復旧せよ！偽セキュリティソフト被害端末

　「今日はもっとも振り込め詐欺被害の多い日」。今朝、テレビにて興味深いニュース映像が流れていました。10月15日という日が注目される背景には、隔月の年金支給日との重なりに因果関係があるとの分析結果が発表されています。

　実社会では高齢者が主な被害者となっている振り込め詐欺ですが、デジタル社会も「振り込め詐欺被害」の例外ではありません。被害はより悪質にすべてのインターネット利用者がその脅威に晒されています。その代表例が「偽セキュリティソフト」です。

■インターネット脅威レポートも警鐘

　2008年8月、9月度の「インターネット脅威マンスリーレポート」においても、偽セキュリティソフト「TROJ_FAKEALER（フェークアラート）」や「TROJ_FAKEAV（フェイクエイブイ）」について警鐘を鳴らしています。これまでもこのブログで何度か注意喚起していますが「Spyware Guard 2008」、「PCVirusless」、「XP Antispyware 2009」、「Antivirus 2010」、「ContentEraser」、「RapidAntivirus」と様々な名称に変えてその被害は後を絶たないようです。

図1. 新たに報告されている偽セキュリティソフト「RapidAntivirus」のウェブサイト
図1. 新たに報告されている偽セキュリティソフト「RapidAntivirus」のウェブサイト

■被害を未然に防ぐための注意点

　被害を未然に防ぐにはどのような点に気をつければよいのでしょうか。ここでは、3つのポイントを挙げます。

  1. スパムメールの隔離／振り分け機能の活用：脅威の誘導口となる不審なメールは開かない様にする
  2. 個人情報保護機能の活用：偽セキュリティソフト購入サイトに対し、個人情報を入力しない
  3. 不正なWebサイトへの接続をブロックする機能の活用：偽セキュリティソフトサイトへの接続をブロック

図2. Webレピュテーション対応エンドポイント製品（ウイルスバスター Corp./ウイルスバスター 2009）にて「RapidAntivirus」ウェブサイトへアクセスした画面
図2. Webレピュテーション対応エンドポイント製品（ウイルスバスター Corp./ウイルスバスター 2009）にて「RapidAntivirus」ウェブサイトへアクセスした画面

　もし、読者の方で既に偽セキュリティソフトの被害者を受けた方は、被害から復旧するためウイルスバスターを始めとするエンドポイントのセキュリティ対策製品を利用いただき、その脅威を取り除いてください。その上で元の利便性の高い設定に再設定しましょう。

■相談件数の多い再設定方法

　トレンドマイクロのサポートセンターには被害復旧の為の再設定についていくつかご相談を頂いております。今日は最後に[画面のプロパティ]項目の設定（壁紙/スクリーンセーバー）を元に戻す設定を紹介したいと思います。

　実社会でも、デジタル社会でも詐欺犯の巧妙な手口にだまされることがないよう、引き続きの警戒が必要です。

■[画面のプロパティ]項目の再設定方法

　偽セキュリティソフトでは、被害者を混乱させる様々な手口が悪用されていることが知られています。その代表例がデスクトップの壁紙を、不正プログラムに感染したかのようなメッセージを表示させる。Windowsのブルースクリーンの画面を表示するスクリーンセーバー「JOKE_BLUESCREEN」をインストールさせるです。

図3. ウイルスに感染したかのようなメッセージの壁紙に変更される（Antivirus XP 2008）
図3. ウイルスに感染したかのようなメッセージの壁紙に変更される（Antivirus XP 2008）

　これら設定変更は、利用者が容易に修復できないよう、Windowsの［画面のプロパティ］から、「デスクトップ」と「スクリーンセーバー」のタブをなくす罠を仕掛けています。ここではその罠を取り除く再設定方法について紹介します。

　

警告
レジストリはWindowsの構成情報が格納されているデータベースです。レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。レジストリの編集はお客様の責任で行っていただくようお願いいたします。なお、レジストリの編集前に必ずバックアップを作成することを推奨いたします。

ここでは、ウイルスやスパイウェアによって以下のようにレジストリ値が改変された場合の修復作業を説明します。

　

レジストリの場所
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion
PoliciesSystem
削除する値
NoDispAppearancePage
NoDispCPL
NoDispBackgroundPage
NoDispScrSavPage
NoDispSettingsPage

レジストリの場所
HKEY_LOCAL_MACHINE_SoftwareMicrosoftWindowsCurrentVersion
PoliciesSystem
削除する値
NoDispAppearancePage
NoDispCPL
NoDispBackgroundPage
NoDispScrSavPage
NoDispSettingsPage

　

  1. [スタート]ボタンより、[ファイル名を指定して実行]をクリックします。

  2. [ファイル名を指定して実行]ダイアログボックスが表示されますので、名前欄に regedit と入力し、[OK]ボタンをクリックします。
    * regedit は半角英数字で入力する必要があります。（大文字/小文字は区別されません）

  3. 「レジストリエディタ」が起動します。

    今回、[System]フォルダの中に削除したい値があるので、以下の図のように左側に表示されている[HKEY_CURRENT_USER]フォルダの左にあるプラスをクリックし、次に[Software]のフォルダ左にあるプラスをクリックして順次フォルダを開いていき、[System]フォルダが表示されている状態にします。

    図4. レジストリエディタ起動画面

  4. 目的のフォルダをクリックし、青く選択された状態にします。

    この例では[System]フォルダを選択しています。

    図5. [System]フォルダを選択

  5. 右側に表示される削除するレジストリの値を右クリックするとショートカットメニューが表示されますので、 [削除] をクリックします。

    この例の場合は、[NoDispAppearancePage] を削除します。

    図6. [NoDispAppearancePage] を削除

  6. 「削除してよろしいですか？」というメッセージが表示されるので「はい」をクリックします。

  7. 次のレジストリ値が存在する場合は、これらの値に対して手順 5. を繰り返します。

      8. ・NoDispCPL
      ・NoDispBackgroundPage
      ・NoDispScrSavPage
      ・NoDispSettingsPage

  8. 手順 3. 4. と同様に、「HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionPoliciesSystem」フォルダをクリックし、青く選択された状態にします。

  9. 次のレジストリ値が存在する場合は、これらの値に対して手順 5. を繰り返します。

      10. ・NoDispAppearancePage
      ・NoDispCPL
      ・NoDispBackgroundPage
      ・NoDispScrSavPage
      ・NoDispSettingsPage

  10. 変更を有効にするために、これらのレジストリ値の削除後にコンピュータの再起動が必要になる場合があります。

■レジストリ値に対する補足

　前述のレジストリ値の設定が [画面のプロパティ] ダイアログ ボックスのオプションに与える影響は次のとおりです。

値の名前 影響
NoDispAppearancePage コントロール パネルの [画面] アプレットから [デスクトップの表示とテーマ] タブを削除します。
NoDispCPL コントロール パネルの [画面] を無効にします。
NoDispBackgroundPage コントロール パネルの [画面] アプレットの [デスクトップ] タブを削除します。
NoDispScrSavPage コントロール パネルの [画面] から [スクリーン セーバー] タブを削除します。
NoDispSettingsPage コントロール パネルの [画面] から [設定] タブを削除します。

Related posts:

  1. そのとき何が、「WORM_DOWNAD」ファミリの振り返り
  2. ネットワーク機器がホームページ改ざん幇助：ARPスプーフィングの脅威
  3. 改ざん被害拡大の一因は、不当な営業活動を広げる偽セキュリティソフトウェア
  4. マイクロソフトに実在する社員を装って送られてくるウイルス添付メール