insomnia - 二夜目の眠れない夜

昨日の記事でしるした，息子の PC に取り憑いた不埒なプログラム（エロサイトの金額請求画面が出まくる迷惑プログラム）は，Spybot の検査では果たして検出されなかった。これは，スパイウェアというよりも，「ワンクリック不正請求詐欺」というものだそうである。コンピュータ・ウイルスのなかでも，エロサイト閲覧者がもらってしまう STD（性病）のようなものか。

いかにエロサイトを見ているといえども，さすがにいかがわしいプログラムを実行したりしない私は，こんなパソコン性病に罹った経験はなかったので，バカ息子のおかげで勉強になった。これを「ワンクリウェア」と呼んでいるサイトもあった。ワンのクリするなんとかなんて，イヤらしさの気が利いている。だから私も以下「ワンクリウェア」と称することにする。

多くのワンクリウェアの手口は，「この動画を見たい人はコレを実行」とかなんとか唆して，スクリプトをエロ閲覧者にダウンロード・実行させるというもの。スクリプトは，mshta.exe を自動起動するようにレジストリを書き換えてしまう。すなわち，システム起動と同時に mshta.exe（これ自体は Microsoft Windows 付属のきちんとした HTML 解釈器らしい） が指定サイトの請求画面をデスクトップに貼付けるような動作を引き起こす。そういうのが代表的な振舞いのようである。

対策方法は "mshta ワンクリック" ででも検索すればわしゃわしゃ得られる。参考までに今回私が採った対策をメモしておく。ただし，ワンクリウェアはモノによっては追加的工夫をしていて，ひとつの手順であらゆる亜種に対抗できるわけではなさそうである。それを考慮した上で以下の対策を参考にしていただきたい。

msconfig（「スタート」→「ファイル名を指定して実行」から msconfig と入力して実行する）のスタートアップ一覧を改めて子細に確認すると，mshta.exe http://www.dhfksfundsd.biz/reg2.php?... なるものが登録されていた。レジストリエディタ（「スタート」→「ファイル名を指定して実行」から regedit と入力して実行する）でも，mshta を検索すると ...\Shared Tools\MSConfig\startupreg\system_boot_... に mshta http://www.dhfksfundsd.biz/reg2.php?... のようなコマンドが登録されているのを発見した。msconfig スタートアップ一覧で停止させるか，レジストリのこのエントリをごそっと削除すれば，起動時にこいつが動くのを停止できるはずである。レジストリエディタの操作は，ヘタすると取り返しのつかない障害に陥るので注意してほしい。責任は持てません。また，ワンクリウェアによってはレジストリキー（登録場所）が違う場合がある。msconfig で停止させるので充分だと思う。これでワンクリ対策が終わる場合が多いようである。

しかし，今回はこれだけではなかった。以上の対策をして再起動しても，しばらくするとまた症状が出る。システム停止時に再登録するウィルスでも併用しているのかと，大いに悩んだ。しかし，そんな迂遠な手法を採るだろうかとしばらく考えるうちに，タスクスケジューラ（定期的に自動実行すべきプログラムを指定できる Windows 機能。UNIX にも cron クローンという同じような機構が備わっている）に気付いた。果たして，このワンクリウェアはスタートアップに登録するだけでなく，タスクスケジューラに定期的に同じコマンドを実行させる工夫をしていた。タスクスケジュール一覧（これは「コントロールパネル」→「タスク」などから確認できる）を開いて，そのタスクを削除した。これでウチのワンクリウェアはやっとおとなしくなった。

ヘンな男あるいは女とナマでセックスしちゃいかん。同様に，ヘンなサイトを無防備に閲覧しちゃいかん。現代のコンピュータ・リテラシーのひとつである。