ロゴキー＋RとCtrl＋Vの操作とは

質問

ロゴキー＋RとCtrl＋Vの操作について
変なウェブサイトに入ったら
Windowsロゴキー＋R→Ctrl＋V→Enterと指示が出てきたので習ってやってしまいました。途中で怖くなってタブを全部閉じました。質問です。

１この操作によって何が行われたのですか？
２勝手に違法なファイルをダウンロード保存されてしまったりしたのでしょうか。（ストレージには何もありませんでした。）

心配性で情弱ですいません。
そのコードを確認したいとのことでしたら貼ります。

回答No.9

luka3 · ベストアンサー

こちらに関連する情報が海外サイトにありました。
それによると、最初のURLは MSHTA で実行するためのスクリプトのようです（デコードした時、MSHTA "URL"になってましたか？）。
スクリプトが実行されると、そこからさらに別の実行ファイル（マルウェア本体）をダウンロードするようで、これがLummaStealerと判定されるようです。
最初にダウンロードされるスクリプトを「（本体をダウンロードする）ダウンローダー」とVirusTotalが教えてくれたということだと思います。

この海外サイトによると、本体はこの１つのようです。
これを信じるなら、WindowsDefenderによる駆除は成功したと言えます。

ただ、進化または改造された亜種がないとも言いきれません。
心配であれば初期化した方が無難、とも言えます。
初期化すれば、マルウェアの影響はなくなります。

補足

確かにMSHTAという単語がありました。
わざわざこんな親身になって行ってくれてありがとうございます。今後気をつけるようにします。

回答No.8

luka3

＞LummaStealerとは書いてはなかったと思います。もどうしようもないですか？

VIRUSTOTALとWindowsDefenderで、呼び名が違う可能性もあります。

ちょっと危険ですが、デコードされたURLをブラウザで開いて、一次ファイルをダウンロードしてみることで、これが LummaStealer と判定されるかどうか試すことができるかと思います。
ダウンロードするだけならセーフですが、このファイルは絶対に実行してはいけません。

WindowsDefenderが反応すればLummaStealerと出て削除されるはず。
もし、無反応ならWindowsDefenderが未対応のマルウェア（ウイルス）ということで、すぐに削除（シフトキーを押しながら削除するとゴミ箱に入らず完全削除）します。

最初に実行してしまったＰＣはネットにつながない方がいいので、別のＰＣが必要になりますが、大丈夫でしょうか？
もし無ければ、事情を詳細に説明した上で家族や友人に試してみてもらうとかでしょうか。

補足

他にPCはなく家族もPCが無いし友人がパソコン持ってるかも分からないのできついかもしれません。もういらないスマホでそのURLを打ってみたところファイルをダウンロードするかという確認が出てきました。クレカや友人とメールしたこともないので初期化してもいいのですが、初期化しても無駄ですか？

回答No.7

notnot

> パソコンは基本調べ物とかYouTube見るくらいで、その他では使ってないのでメールとかクレカとかの被害はないと思います。

メール読み書きしておらず、ネット通販などもやっておらず、金融系サイトにもアクセスしておらず、過去にクレカ番号の入力も絶対していないのであれば、情報流出による被害はほぼ無いと言うことだと思います。全くの空き家に泥棒が入っても被害無し。

あなたが実行してしまったのが、そのTrojan:Win32/LummaStealer.DA!MTBのインストールだけであるという証拠が得られたら、それは駆除されたので、大事ないでしょう。
（LummaStealerのStealは「盗む」という意味ですが）
ただ、他にもいろいろインストールさせられたけど、1つしか発見されていないのなら、多数の不正ソフトが潜伏中かも知れません。
この区別は詳しい調査をしないと判別不能ですね。

調べ物とYoutubeくらいなら、残しておきたいデータもほとんど無いでしょうから、PC初期化するのが良いと思います。

回答No.6

luka3

＞パワーシェル〜英語の文字列みたいな感じでした。調べても見つかりませんとしか出てきません。

BASE64でエンコードされていると思われます。
英数の塊の部分を、下記ページでデコードしてみてください。
" か ' で囲まれているはずなので、その内側（" か ' が含まれない）を変換してみてください。

https://tool-taro.com/base64_decode/

補足

"も'もなかったので−以降の文字列をやってみたらURLが出てきたので先程のサイトでやってみたら英語でダウンロードファイルだなんだか出て97分の7の会社が脅威としている。と出てきました。LummaStealerとは書いてはなかったと思います。もどうしようもないですか？

回答No.5

luka3

＞すぐにセキュリティから警告があり脅威を発見しました。ときました。

脅威が発見された部分については、安全が確保されたと言えますが、パターンとしては２つ考えられます。

まず１つ目は、一番最初にダウンロードされたのが「LummaStealer」である場合。
この場合は脅威がなくなったと言えます。

２つ目は、一番最初にダウンロードされたファイルがWindowsDefenderのチェックをすり抜けた場合。
この一次ファイルが実行されて、二次ファイルとしてダウンロードされた「LummaStealer」が発見されたと考えると、脅威は残ったままということになります。

この確認方法ですが、実行したコマンドの中にURLが入っていたと思います。
そのURLを VIRUSTOTAL でチェックしてみてください。
https://www.virustotal.com/gui/home/url
URL部分を張り付けてEnterを押すと調べてくれます。
これで、LummaStealerが出てくればセーフ、別の名前が出てきたらアウトです。

なお、コマンドを実行してしまったＰＣは安全が確認できるまでネットに接続せず、別のＰＣかスマホでチェックしましょう。

実行コードは悪用防止のため、絶対に貼り付けないでください。

補足

コマンドはURLなのかはわかりませんが
パワーシェル〜英語の文字列みたいな感じでした。調べても見つかりませんとしか出てきません。
一応セキュリティスキャンもしてみましたが現在脅威はありませんと出ました。

回答No.4

notnot

NO3です。さっきは、情報漏洩前提でいろいろ書きましたが、全然違う攻撃の可能性もあります。

たとえば、「仮想通貨のデータマイニングのプログラムを実行させられている」とか。これはCPUを使う計算をすることでお金を儲けられるかもというプログラムです。これだと、PCを勝手に使われている以外の被害はありません。高負荷のプログラムだと、PC寿命に影響するかもですが。
あとは、「どこかに犯罪予告を送りつける」「特定個人に対しての攻撃や誹謗中傷のSNS投稿をする」とかだと、ある日警察が家宅捜索に来ますけど、ちゃんと調べられれば有罪にはならないでしょうから、「PC内情報全漏洩」よりはましかも知れません。
あとは、企業や政府機関にへの攻撃の道具（ウェブサイトにひたすらアクセスを繰り返すとかでサーバーをダウンさせる）にされるとかだと、あまり自分への実害は無いかも。そういうPCは世界で何百万台もあるらしい。

そのうちどれなのか、あるいはそれら以外かは自分で調べるのは難しいでしょうから、やはり先ほど紹介したページにあるIPA等に相談ですかね。

補足

すぐにセキュリティから警告があり脅威を発見しました。ときました。
Trojan:Win32/LummaStealer.DA!MTBと書いてありました。脅威は検閲？か削除された。らしいんですけどきついですかね。
パソコンは基本調べ物とかYouTube見るくらいで、その他では使ってないのでメールとかクレカとかの被害はないと思います。

回答No.3

notnot

すでに回答がありますが、もう駄目な可能性がかなり高いです。
「悪人の指定したファイルをダウンロードして実行してしまった」可能性が高い。というか、そういう目的でなければ、「Windowsロゴキー＋R→Ctrl＋V→Enterと指示」なんてしません。
単に「著作権違反などの違法ファイルのダウンロード」なら、相手に何のメリットも無いので、それだけであった可能性は無いと思います。いろいろ情報が漏れてるはず。

重要な情報を暗号化せずに書き込んだファイルや、重要な内容が書かれたメールとかあったら、内容は悪人に知られていると思いましょう。
ブラウザに記憶させたIDとパスワードは、暗号化されてブラウザが管理するファイルに書かれていますが、解読は技術的に可能なので、これも悪人に知られた可能性は十分あります。
メールをやりとりした人のメールアドレスやメールの中味自体も漏れてるので知人にも迷惑が掛かります。

PC内の（暗号化してない）情報は全て漏れた前提で、出来ることをしましょう。
サイトのパスワードは全部変更。金融系は即。知らない振込など被害が無いかも確認。
クレジットカード番号が漏れた可能性があるなら、カード会社に事情を話して、どうするか相談。カードの紛失盗難と同じくちゃんと届けておけば、不正利用されてもカード会社側の保険で対応できるはず。
知人のメールアドレスや住所その他の流出はどうするか難しいですね。

https://www.dekyo.or.jp/soudan/contents/info/inquiry.html
を見ると、相談窓口があるようです。
○コンピュータウイルスや不正アクセスに関するご相談
[情報セキュリティ安心相談窓口]（IPA 独立行政法人 情報処理推進機構）
○インターネット上での犯罪にあわれた方のご相談
[警察庁・警視庁サイバー犯罪相談窓口](警察庁・警視庁）

回答No.2

chie65536（@chie65535）

＞１この操作によって何が行われたのですか？

ウイルスの可能性がある、安全でないファイルが実行されました。

＞Windowsロゴキー＋R→Ctrl＋V→Enterと指示が出てきたので

Windowsキー＋Rは「ファイル名を指定して実行」のショートカットです。

Ctrl＋Vは「貼り付け」です。「ファイル名を指定して実行」の入力枠に、クリップボードの内容が貼り付けられます。

Enterは「入力確定」です。「ファイル名を指定して実行」の入力枠に入力された文字を確定して、それを実行します。

もし、サイト内で、ウイルスがダウンロードされていていても、実行しない限り、感染しません。

サイト内では、ダウンロードしたファイルを自動で実行させる事は出来ないので、普通は「ダウンロードだけされて終り」です。

しかし、サイト内で「ダウンロードされたウイルスのファイル名をクリップボードに格納していた状態」で「Windowsロゴキー＋R→Ctrl＋V→Enter」と操作すると、その操作で「ウイルスが実行されてしまう」のです。

＞２勝手に違法なファイルをダウンロード保存されてしまったりしたのでしょうか。

違法なファイルなら、まだ救いがあります。ダウンロードされて実行されたのは「ウイルス」です。

ウイルスに感染したので、クレジットカードなどの個人情報が盗まれたり、スパムメールの発射台にされたり、ウイルスの拡散元にされたり、画像や動画などのプライベートなファイルを勝手に暗号化されて身代金を請求されたりします。

＞（ストレージには何もありませんでした。）

ウイルスが実行されると、システムファイルの中に自分のコピーを作って隠れ、ウイルス自身を自己消去して証拠隠滅します。なので、ストレージを見ても痕跡が残っていません。

今すぐ、パソコンを初期化（全消去）して、Windowsを再インストールしましょう（もう手遅れかも知れません）

なお、プライベートな画像や動画は、諦めて下さい。画像や動画にウイルスが付いてしまっている可能性があるので、パソコンの中にあるファイルは、何一つ、残してはいけません。

過去、どこかにバックアップしてあったファイルなら、パソコン初期化後にリストアして構いません。

ただし、感染している状態で「バックアップしたファイルを見てみる」のは絶対に止めましょう。バックアップファイルがパソコンでアクセス出来る状態になった瞬間、バックアップファイルがウイルス感染する可能性があります（中身を見ていなくても感染する可能性があります）

回答No.1

19satoru75

WindowsKey＋Rでレジストリーエディタを起動して
Ctrl＋Vでペーストなので
その状態でエンターを押すと、ペーストされた値がレジストリーに書き込まれることになり、パソコンがおかしなことになりますね