FakeAlert

「メールを開いたらそれ以降わけのわからない警告画面が出るようになってしまった」というパソコン(OSはWindows VISTA)が持ち込まれた。
預かってスタンドアロンの状態で起動してみると確かに警告のWindowがひっきりなしに開く状態。
その警告が「このPCはウィルスに感染している。対策ソフトの完全版を購入するか?」みたいな文言。
なんということは無い、偽の警告を表示してソフトを購入させようとする(以前からよくある)マルウェアだ。
早速ウィルス対策ソフトをインストールして駆除したが、実行ファイルの駆除には成功したものの、各種のプログラムが起動できなくなってしまった。
アプリケーションを起動しようとすると「このファイルを開くための云々」というメッセージが出て、プログラムを選択するように促される。
つまり「.exe」の拡張子に関連付けられているプログラムが無いということになっている。
え?「.exe」ってアプリケーションじゃないの?と思って関連付けを変更しようとしてレジストリエディタを起動しようとしたが、やはり起動できない。
仕方が無いのでc:\windows\regedit.exeを右クリックして「管理者権限で実行」を選択すると無事に起動できた。
他のソフトも同様の手段で起動できたが、アプリの起動時にいちいち右クリックするのも面倒だし、そもそもこのPCは自分で使うものでは無いので、元通りにしなくてはならない。
調べてみると
\HKEY_CLASSES_ROOT\.exe\
の下に\shellというキーが作成されており、その中を見ると駆除された”av.exe”を使うようになっている。

regedit画面

不正に書き加えられたレジストリキーとその内容


上の写真のように「.exe」拡張子のファイルをダブルクリックした時には、駆除されたマルウェアの実行ファイルである「av.exe」を経由して目的のプログラムが起動されるようにレジストリが書き換えられており、そのせいでアプリケーションを実行しようとすると関連付けがおかしいという状況になっていたらしい。
そこで値として「av.exe」を含むレジストリキーを検索して全てを削除したが、それでも「.exe」の拡張子のファイルの実行が出来ない(症状が変化しない)。
さらに調べを進めていくと、「すべてのプログラム(EXE,LNKファイル)を実行できない」というページを発見したので、そこに載っていた手順を実行してみた。
そこで気付いたのが上記のページで示されたレジストリキー
\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.exeの値に本来は「exefile」の筈なのに「secfile」という値が入っているということ。
explorer.exeでファイルを表示した際のファイルの説明も本来は「アプリケーション」となっている筈なのだが、ここが「secfile」となっている。
そこで値が「secfile」となっているレジストリキーの値を全て本来の「exefile」に修正したところ、ようやく通常通りにプログラムの起動が出来るようになった。
この修正作業をしている最中にコンテキストメニューの「管理者権限で実行」が無くなったので、レジストリエディタの起動もコマンドプロンプトから「regedit」と入力して行わざるを得なくなった。
これも復旧後にはコンテキストメニューに復活していた。

”人気ブログランキングへ"←クリックしてくれると嬉しいです。

雨降ってる

なんか朝から暖かいなぁと思っていたけど、ちょっと前に外を見たら雨が降ってる。
昨日も暖かかったけど、今日はそれ以上に暖かくなる見込み。
この暖気のおかげで一昨日の夜から昨日の朝にかけて積もった雪も殆ど融けてしまうだろうなぁ、、、、

”人気ブログランキングへ"←クリックしてくれると嬉しいです。