Blowin' the blues away

先日、ある客先から電話が入ってきました。
「ウィルスに感染したらしいので見てほしい」とのこと。

客先に行って件のPCを調べてみると、『System Care AntiVirus』というソフトが立ち上がっており、このPCはウィルスチェックの結果たくさんのウィルスに感染していますがこのバージョンでは駆除ができないのでお金を払ってバージョンアップして下さい、という旨の表示がされており、その他の操作を何も受け付けない状態になっていました。

「システムケアアンチウィルス？？」

聞いた事のない名前だな―、と思いつつ「このアンチウィルスソフトはいつインストールされたんですか？」と聞いてみると、インストールした覚えはないとの事。
ウィルスに感染しているのなら、オンラインでチェックできるサイトでもう少し詳しく見てみようと思ってブラウザ（インターネットエクスプローラ）を起動しようとすると起動しない。
タスクマネージャやコマンドプロンプトすら起動しないのを確認した後、やっと

「このアンチウィルスソフト、何か変だな。」

と気づきました。
別の正常なPCで検索してみると、このSystem Care Antivirusというのは偽のアンチウィルスソフトで、ウィルスに感染したようにみせかけて、クレジットカードでお金を振り込みさせるのが目的のソフトみたいです。
PCの起動と同時に他の一切の操作をできなくしてしまうため、通常の手段ではアンインストールすらできません。

これを削除するには、セーフモードに一旦入って偽ソフトのフォルダを削除した後にレジストリを修正する必要があり、具体的な手順はこのサイトに詳しく出ています。


これに感染する原因ですが、
感染した外部のウェブサイトへアクセスをする事により、JavaかAcrobatReaderの脆弱性をついてPC内部にSystem-Care Antivirusがインストールされるようです。
また、このソフトは他の正常なアンチウィルスソフトのチェックをかいくぐるために頻繁に更新されており、ウィルスチェックには引っかからない事が多いみたいです。
ウィルスチェッカのパターンファイルが更新されるには、アンチウィルスソフトの開発元がウィルスのサンプルを入手し、ウィルス内部の特定バイナリデータを識別するパターンデータを作る必要があるわけですが、当然これにはウィルス発生から少しのタイムラグが生じるわけで、これを利用してチェックをかいくぐっているワケですね。

ウチのPCはWindowsUpdateとウィルスソフトのパターンファイル更新をしているから大丈夫、なーんて思っていたら、この偽ソフトに感染するかもしれません。
JavaとAcrobatReaderはセキュリティホールの二大原因となっているので、常に最新版にアップデートをする必要があります。
JavaやReaderが不要なPCならアンインストールし、どうしても必要なPCであれば常に最新版にアップデートしておく、という対処が必要になってきます。
この二つのソフトウェアの更新をサボっていると、WindowsUpdateをしていないPCより遙かに危険です。

・・・というような話を客先でコンコンと犬に言い聞かせるようにして帰ってきました。
ま、ホントは業務用PCで外部サイトを見に行くなって言いたいんですけどね・・・

ある日突然このアイコンが出てきたら

この記事を思い出して下さい。