復元」について
⇒システムの復元というのは、WindowsがXPになってから導入されたシステムで、一定期間ごとに、パソコンの状態を丸まる記憶していて、いつでも、その地点へ戻ることができるというものです。

システムの復元について

システムの復元の問題点
・直近の記憶ポイントから作業するまでの間に作成したファイルや保存データや設定などがなくなるので、外部メディアなどにバックアップしておく必要がある
・システムの復元ポイントの作成は初期設定で有効になっているが、もし無効になっていたら復元できない
・最大の問題点は、内部的なソフトを使っているので、失敗する可能性がある。失敗すれば復元ポイントまでのデータはなくなってしまう。
システムの復元のメリット
・バックアップする量は初期化に比べてはるかに少なく、設定もキープされたままである
・比較的短時間で作業が終わり、操作方法も簡単である。

赤線で示した部分がポイントです。
すなわち、「システムの復元」はパソコンに精通していれば、リスクのある作業であるというのは一般的な知識です。
それについて、あまりにも深く考えていないことに、危険性を感じます。
この仕組みを理解した上で、消費者に助言しなければ、大きなトラブルを招く可能性もあります。

可能性のあるトラブルは2つ考えられます

①「消費者センターに助言されてIPAを参考にシステムの復元をしたら、直前に作成していたファイルや大切な写真や仕事のデータがなくなった。どうしてくれるのだ」
→復元ポイントから現時点までのデータをバックアップしなければならないのに、「説明を読んでいない、理解していない、何も考えていない」結果、起こってしまったので自己責任となります。
しかし、この自己責任は、「説明不足｣という反論を招きます。
これは私たちが事業者に反論するのと同じです。
消費者に「システムの復元」を紹介するのであれば、必ず、「復元ポイント以降に作成したデータはなくなるのでバックアップしなければならない」ということを理解してもらっておくことが重要です。消費者センターが「言った言わない」の当事者になることは避けるようにしてください。
②「消費者センターに助言されてIPAを参考にシステムの復元をしたのに、うまくいかず、データがなくなった。大切な写真データや仕事のデータが入っていたのにどうしてくれるのだ」
→「システムの復元」はリスクのある作業です。失敗すれば、作業を助言した消費者センターに苦情が来るのは当然かもしれません。思い出を復元するのは不可能であることはみなさんご存知だと思います。失敗のリスクもしっかり説明して理解してもらってください。

相談員がいくら説明しても理解しているとは限りませんので、余計に気をつける必要があります。
(参考)伝えること、伝わること 2011年11月18日（金）https://soudanskill.com/20111118/311.html

IPAのサイトで紹介されている「システムの復元」に掲載されている説明の中の注意点を抜粋しておきます。

IPA
http://www.ipa.go.jp/
｢Windowsでの「システムの復元」の実施手順」
http://www.ipa.go.jp/security/restore/

その中の「３．注意点」を抜粋しました(ポイントを赤文字にしました)。

３．注意点
「システムの復元」は、次の点について了解した上で使用してください。「システムの復元」起動時、ドキュメントや電子メールなどのデータには影響がないと表示されますが、それが保障されるものではありません。一部のアプリケーションの動作が不安定になったり、最悪の場合、パソコンが起動しなくなるといった状態になる可能性もあります。重要なデータは、必ずバックアップを取ってから実行してください。
復元が正常に完了しない（失敗する）可能性があります。この場合、システムは「システムの復元」を実行する前の状態のままです。
「システムの復元」が正常に完了すると、システムが過去の状態に戻ります。従って、選択した「復元ポイント」から現在までの間に実施したMicrosoft Updateやアプリケーションのインストール、バージョンアップも巻き戻ります。システムの正常動作が確認できたら、Windowsやその他のアプリケーションの状態を確認し、必要に応じてMicrosoft Updateやアプリケーションのバージョンアップを実施しなおしてください。
Windows 2000には「システムの復元」機能はありません。システムの初期化（パソコンを買った時の状態に戻す）など、他の方法で問題解決を試みてください。

最後に前回の解説の最後の部分を再掲します。

次回は、このウイルスの削除方法について解説します。
①フリーツールでスタートアップやプロセスを除外する
②フリーツールでウイルスを削除する
③システムの復元をする
④初期化する
というパターンがありますが、③④はリスクが高く避けたいところです。
しかし、消費者センターではIPAを紹介し、すなわち③の方法を助言しているんですね。

今回の記事の最初に戻ります。

「ウイルスを駆除」するためそは、どのような方法をするのか？
⇒正解は「ウイルスを削除する」です。
「ウイルスを削除する」というのは、パソコンから「ウイルス｣のみ削除することです。

今回は③④について解説しましたが、次回は消えない請求画面で私が一番言いたかった①②について解説します。

(参考)
最近、IPAの該当するページの場所が分かりにくくなっていますので参考までに紹介します。
「情報セキュリティ」のタブのクイックアクセスの「ワンクリック請求に関する注意喚起」です。
http://www.ipa.go.jp/security/index.html

消えない請求画面　その5

「消えない請求画面」のウイルスに感染すると起こる「パソコン内部の仕掛け」

今回の解説は少し難しいかもしれません。

今まで説明してきたように、このウイルスに感染すると、請求画面が表示され、消しても消しても復活し、再起動しても同様の状態になります。

この仕組みを簡単に説明すると
ウイルスをインストールすることにより
①画面を消してもすぐに表示されるようなプログラムが動いている
②このプログラムをパソコンの起動時に自動的に起動(スタート)するような設定に変更されている
の2点に集約されます。

消えない請求画面の初期の仕組みは単純で削除も比較的簡単でした。
したがって、電話相談でもパソコンを操作しながら助言することも可能でした。

初期の仕組み

ウイルス感染すると「C:\WINDOWS\system32」の中に、「***.exe」「***.bat」の2つのファイルがインストールされます。
最終的には、この2つのファイルを削除すれば終了です。
フォルダでインストールの日付順に並べ替えたらすぐに発見できます。
「***」は何かというと、請求画面の名称ですので、それらしい名前(eroeroやadultなどの文字が入っている)ですが、正確に知るためには、Windowsのタスクマネージャーを起動させます。
①タスクマネージャーを起動させるには「Ctrl+Alt+Del」を同時に押すというおなじみの操作ですが、OSのバージョンにより起動方法は異なります。
そこにタブがいくつかあって、最初の「アプリケーション」タブには現在起動しているプログラムの一覧が並んでいます。
その横の「プロセス」のタブに、裏で起動しているプログラムも含めて一覧になっています。
その中に、「***.exe」というプログラムとそのプログラムファイルの保存されている場所が表示されています。
保存されている場所は、普通は「C:\WINDOWS\system32」ですが、違う場所の場合もあるかもしれません。
そのプロセスを選択して「プロセスの終了」をクリックすると、請求画面は閉じます。
ただし、すぐに復活することもあります。
これで悪さをするファイルの名称と保存場所が確認できました。
②パソコン起動時に自動的にスタートする設定を、「スタートアップ」といいます。
ウイルス対策ソフトなど必ず起動しなければならないソフトも多くあります。
このスタートアップの一覧から「***.exe」を除外(削除)すればOKです。
スタートからファイル名を指定して実行で、「msconfig」というコマンドを打ち込みます。
すると、「システム構成ユーティリティ」というプログラムが起動します。
その中の、「スタートアップ」のタブをクリックすれば、パソコンの起動時に自動的にスタートするプログラムの一覧が表示されています。
その中にある「***.exe」を除外すればOKです。これでパソコン起動時に請求画面は立ち上がりません。
ただし、この画面はOSのバージョンで若干違っていることもありますし、表示されているプログラム名も少し分かりにくくなっているかもしれません。
③最後に、「C:\WINDOWS\system32」の中の「***.exe」「***.bat」の2つのファイルを削除すれば終了です(フォルダ設定で「すべてのファイルを表示する」「拡張しw表示する」という設定にしておくこと)。
なお、「システム構成ユーティリティ」を省略して、いきなり削除できればそれでもOKですが、ときどき削除できないときもありますので、そのときは順番に処理してください。

※これらの操作は比較的簡単で、ウイルスとなるプログラムが分かりやすい名称であり、目立つ場所で動いているのが、分かりやすい要因です。ただし、当然ながら、これらの処理は自己責任となります。重要なファイルを消してしまうと故障の原因にもなりますが、ある程度、パソコンに慣れていれば難しくはないと思います。

ところが、今のウイルスはこれらの操作では簡単に削除できないように進化しています。
プログラムの動き(スタートアップと消しても立ち上がる)というのは同じですが、それを動かす仕組みを複雑にしています。

まず、ファイルの名称が文字の羅列になり、保存場所も深いところに入っていて判別しにくく、また、「hta」という複雑な仕組みを使って裏で動くようにしている、ことです。したがって、削除すべきファイルを発見して削除するのが困難になっています。
裏で動いているので、「システム構成ユーティリティ」の「スタートアップ」に表示されていない場合が多いです。
削除すべきファイルは、「***.vbs」「***.hta」がメインとなります。
それでも、表に出ている部分もあり、Windowsのタスクマネージャーのプロセスの中に、もろに、「mshta.exe」と表示されていることもあります。そのプロセスを終了すれば、画面は消えて、さらに二度と表示されない場合もあります。

以上が「消えない請求画面」のウイルスに感染すると起こる「パソコン内部の仕掛け」であり、昔は簡単に削除できたけれども、今の場合は削除が難しくなっているということについて解説しました。

次回は、このウイルスの削除方法について解説します。
①フリーツールでスタートアップやプロセスから除外する
②フリーツールでウイルスを除去(削除)する
③システムの復元をする
④初期化する
というパターンがありますが、③④はリスクが高く避けたいところです。
しかし、消費者センターではIPAを紹介、すなわち③の方法を助言しているんですね。
この是非についても次回に解説します。

 

(参考)ダウンロードしようとしているウイルスで、ファイル名は「candydolls_1326679406.hta」