「USBメモリー経由のウイルス感染、大学で猛威振るう」の記事

昨年4月、ある知合いの先生から、「3月にあちこちの学会で講演をしていたら、PCがウイルスに感染しちゃったんだよね。なぜだと思いますか？」という質問をききました。さっそく調べてみたところ、どうも、USBメモリーを介してウイルスが伝播しているようだということがわかりました。その後、9月にも同じ話がでてきて、そして1月にも出てきました。8月には学会が多く、12月には学生からUSBメモリーを預ることも多いわけで、そのあとに感染が増えているということだと思います。

で、そんな大学の状況を伝える記事が、2009年1月24日付読売新聞夕刊と、Yomiuri OnLine(YOL)に掲載されました。ここでは 新聞、YOL ではおそらく紙面の制約上掲載されなかったであろうことについて、補足説明？をしておきます。

★「コンピューターウイルス対策ソフトを最新のものにアップデートしておけばいい」と誤解している人が多い

まず、昨今はウイルス対策ソフトもフリーのものも含めて普及し、OSやウイルス対策ソフトのアップデートをしている人も増えているのに、それでもコンピューターウイルス感染事例が報告されました。実は、今回の「Autorun」は、有名なウイルス対策ソフトでは発見・駆除できない期間が相当長くありました。その時期と大きな学会が多い時期が重なっていたことが、このウイルスの感染拡大を食い止められなかった理由の一つでしょう。また、今回のウイルスは亜種による変異が多く、同種のウイルスの一部を検知できても他を検知できないということもありました。

他には、PDF や Flash の脆弱性を利用したウイルスもあります。これらは OS とウイルス対策ソフトのアップデートでは対応できないので、別途注意をしておく必要があります。

★「コンピューターウイルスはネット経由で感染」と誤解している人が多い

「最近のコンピューターウイルス感染の多くは、電子メールに添付されたファイルからである」という神話が、いまもまだ流れています。つい先日も、ある企業の営業さんからそういう説明をききました。でも、現実はそうではないですね。他の経路もたくさんあるのです。

USBメモリー経由のウイルス感染は、昔流行ったフロッピーディスク経由を思い出させます。また、ネットワークドライブ経由というのもありますよね。また、メール以外だと、webブラウザが拾ってくる場合、メッセンジャーが拾う場合、リモートアシスタンスが拾う場合なども考えられます。さらに「繋いでいるだけで感染するWORMを拾う場合」もあります。また、パソコンでなくサーバーになるとさらにアタックの危険は高まります。他に、購入したソフトウェアが入っているCD-ROMから感染ということもあります。

どれが多いかという議論・結論自体が、無意味だと思います。それをいうと、その部分だけの対策で済ませる人がでてくるからです。この辺の誤解が、結果として対策を怠らせていると思います。

★「自動再生を止めておけばいい」と誤解している人が多い

まず、Windows XP/Vistaには「自動再生(AutoPlay)」と「自動実行(AutoRun)」があります。前者は、ポータブルデバイス・リムーバブルデバイスにリッチコンテンツ（音声や動画や静止画）が入っている場合、利用者の確認なしに表示する機能です。後者は、同じ種類のデバイスに入っているプログラムを、そのデバイスが接続されたら実行するものです。ときどき「オートランウイルス対策には自動再生を無効にすればよい」と書いている人がいますが、これは完全な誤解。自動実行を無効にする必要があります。また、リッチコンテンツにウイルスが入っている可能性も否定できないので、自動再生も無効にする必要があります。

でも、これだけでは完璧ではないのです。実は、アプリケーションソフトやフリーソフトの中には、インストールすると、自動実行や自動再生をこっそりと有効にするものがあります。さらに、OSの自動実行・自動再生の機能を利用しない代わりに、別のソフトを常駐させて、USBメモリなどの接続状況を監視して、差し込まれたらすぐに中身を見に行くというものもあります。この辺を全部止めないといけないのです。

★「おすすめ設定が安全だ」と誤解している人が多い

メーカーお勧めの初期設定は安全だと誤解している人が、あいかわらず多いようです。例えば、ファイル一覧を見ようとして、フォルダをクリックすると、左下に「プレビュー」がでるように設定されているのが初期設定ですが、これは大変危険です。感染ファイルを消そうとファイルアイコンをポイントした途端にプレビューが動作して感染したという例もあります。フォルダオプションから「クラシック表示」にしておくべきでしょう。今回のケースの場合は、「登録された拡張子は表示しない」「保護されたオペレーティング システム ファイルを表示しない」あたりは初期設定のままにしておいては発見や対応ができなくなります。

---

ということで大変面倒なのですがオートラン感染を疑われるPCの場合の対応方法を作ってみました。 間違いがあったら教えてください。

PCにいるウイルスを駆除する

まず、当該PCはネットから外しておいてください。

[1] hostsファイルの確認

1. 当該PCの
   C:\Windows\system32\drivers\etc\hosts
   をメモ帳で開く。
   127.0.0.1 localhost

   の下に大量のブランク行、さらにその下に著名ウイルス対策ソフトアップデートホストに関する記述があれば、確実に感染している。（ブランク行がないと感染していない、ということはない。）

2. ブランク行の下を全部削除する。(127.0.0.1 の行は残す)

[2] avast! 4 を入手

未感染のPCを使って「avast! 4」のファイルを入手する。他にも 「Avira AntiVir」や、「AVG FreeEdition」なども検討していいと思います。

[3] 当該PCに入っているウイルス対策ソフトを、いったんアンインストールする。

「プログラムの追加と削除からアンインストールができない場合は、手動アンインストールで対応する。手動アンインストールの方法は別のPCから調べるしかない。

[4] 駆除

当該PCに「avast! 4」をインストールする。rebootすると Windows がセーフティーモードで起動して、 avast! 4 が汚染ファイルを見つけて駆除してくれます。（約1時間かかります。）

[5] いじられた設定を戻す

1. スタート→「ファイル名を指定して実行」→「regedit 」をタイプしてレジストリーエディタを起動する。起動できないときはレジストリー復活ツールをダウンロードして入れる。
2. そのあと、
   HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT
   をたどる。その下に 「SystemRestore」というサブキーがあり、 それをクリックして右の窓を見ると「DisableConfig」と言うのがある。 その「DWORD 値」で「1」になっていたら、そのサブキーごと削除する。 この時に「DWORD 値」で「0」でも システムの復元がグループポリシーで無効に設定にはなる事もある。
3. いったん、PC再起動する。
4. マイコンピュータ上で右クリック→プロパティ→システムの復元→すべてのドライブでシステムの復元を無効にする
5. また、PC再起動する。
6. スタート→「ファイル名を指定して実行」→「gpedit 」をタイプして、gpedit.msc を起動
7. 「コンピュータの構成\管理用テンプレート\システム\自動再生機能をオフにする」→プロパティを開く（ダブルクリック）→「自動再生機能をオフにする」で「すべてのドライブ」を選択→有効をチェック→OKをクリック
8. またまた、PC再起動する。
   C:\Program Files\Alwil Software\Avast4\DATA\report\aswBoot.txt
   に、ブート時スキャンの記録が残っています。それの一番下に 0 と出ていればOkです。 (圧縮ファイルの中をチェックするようにすると、書庫が壊れていてチェックできないという記録も残っています。それはスルーしてください。)

---

今後の感染防止対策

[1] 次の手順にしたがって作業をする。

• Unicodeで拡張子を偽装された実行ファイルの防御方法

[2] 拡張子を常に表示するようにする

1. スタート→「ファイル名を指定して実行」→「regedit 」をタイプしてレジストリーエディタを起動する。
2. メニューの中の「編集」→「検索」を選び、検索語に NeverShowExt を入力する。
3. 見つかったら、 DELキー を使って削除を選ぶ。
4. そのあと、F3 を押すと、次の NetShowExt が見つかる。これも削除。
5. 同じことを繰り返して、すべてのNeverShowExtを削除する。

[3] 次のページを見て、自動実行をOFFにする。

• http://support.microsoft.com/kb/953252/ja

---

USBメモリから問題のファイルを削除する

[1] マイコンピュータを開く

1. ツール→フォルダオプション→表示→詳細設定→「保護されたオペレーティングシステムファイルを表示しない」のチェックをはずす。→Ok
2. マイコンピュータを開いたままにしておく
3. 念のためSHIFTキーを押しながら 疑わしいUSBメモリ をさす。USBメモリがドライブとして認識されたらSHIFTキーを離してもよい。
4. ドライブの上で右クリック→ウイルス対策ソフトで検査
5. 感染が見つかったら「チェストに移動」などを選ぶ。

[2] 再発防止のための工夫

1. スタート→「ファイル名を指定して実行」→「 cmd 」をタイプして、以下のコマンドをタイプする。

   (★以下、USBメモリが E: の場合です。)

   E:
   cd \
   attrib -r -h -s autorun.inf
   del autorun.inf
   md autorun.inf
   cd autorun.inf
   md nokill..\
   cd ..

   最後の4行は再発防止のために「感染ファイルと同名で、かつ簡単には消せないフォルダ」をつくる作業です。

2. またまた、PC再起動する。
3. 他のドライブ(HDD(C:)なども含める)でも、autorun.infという名前のディレクトリを作って、さらに削除が難しいように設定するといいようです。(この辺、検証できてない…)
   E:
   cd \
   md autorun.inf
   cd autorun.inf
   md nokill..\
   cd ..

---

以上です。間違いがあったら教えてください。