恐怖！偽装セキュリティツールの実態とその削除

本日は東京都にお住まいのT様のお宅へウィルス駆除で伺いました。

お使いのPCを確認した結果、Antivirus.NETという偽装セキュリティツール（Scareware）が感染しているのを確認しました。

パソコンを立ち上げると自動起動され上記のようなインターネット画面が表示されます。
このAntivirus.NETは感染したパソコンに嘘のウィルス感染を報告し、偽善者に成りすましウィルス駆除代金をクレジットカードで支払わせようとするまっこと悪いソフトです。
感染した場合は、同時に常駐アプリケーションに次のようなアイコンが出るのが目印です。

 【削除・駆除手順】
・パソコンを再起動させ起動時に【F8キー】を連打してセーフモード起動させます。

 

・ログイン画面でユーザー選択画面が出てきますが、Administratorでログインしてください。

※Administratorがない場合はその他の管理者権限を持つアカウントでも大丈夫です。

・インターネットエクスプローラーを立ち上げ上位メニューの[ツール] → [インターネットオプション] → [接続] → [LANの設定] → [プロキシサーバー]の順で開きます。下記参照

 

・プロキシサーバの設定をはずします。OKボタンをクリックして開いた画面をすべて閉じて再起動して下さい。

・ひとまずこれで表示できなかったインターネットに繋がるようになります。それでもまだアドウェアは動作を妨害してきますので非活性化（一時的に止める）の処理をおこないます。非活性化させる方法は自動駆除と手動駆除の2通りがありますのでそれぞれ紹介します。

[自動処理編]ツールをダウンロードして実行します。駆除ツールとして RＫｉｌｌ　をご紹介します。

※セキュリティ設定によってダウンロードが出来ない場合があります。その場合はインターネットエクスプローラーの[ツール] → [インターネットオプション] → [セキュリティタブ] → [カスタマイズ]で設定を低めて下さい。

ダウンロードしたファイルをダブルクリックして実行します。すると黒いコマンド画面が立ち上がり処理が始まります。

処理が終わるとデスクトップ画面にテキストが出てきますので、確認できたら完了です。

[手動処理編]スタートボタン　→　ファイル名を指定して実行　→　msconfig　と入力してOKボタン

すると、上記の画面が表示されるので、タブメニューのスタートアップを選択し、リスト上から怪しいファイルを選択する。今回の場合は、「fntxwqtsjmo」だった。ちなみに名前はランダムに作成されるので意味不明なファイル名であることと、コマンドラインが[C:\Documentandsettings\ユーザー名\local settings\Temp\フォルダ名\“[random].exe]が目印になると思います。
リストからチェックを外せたらOKボタンを押して画面を閉じて再起動。

・再起動後、最後に一時的に非活性化したAntivirus.NETを駆除します。
  マルウェア・アドウェアを駆除できるツールを使ってスキャン・駆除します。
おススメとして、Windows Security Essentials または Malwarebytes　です。どちらも無料ツールなのでダウンロードしてお使い下さい。

後記:(1)ウィルススキャンソフトは使用する前に必ず更新して最新化して下さい。(２)スキャンする場合はセーフモード上（PC起動時F8ボタン）で行ってください。
 
以上、お疲れ様でした。