【パソコン人質】 偽セキュリティソフト Smart Guard Protection ウイルス 【身代金脅迫】

【1】 Windowsパソコンをセーフモードで起動する。 （パソコン起動直後にキーボードのF8キー連打でセーフモードに入れます）

• Windows 7
• Windows XP
• Windows Vista
• Windows 8 → 電源アイコン→Shiftキーを押しながら再起動 Google検索

[2013年9月19日追記...] セーフモードに入っても強制的に再起動させられてしまう？
⇒ 駆除方法の｛その２｝ か ｛その３｝へ

【2】 偽セキュリティソフトの実行ファイル本体が置かれてあるフォルダそのものをゴミ箱へポイッ。 （見つからない場合は隠しフォルダの表示の設定切り替えを）

• Windows Vista/7/8
  → C:\ProgramData\[ランダム文字列]\[同じランダム文字列].exe
• Windows XP
  → C:\Documents and Settings\All Users\Application Data\[ランダム文字列]\[同じランダム文字列].exe

または

• Windows Vista/7/8
  → C:\Users\[ユーザー名]\AppData\Roaming\[ランダム文字列]\[同じランダム文字列].exe
• Windows XP
  → C:\Documents and Settings\[ユーザー名]\Application Data\[ランダム文字列]\[同じランダム文字列].exe

ランダム文字列は、アルファベットと数字が混ざった８文字の長さで、感染したパソコンごとにバラバラです。

このフォルダやファイルの更新日時はウイルスに感染した日時とほぼ一致するはずで、下の画像のようにさっそくWindowsのエクスプローラを開いて、更新日時でフォルダを並び替えすることで見つけ出すこともできるはず。

• Windowsのスタートメニューやデスクトップに作成された偽セキュリティソフトのショートカット（ショートカットアイコン）上で右クリックし[プロパティ]を選んで、[リンク先]の項目を見るとファイルの置かれてある場所になってます。

【3】 Windowsのレジストリエディタを起動して、下の場所まで移動する。

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

右側の一覧リストで、偽セキュリティソフト名に由来してる項目が１つあるはずなので、項目を選択して右クリックメニューで削除する。Run項目そのものを削除してはダメ！

【4】 Windowsパソコンを普通に起動するため再起動する。

【5】 偽セキュリティソフトと違って目に見えて騒ぐことのない別のウイルス・スパイウェア・ルートキットに複数殺られてる可能性が十分考えられるので、下で紹介してる無料ウイルス駆除ツールでクイックスキャンを行う。

あと、ウイルスがWindowsのセキュリティ関連サービス（Windows Update、Windowsファイアウォール、Windowsセキュリティセンター）を停止させてる場合があるので Microsoft Fix it プログラムを実行する。

Windows のセキュリティ設定を自動的に診断および修正する方法 （Microsoft サポート）
http://support.microsoft.com/mats/malware_prevention/ja

【6】 スタートメニューやデスクトップにある偽セキュリティソフトのショートカット（ショートカットアイコン）がもし残ってたら、手動で削除する。

駆除削除アンインストール方法 ｛その２｝ − Malwarebytes Chameleon

無料ウイルス駆除ツールMalwarebytes Anti-Malwareを無理やりインストールするChameleon（カメレオン）バージョンをダウンロードして駆除させる方法です。

【1】 Internet Explorerブラウザを起動し、公式サイトから「mbam-chameleon-*.*.*.*.zip」ファイルをデスクトップにダウンロードする。 （Firefox や Chrome は起動阻止対象なので使えない）

http://www.malwarebytes.com/chameleon/
http://downloads.malwarebytes.com/file/chameleon/ （直URL）

『Warning! The site you are attemping to view 〜』 としてページの表示を毎回阻止してくるはずだけど、その都度
[Ignore warnings and visit that site in the current state (not recommended).] リンクの方をクリックする

【2】 ZIPファイルを解凍して、中身の起動用ファイルの１つ｛rundll32.exe svchost.exe winlogon.exe iexplore.exe らへん｝を実行する。 （これらは同一ファイルで、起動阻止をすり抜けるファイル名にそれぞれなってるだけ）

【3】 黒い画面（コマンドプロンプト）が表示され、[Press any key to continue]としてユーザーの入力を待つ状態になったら、キーボードのキーを押す。

【4】 『インストーラのダウンロード ⇒ ウイルス定義データの更新 ⇒ 不審なプロセスをチェックして偽セキュリティソフトの強制終了』といった流れで処理が自動的に行われるので待機し、最終的に Malwarebytes Anti-Malware のメインウィンドウが表示されたら「クイックスキャン」を行う。

駆除削除アンインストール方法 ｛その３｝ − アクティベートコード適用アンインストール

購入した状態へ持っていくアクティベートコードをわざと適用させ、偽セキュリティソフトにアンインストールさせる方法です。

【1】 偽セキュリティソフトのウィンドウ画面右下にある「○ Buy Full Edition」のところをクリックする

【2】 偽セキュリティソフトのショッピングウィンドウが開くので、左下にある [I already have activation key]ボタン を押す

【3】 わざと購入した状態に持ってくため、下のサイトに掲載されてる赤文字のアクティベートコードを入力ボックスに打ち込んで、[OK]ボタンを押す

http://siri-urz.blogspot.jp/search/label/SysSec

アクティベートが成功すると、プログラムの起動阻止といった妨害行為はなくなります。最終的に『Congratulations! All threats have been eliminated. Repair in Full edition completed.』というダイアログが表示されます。

【4】 上に書いてある『マニュアル駆除削除』の５番へ…。Windowsのスタートメニュー → [すべてのプログラム] → [(偽セキュリティソフト名)] → [Uninstall (偽セキュリティソフト名)] でアンインストールもできます。