偽装ソフトの削除方法についての質問です

質問

はじめまして、初めて質問させてもらいます。
偽装セキュリティソフトに感染して調べていました。
いつもは知恵袋でしたが、こちらの方が詳しい回答をもらえると聞きましたので質問します。
偽装セキュリティソフトの削除でこのサイトを見ました。
http://ww　w.antivirushell.com/2008/07/malware-protect-2008.html
僕はどうにも出来なかったので友人にはリカバリーをしてもらい正常になったのですが、こちらのサイトさんによると偽ソフト場合リカバリーは間違っているそうです。
いろいろ調べましたが、みんなリカバリーを進めています。
アダルト被害対策室でしたっけ、よく回答者さが参考に引き合いに出されているサイトさんの指導でもHijackThisを使っていたと思います。
僕も最近セキュリティ興味があるので見てるんですが、感染したときにリカバリーやアダルト被害対策室のHijackThiの方法では古かったり間違っているんですか？
僕のレベルではHijackThisは使えませんけど、古くて使えないとは思えなかったです。僕が見た質問は解決してました。
上に書いたサイトさんは正しいですか。詳しい回答者の方おねがいします。
友人の場合ではリカバイーで直って、３日たっていますがウイルスは再度出てきていません。（antivirus 2008でした）
このサイトがどうのこうのという事ではなく、このサイトの方法は合っているかという質問です。

回答No.4

ryu-fiz · ベストアンサー

質問者さんが引用されたURLを閲覧してみました。

私の個人的意見としては、向こうの記述に部分的に問題があるように思われました。それは、『ハードディスクリカバリによるOSの初期化は、インストールCDを利用してのクリーンインストールと異なり、感染したマルウェアはそのまま残ってしまう』という意味合いの記述が存在することです。

私もめちゃくちゃその辺に詳しい訳ではないですが…『PCを工場出荷時の状態に戻す』という意味でのリカバリは、基本的にはインストールCDによるクリーンインストールと同じ目的で用いられるものと考えるべきだと思います。

もちろん、リカバリを行う際にはいろいろなやり方があって、いわゆる『上書きインストール』と同様な結果になる選択肢も用意されているので、そうした選択をしてしまえば、マルウェアはシステム上から消えずにそのまま残ってしまう危険性はあるようには思えます。しかしながら、『工場出荷時の状態に戻す』リカバリを行った場合には、厳密にはマルウェアのプログラムなどを構成するデータの大半が、簡単には読み出すことが出来ない状態ではあっても残ってしまうとしても…OS上から単純に通常の操作をしただけで突然復活してしまうようなことはあり得ないと思われます。

（データを上書きして消えたと思われるデータも、ある種の操作をすれば復活出来る場合がある、ということは、イコールまるまる残ってそのまま実行可能になるということではありません）

HijackThisが『過去の案内』だとする記述も、あまりに偏り過ぎていると思われます。確かに、HijackThisでの解析だけであらゆる感染を見つけ、十分対処出来るような時代ではなくなったのかも知れません。しかし…だからといってHijackThisを使うことが最早間違いであるような書き方をする一方で、SUPERAntiSpywareの利用がそれよりも『確実に』高い効果を発揮するとも読み取れる書き方は、個人的にはかなり問題があるように思われます。

当方としても、SUPERAntiSpywareを質問者さんに勧めるケースは過去に結構ありました。でもそれはHijackThisよりも有用だからではなく、初心者さんが解説サイト通りに実行するだけで、簡単かつ確実に問題を解消出来る可能性がある程度残されている、と判断出来るケースにおいてそうした、ということに過ぎません。

更に言えば…最近のインチキ対策ソフト絡みの感染では、SUPERAntiSpywareを用いても、その根を絶てないと思われる感染もかなり出て来ており、そうしたケースに対してMalwareBytes'AntiMalwareという比較的新しいツールの利用を勧める海外フォーラムなどのアドバイザリも増えてきたように思われます。

また、それでも対応出来るかが未知数の感染に対しては、ComboFixなどの専門的知識が必要なツールを、場合によっては複数使って解析作業を行う必要もありそうなケースも出て来ています。そうした難しい感染の解析を行う上では、やはりHijackThisのログが基本中の基本として活用される感じになっていると思われます。

つまり、SUPERAntiSpywareが最良の（もしかしたら『唯一の』？）選択肢であるという考え方そのものが、もう時代に遅れ始めている可能性が高いということです。

まぁ、いろいろと書きましたが…私自身の意見としては、件のサイトの情報はかなりの面で偏り、行き過ぎの感があるように思われます。ネット上にはさまざまな情報が飛び交っていますが、最終的には各自が判断し、情報の取捨選択や決定を行っていかなくてはならないのです。ネット上の情報を頭から信用するんじゃなく、折に触れて考えながら咀嚼することも必要不可欠と考えます。

…そうなると、私の回答もまるごといきなり信用しちゃいけないということか（苦笑）

お礼

ryu-fizさんありがとうございます。
僕もリカバリーで消えると思っています。そんなに簡単に解決出来たら専門家が苦労しないですよね。まるごと信用はしませんが（？笑）、ryu-fizさんの回答の方が素直に受け取れます。

回答No.5

wamos101

#3です。追記します。

リカバリに関してですが、少し前まではリカバリCDなど光学メディアからのリカバリもありましたが、HDDの大容量化に伴いHDD内に隠しパーティションとしてリカバリイメージを保存しておくパターンが現在では主流です。

このリカバリイメージからのリストアですと完全に出荷時の状態になります。リカバリプログラムによってはパーティション操作が可能なこともあったりします。勝手に・・・のサイトの人はOSの修復インストールと混同しちゃってるんじゃないですかねｗ。

お礼

wamos101さん追記ありがとうございます。
混同してるのかもしれないですよね。
他のテスト結果でも無理やり感染させていますが、それで正しいテストの比較になるのか？防げているのになぜ外したの。
ほんとに合ってるのかと思いました。

回答No.3

wamos101

こんにちは。

当方はクラッカーコミュティー潜入調査や対策ソフトの多角的性能テストなどをしております。

>感染したときにリカバリーやアダルト被害対策室のHijackThiの方法では古かったり間違っているんですか？

いいえ、間違っているとは思いません。SuperAntispywareを使ってみるのもまた一手だとは思いますが。

「勝手にウイルステスト」のその記事に関してですが、例えば「アクション発生マルウェア本体が存在する可能性が高い」とありますが、これはWebダウンローダーやネットワークインストーラーですよね。具体的に言えば。トリガと普通に書けばいいのにｗ。ちなみに、当方ではFWB(Firewall Bypass)-Malwareなんかのテストもしています。

で、「出来れば常時安全セキュリティ24へ加入頂くのがベストです」となってますけど、確かに定評のあるベンダと組んでるのはわかりますけど、VPN接続に関しては別にどったことないです。受動的攻撃ではほとんど意味無いですから。

対策ソフトの検証記事なんかでも当方が同じようにやってみたところ(機材は違う)、同じ結果が得られないことがありましたし。と言っても時間差による影響は排除できませんでしたけど。

まあ、個人的には特にスキルに長けた方でもないなというのが正直なところですね。とりあえずスポンサーリンクがあるところは少々割り引いて見る必要はあるかと思います。

お礼

wamos101さんありがとうございます。
そうですよね。解決方法の一手なら分かります。
おとなの事情で書いてるんでしょうか。割り引いて読みます。

回答No.2

s-e-kun

No1です
記載の一部で指摘をされるかも知れないので追記ですが
AntiVirでフリーでスパイやアドウェアー等に対応してませんが当方の使ってるのはAntiVirの有料版で日本語表示になってるProScanです。
もちろんスパイ等に対応です。

お礼

お礼が抜けてました。すいません。
回答ありがとうございます。
お礼をしてからコメントしなくちゃだめですよね。ありがとうございました。

回答No.1

s-e-kun

こんにちは
自分はPC初心者なので的確なアドバイスでは無いかもしれませんが。
参考URLのサイトは良く自分も参考にしていますが、自分もこの方法は一つの答えだと思います、ただ答えが一つとは限りません。
ただ検体集めしていて同じ偽装セキュリティーなのに更新頻度が高くて検知及び駆除が出来なくなる偽装セキュリティーもいくつか見つけました、カスペルスキーやG-DATAやEsetやAntiVirでも検知出来ませんでした。
http://ratan.dyndns.info/avast4/patio/patio.cgi?mode=view&no=487
ここの管理人さんがリカバリーやOSのクリーンインストールを進めて無い訳じゃないと思います。
要は感染した経緯が分かって無いのにリカバリーをしても再感染の可能性も有りそれらがわからないのにリカバリーしてもって事が言いたいのでは思います。
この度はたまたま再感染をしませんでしたけどもし再感染してたらまたリカバリーされますか？自分ならやはりなぜ感染したかを突き止めてからのリカバリーを考えます。
余りアカウントの重要性を訴える方を見ませんが自分はこのサイトの管理人さんからアカウントの重要性を数年前に教えていただきました、実際質問者さんが感染してたantivirus 2008は凄く更新頻度の高い偽装セキュリティーですが制限ユーザーでログインして有ればantivirus 2008に関しては自分が試した限りでは100％防げました。（カスペルスキーやG-DATAやEsetやAntiVirやエフセキュアなど検出率のかなり上位グループで検知出来なくてもです）
説明が下手なので上手く伝わらないかもしれませんが要はリカバリー等をする前に感染原因の特定が先ではないでしょうかと言うのが言いたいのだと思います。
自分もそう思うので参考URLの回答は合ってると思います。

お礼

s-e-kunさんみたに答えてくれたら納得します。
でも自分以外は間違いみたいな書き方はちがうと思ってしまいます。
知識は無いんですが、なんか変だと思いました。正直な感想です。