WinAntiVirusPro 2006って？

こちらは、お得意さまのご近所さん。
私のバイクの後ろに書いてある電話番号を控えておいてくれたそうです。
ありがたいことです。
やっぱりとりあえずでかでかと書いておくもんですねぇ。

「こないだNTTの光を引いてウイルス対策はしてあるはずなんですけど、なんか『登録しなさい』って出るんですけど…」

ん～、NTTの光って…光プレミアムですよね。
光プレミアムなら、「セキュリティ対策ツール」という名のウイルスバスターが標準で入っているはずです。
うーむ、なんだ？？

どういう名前のソフトがそれを出しているのか聞いてみましたが、どうにも要領を得ません。
それがわかれば、対策も取りやすいんですが…。

仕方ない、とりあえず現地で確認するしかないか。

行ってみてびっくり、久々の大物です。

-----

お伺いして電源を入れてもらうと…。

は、はぁ？？

WinAntiVirusPro2006…ってなんじゃ？？

そして続いて出てきた画面。

警告！１重大な感染検出！
WinAntiVirusがあなたのコンピュータに　1　重大な感染検出しました。
この脅威に即時動作を行なわない場合は,感染によって次の問題の恐れがあります:

• ドキュメントと設定の損失
• 完全データ損失
• システムがスタートアップしません
• システムの減速とクラッシュ
• インターネット接続の切断
• あなたのネットワークの他のコンピュータに感染中

ウィルスを削除するにはWinAntiVirus Pro 2006の登録コピーが必要です。WinAntiVirus Pro 2006のコピーを登録してセキューリティに対する脅威を削除するために「今登録」をクリックしてください。

□後でコンピゥータにログする時に通知する　　　　　〔　→　今登録！　〕　〔後で通知する〕

ぐわっ！！
な、なんちゅう刺激的なメッセージじゃ…。

しかし、よくよくメッセージを読んでみると、いろいろ変なところがある。

検出した「脅威」とやらが、「WhenU Price...」とか書いてある。
たしかにWhenUは、過去にも駆除したことがあるアドウェア（ポップアップなどの広告目的のソフトウェア）の製作会社の名前だ。
しかし、これはあくまでアドウェアであり、他のパソコンに感染を広げるような活動はしないタイプのものだ。
よって、「あなたのネットワークの他のコンピュータに感染中」というのはないはず。
また、アド（広告）ウェアという性格上、基本的には「システムがスタートアップしません」という障害を引き起こすような動作は設計されていないはず（もちろん設計不良で引き起こす障害は別ですが）。

それに、「セキューリティに対する脅威」とか「後でコンピゥータにログする時に」とかって…なんじゃそりゃ(笑)。

勝手にシステムに居座り、ウソの検出報告をしたり、いい加減な記述を連ねているところから考えても、これは明らかにインチキソフトであり、信用に値しないソフトです。

そういう判断がきちんとできる人はほとんどいませんので、お客さんはここで「今登録」をクリックしてしまったらしいんですが、何も起こらなかった、とのこと。
というよりは、現状はクリックしてもしなくても、これ以上何もできません。
キーボードも全く利かないので、強制電源断しかありません。
うーむ、困ったぞ。

仕方がないので、ハードディスクのアクセスがないことを確認して、電源ボタンの長押しで強制電源断。
そしてもう一度電源を入れてみた。

最終的には、やはりそのまま同じように固まってしまうんだけど、どうやらしばらくは動いていてくれるようです。
固まってしまうまでに、できることをやっていこう。

とりあえずいつもやってるHijackThisによる起動項目のチェック。

Running processes:
C:\Program Files\WinAntiVirus Pro 2006\FWSvc.exe
C:\Program Files\WinAntiVirus Pro 2006\unins000.exe
C:\DOCUME~1\******~1\LOCALS~1\Temp\_iu14D2N.tmp

O2 - BHO: CIEIntegrator Object - {2178F3FB-2560-458F-BDEE-631E2FE0DFE4} - C:\Program Files\WinAntiVirus Pro 2006\winpgi.dll
O4 - HKLM\..\Run: [WinAntiVirusPro2006] C:\Program Files\WinAntiVirus Pro 2006\winav.exe /min

うーむむむ、起動中のとか起動項目とか、怪しいのはこの程度だ。
WhenUのアドウェアって、Tempフォルダの怪しげなやつ？いや、まさかね…。
なんとかHijackThisのログは残せましたが、すぐに固まってしまいます。

再起動して、今度はスタートメニューのアンインストール用の項目がないかどうかのチェックです。

おお！ありましたありました。
「WinAntiVirus Pro 2006のアンインストール」と書かれたショートカットが。
とりあえずこれを実行です。

なにやら英語の怪しげなページが表示されましたが、アンインストールの操作をしているようです。
終わったようで、再起動を促されましたので再起動。

…どうやら消えてなくなったようです。
HijackThisでの確認も、怪しい項目はなくなっていました。

この類のソフトは、ほとんどは「仕込み」をされたホームページを表示することにより、既知もしくは未知のセキュリティホールを使ってパソコンに入り込んできます。
そして、その多くは、[Temporary Internet Files] フォルダ（InternetExplorerの一時ファイル用フォルダ）や[Temp] フォルダ（Windowsの一時ファイル用フォルダ）で活動を開始し始めます。
現に、今回見つかった、

C:\DOCUME~1\******~1\LOCALS~1\Temp\_iu14D2N.tmp

このファイルも、Windows用一時ファイルで活動していました。

私が見させていただいたお客さんの場合は、リソース整理やウイルスチェックをする時点で、InternetExplorerの設定を、

「ブラウザを閉じたとき、[Temporary Internet Files] フォルダを空にする」

にチェックを入れるようにしています。
こうしておけば、そこを通じて入ってこようとしているファイルも、ブラウザを全て閉じてしまえば、そこにあったファイルは消滅します。
Windowsの一時ファイルの場合は、こういう設定がないので、手動で削除操作が必要なのでちょっと面倒なのですが。

今回は、早速手動で一時ファイルのフォルダを空っぽにしました。

その上で、すでにインストール済みの、光プレミアム標準装備「セキュリティ対策ツール（という名のウイルスバスター）」でシステムをスキャンしました。
とりあえず何もいないような表示をしたようですが…まぁスパイウェアやアドウェアの場合は、ウイルスバスターのスキャン結果はあまり過信はできません。
トレンドマイクロは、この種類のマルウェア（悪性ソフト）にはかなり寛容なのです。
ノートンでは除去するソフトでも、ウィルスバスターではサイトの情報で「広告ウェアなので検出しません」とか書いてあることもあるぐらいです。
たとえばこんな感じです。
http://www.trendmicro.co.jp/vinfo/virusencyclo/alphalisting.asp?NAV=8<r=A

そのうちの一例ですが、
ADW_CASHBACK.A - 概　要　：トレンドマイクロ　ウイルスデータベース

　これは広告表示のためのプログラムです。ユーザの迷惑になるものとして現在では一般的に「アドウェア」に分類されています。

　「アドウェア」とは広告表示の活動を行うためのプログラムのうち、ユーザの不利益にも繋がりかねないグレーゾーンの活動が含まれているものを指します。「不正プログラム」とまでは断定できない疑わしい活動を行うソフトウェア、とも言えます。「アドウェア」と呼ばれるソフトウェアには正規のソフトウェアベンダーによって作成、頒布されているものも含まれます。

　「不正プログラム」とは断定できないグレーゾーンのプログラムのため、本来はウイルス検出の対応は行いません。しかし、対応のご要望が多く寄せられたため、弊社ウイルス対策製品のスパイウェア検出機能（スパイウェアパターン161以降）にて検出に対応いたしました。このソフトウェアを意識的に使用しているなどで検出させたくない場合には製品のスパイウェア検出機能をオフにするなどしてご使用ください。

…うーむ、こんなもん、誰が「意識的に使用」するんだ？？
勝手な基準でマルウェアと判断して訴訟沙汰になるのをおそれているのでしょうか…。

本当ならここでSpybotとかAdAwareSEを使ってチェックをするところなのですが、時間がなかったのもあるんですが、あろうことかこの日に限ってそれらのソフトを入れているUSBメモリやCD-Rを置いてきてしまったのです…。
大失敗です…。

しかし、とりあえずWinAntiVirusProが起動しなくなりましたし、HijackThisでの起動項目もなくなりましたし、何度か再起動をかけても問題ないようなので、これで様子を見てもらうことにしました。

この記事を書くにあたって、いろいろ調べましたが、先日からちょくちょく検索ワードに引っかかってくる WinFixer 2005 というものと関連が大きいようです。

Trojan.Vundoの駆除　：【アダルトサイト被害対策の部屋】
Trojan.Vundo の駆除ツール（Symantec 駆除ツール & VundoFix）の使い方　：【アダ被の部屋】Wiki

こちらの記事にあるのは、WinAntiVirusProの英語版ですが、今回出たのは日本語版です。

いろいろ探ると、堂々と公式サイト(笑)がありました。

http://www.winantivirus.com/　（英語版）
http://jp.winantivirus.com/　（日本語版）
※リンクは張りません。単に表示させただけでいきなりインストールさせられることはないようですが、見に行く場合は自己責任で。

英語版はいいとして、日本語版のサイトはかなり怪しいです。
ムリヤリ機械翻訳したとしか思えない日本語の羅列ですし、用意されている「弊社について」というページを見ても、会社の詳細・連絡先は一切書かれていないという怪しさ爆発の会社です。
こういうところに個人情報やクレジットカードの情報を送ったらどういうことになるかは、おそらく素人でもわかるでしょう…。

-----

時間の関係でこのまま作業は終わることになるのですが、ただ一つ気になるのは、WindowsXPがSP2未適用であること。
SP2適用はできないにしても、とりあえず時間いっぱいまで、SP2適用で問題が出ないかどうか、このパソコンに関する情報を探ってみました。

本体を見ると、DREAMSYSという機種名がありますし、壁紙もその機種名があるので、自作パソコンではないようですが…

DREAMSYS / ドリームシス

うーん、こういうメーカーがあったんですね。
お聞きすると、千葉のPC DEPOT（PCデポ）という店で買ったらしいのです。
調べてみたら、そこのオリジナルパソコン JL2251Bのようです。

基本的には、テレビ機能やらヤヤコシイものはついていないようですし、CPUはCeleronなので、基本的にはSP2を適用しても起動しなくなるなどの致命的なトラブルは発生しないだろうとは思うのですが、メーカーサイトにもこの機種のSP2対応情報はなく、この限られた時間ではお手上げ状態です。

とにかく時間もないですので、とりあえず「まともに起動して使える状態」を最優先し、このままで引渡しです。
光プレミアム標準装備「セキュリティ対策ツール（という名のウイルスバスター）」があるとはいえ、セキュリティホールまでは完全に守ってくれるわけではないので、後ろ髪を引かれる思いで引き上げです。