Skiaというフォントからマルウェアに感染したかも

質問

「ウイルス入ったかも」と相談され、内容を調べています。

Skiaという無料のフォントをインストールしようとしたところ、マルウェア対策ソフト ESET NOD32が反応した（ESET ログ１）そうですが、駆除できたというメッセージが出たので、そのままインストールしたそうです。
すると、また何かESETが反応した（ESET ログ２）そうです。

怪しかったけど駆除できたっポイから大丈夫だろうと、別のＰＣにインストーラ持って行って、またフォントをインストールしたところ、そちらのＰＣでもESET NOD32が反応したそうです。（ESET ログ３）

その後、スキャンしたりして警戒したら、また何か削除されたようなメッセージが出ているようです。（ESET ログ４、ESET ログ５）

これは、どういう状況でしょうか？
ESETの過剰反応とかでなく、ガッツリマルウェアにやられたのでしょうか？
無料のfontのインストーラにマルウェアを仕込まれている状態でしょうか？
どのような実害が予想されますか？
スキャンして自動で駆除されるのですが、されずに残っている場合もあったりします。
もうＯＳ初期化するしかなさそうですか？

Skiaというフォントがどうしても欲しいそうです。
安全に使用できるSkiaフォントをダウンロードできるサイトはありますか？

あるいは、このインストーラを浄化する事はできますか？

以上、よろしくお願いします。

【SkiaのダウンロードＵＲＬ】
http://jp.ffonts.net/Skia.font
（気を付けて下さい！！）

【ESET ログ１】
レベル 重大な警告
スキャナ リアルタイムファイルシステム保護
対象 ファイル
名前 F:\Skia_downloader_by_Ffonts.exe
ウイルス Win32/Somoto.Aの亜種 望ましくない可能性があるアプリケーション
情報 アプリケーションによって新規作成されたファイルでイベントが発生しました: C:\WINDOWS\explorer.exe.

【ESET ログ２】
レベル 重大な警告
スキャナ リアルタイムファイルシステム保護
名前 C:\DOCUME~1\user1\LOCALS~1\Temp\BetterInstaller.exe
ウイルス Win32/Somoto.Aの亜種 望ましくない可能性があるアプリケーション
情報 アプリケーションによって新規作成されたファイルでイベントが発生しました: C:\Documents and Settings\user1\デスクトップ\Skia_downloader_by_Ffonts.exe.

【ESET ログ３】
レベル 重大な警告
スキャナ リアルタイムファイルシステム保護
対象 ファイル
名前 C:\DOCUME~1\user2\LOCALS~1\Temp\BetterInstaller.exe
ウイルス Win32/Somoto.Aの亜種 望ましくない可能性があるアプリケーション
情報 アプリケーションによって新規作成されたファイルでイベントが発生しました: C:\Documents and Settings\user2\デスクトップ\Skia_downloader_by_Ffonts.exe.

【ESET ログ４】
レベル 警告
スキャナ リアルタイムファイルシステム保護
名前 C:\System Volume Information\_restore{4203F65C-1384-4E7E-81AE-9C815E2F88D5}\RP757\A0088069.exe
ウイルス Win32/Somoto.Aの亜種 望ましくない可能性があるアプリケーション
アクション 削除されました - 隔離しました
ユーザ NT AUTHORITY\SYSTEM
情報 アプリケーションによって変更されたファイルでイベントが発生しました: C:\WINDOWS\system32\svchost.exe.

【ESET ログ５】
レベル 警告
スキャナ リアルタイムファイルシステム保護
名前 C:\System Volume Information\_restore{4203F65C-1384-4E7E-81AE-9C815E2F88D5}\RP758\A0088124.exe
ウイルス Win32/Toolbar.Babylonの亜種である可能性 望ましくない可能性があるアプリケーション
アクション 削除されました - 隔離しました
ユーザ NT AUTHORITY\SYSTEM
情報 アプリケーションによって変更されたファイルでイベントが発生しました: C:\WINDOWS\system32\svchost.exe.

回答No.1

CometBrust · ベストアンサー

BitDefenderでは反応しませんね。
ただし途中のBabylonなどインストールは全て拒否しましたが。
想像ですが「Babylon」がウィルスとされたのではないでしょうか？
すでにBabylonToolberがインストールされたのなら、これをきちんと削除すれば問題ないと思います。
またこのフォントがどうしてもほしいということですが、このインストーラー使わずとも入手可能です。
貴方が示されたリンクで「ダウンロードする」をクリック後、自動でダウンロードが始まるのはキャンセルします。
（ダウンロードしてしまってもそのまま削除する）
「ダウンロードする」をクリックした際、ページが自動で変わってるはず。
そのページで「リンクをダウンロード 1」の部分をクリックすれば、「Skia.zip」がダウンロード可能です。

お礼

ありがとうございます。

つまりは、fontのインストーラに何かのツールバーなどが抱き合わせで仕込まれていて、それがマルウェア扱いされているという事でしょうか。

＞想像ですが「Babylon」がウィルスとされたのではないでしょうか？

のようです。
「ウイルスWin32/Toolbar.Babylonの亜種」とハッキリ出ていますので、
ESETのパターンファイル上では「Babylon」はウイルスWin32にカテゴライズされているようです。

教えて頂いた方法でzipが入手できました。
今考えると、fontなので、そもそもインストーラなんて必要ないので、最初から怪しかったですね。

回答No.2

nekobox

こんにちは。

解説しましょう。

ミソはダウンローダーということです。

普通にフォントのzipなりrarなり仕入れてきて自分で変更する作業とは違うということです。

ダウンローダーってのは指定された外部のサイトから目的とするプログラムファイルをDLしてそのままローカルPC側で起動します。目的とするプログラムはセットアップファイルですよ。

つまりは、Babylonのインストールと抱き合わせ(チェックボックス見逃すと)になってるということです。

Downloaderやinstallerといったオブジェクトが検出されるのはおそらくBabylonそのもののオブジェクトではないが、Babylonのインストールに至ってしまう関連オブジェクトであるために検出されてるとおもいます。

なお、System Volume Information\_restoreアリアで検出されてるのは何か新しくプログラムのインストールなどを行うと自動的にシステムが復元ポイントを作成するからです。当然ESETが検出対象とするオブジェクトが含まれるからです。

こういったことを解説できるのがセキュリティー通です。

お礼

なるほど、ありがとうございます。