Windows Vista Service Pack 1 (SP1) のサポートは 2011 年 7 月 12 日に終了します。 Windows 用のセキュリティ更新プログラムを継続して入手するには、Windows Vista Service Pack 2 (SP2) を実行していることを確認してください。 詳細については、次のマイクロソフト Web ページを参照してください: Windows の一部バージョンのサポート終了のお知らせ。
概要
このサポート技術情報の情報は、この資料の詳細を実装できるシステム管理者がいるビジネス環境を対象としています。 ウイルス対策プログラムがウイルスを正しく駆除しており、システムが完全に更新されている場合、この記事を使用する理由はありません。 システムが Conficker ウイルスクリーンかどうかを確認するには、次の Web ページからクイック スキャンを実行します。 http://www.microsoft.com/security/scanner/
Conficker ウイルスの詳細については、次のマイクロソフト Web ページを参照してください。
http://www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?Name=Win32%2fConficker
感染症の症状
コンピューターがこのワームに感染している場合は、症状が起こらないか、次のいずれかの現象が発生する可能性があります。
アカウント ロックアウト ポリシーが機能しません。
Automatic Updates、Background Intelligent Transfer Service (BITS)、Windows Defender、Error Reporting Services は無効になっています。
ドメイン コントローラーがクライアント要求に応答するのが遅い。
ネットワークが輻輳しています。
各種セキュリティ関連の Web サイトにアクセスできない。
さまざまなセキュリティ関連ツールが実行されません。 既知のツールの一覧については、次のマイクロソフト Web ページにアクセスし、[ 分析 ] タブをクリックすると Win32/Conficker.D に関する情報が確認できます。 詳細については、次のマイクロソフト Web ページを参照してください。
http://www.microsoft.com/security/portal/Entry.aspx?Name=Worm%3aWin32%2fConficker.D
Win32/Conficker の詳細については、次の Microsoft マルウェア プロテクション センター Web ページを参照してください。
http://www.microsoft.com/security/portal/Entry.aspx?Name=Win32/Conficker
伝搬メソッド
Win32/Conficker には複数の伝達メソッドがあります。 これらには、以下が含まれます。
- セキュリティ更新プログラム 958644 (MS08-067) で修正プログラムが適用される脆弱性の悪用
- ネットワーク共有の使用
- 自動再生機能の使用
そのため、ネットワークをクリーンアップするときは、以前にクリーンアップされたシステムに脅威が再導入されないように注意する必要があります。
注: Win32/Conficker.D バリアントは、ネットワーク経由でリムーバブル ドライブや共有フォルダーに拡散することはありません。 Win32/Conficker.D は、Win32/Conficker の以前のバリアントによってインストールされます。
予防方法
- すべてのコンピューターに固有の強力な管理者パスワードを使用します。
- ドメイン管理の資格情報またはすべてのコンピューターにアクセスできる資格情報を使用してコンピューターにログオンしないでください。
- すべてのシステムに最新のセキュリティ更新プログラムが適用されていることを確認します。
- 自動再生機能を無効にします。 詳細については、「グループ ポリシー オブジェクトの作成」セクションの手順 3 を参照してください。
- 共有に対する過度の権限を削除します。 これには、共有のルートへの書き込みアクセス許可の削除が含まれます。
軽減手順
グループ ポリシー設定を使用して Win32/Conficker の拡散を停止する
メモ
重要: この記事で提案されている変更を行う前に、必ず現在の設定を記録してください。
この手順では、システムから Conficker マルウェアは削除されません。 この手順は、マルウェアの拡散を阻止するだけです。 ウイルス対策製品を使用して、システムから Conficker マルウェアを削除する必要があります。 または、このサポート技術情報の「Win32/Conficker ウイルスを削除する手動の手順」セクションの手順に従って、システムからマルウェアを手動で削除します。
次の手順で推奨されるアクセス許可の変更が有効になっている間は、アプリケーション、Service Pack、またはその他の更新プログラムを正しくインストールできない場合があります。 これには、Windows Update、Microsoft Windows Server Update Services (WSUS) サーバー、およびこれらの製品が依存している System Center Configuration Manager (Configuration Manager 2007) を使用した更新プログラムの適用が含まれますが、これらに限定されませんAutomatic Updates のコンポーネント。 システムをクリーンアップした後、アクセス許可を既定の設定に戻してください。
「グループ ポリシー オブジェクトの作成」に記載されている SVCHOST レジストリ キーとタスク フォルダーの既定のアクセス許可の詳細については、この記事の最後にある既定のアクセス許可の表を参照してください。
グループ ポリシー オブジェクトを作成する
環境で必要に応じて、特定の組織単位 (OU)、サイト、またはドメイン内のすべてのコンピューターに適用される新しいグループ ポリシー オブジェクト (GPO) を作成します。
手順は次のとおりです。
次のレジストリ サブキーへの書き込みアクセス許可を削除するポリシーを設定します。
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost
これにより、ランダムに名前の付けられたマルウェア サービスが netsvcs レジストリ値に作成されなくなります。手順は次のとおりです。
グループ ポリシー管理コンソール (gpmc.msc) を開きます。
新しい GPO を作成します。 任意の名前を付けます。
新しい GPO を開き、次のフォルダーに移動します。
コンピューターの構成\Windows の設定\セキュリティの設定\レジストリ
[ レジストリ] を右クリックし、[ キーの追加] をクリックします。
[ レジストリ キーの選択 ] ダイアログ ボックスで、[ コンピューター] を展開し、次のフォルダーに移動します。
Software\Microsoft\Windows NT\CurrentVersion\Svchost
[OK] をクリックします。
表示されたダイアログ ボックスで、[管理者] と [システム] の両方の [フル コントロール] チェック ボックスをオフにします。
[OK] をクリックします。
[ オブジェクトの追加 ] ダイアログ ボックスで、[ すべてのサブキーの既存のアクセス許可を継承可能なアクセス許可に置き換える] をクリックします。
[OK] をクリックします。
%windir%\Tasks フォルダーへの書き込みアクセス許可を削除するポリシーを設定します。 これにより、Conficker マルウェアがシステムを再感染させる可能性のあるスケジュールされたタスクを作成できなくなります。
手順は次のとおりです。
前に作成した同じ GPO で、次のフォルダーに移動します。
コンピューターの構成\Windows の設定\セキュリティの設定\ファイル システム
[ファイル システム] を右クリックし、[ファイルの追加] をクリックします。
[ ファイルまたはフォルダーの追加 ] ダイアログ ボックスで、%windir%\Tasks フォルダーを参照します。 [Tasks] が強調表示され、[フォルダー] ダイアログ ボックスに一覧表示されていることを確認します。
[OK] をクリックします。
表示されたダイアログ ボックスで、管理者とシステムの両方の [フル コントロール]、[変更]、および [書き込み] のチェック ボックスをオフにします。
[OK] をクリックします。
[ オブジェクトの追加 ] ダイアログ ボックスで、[ すべてのサブキーの既存のアクセス許可を継承可能なアクセス許可に置き換える] をクリックします。
[OK] をクリックします。
自動再生 (自動実行) 機能を無効に設定します。 これにより、Windows に組み込まれている自動再生機能を使用して Conficker マルウェアが拡散するのを防ぎます。
注使用している Windows のバージョンに応じて、自動実行機能を正しく無効にするためにインストールする必要がある更新プログラムが異なります。
- Windows Vista または Windows Server 2008 で自動実行機能を無効にするには、セキュリティ更新プログラム 950582 をインストールする必要があります (セキュリティ情報 MS08-038 に記載されています)。
- Windows XP、Windows Server 2003、または Windows 2000 で自動実行機能を無効にするには、セキュリティ更新プログラム 950582、更新プログラム 967715、または更新プログラム 953252 がインストールされている必要があります。
自動再生 (自動実行) 機能を無効に設定するには、次の手順を実行します。
前に作成した同じ GPO で、次のフォルダーのいずれかに移動します。
Windows Server 2003 ドメインの場合は、次のフォルダーに移動します。
コンピューターの構成\管理用テンプレート\システム
Windows 2008 ドメインの場合は、次のフォルダーに移動します。
コンピューターの構成\管理用テンプレート\Windows コンポーネント\自動再生ポリシー
[ 自動再生を無効にする] ポリシーを開きます。
[ 自動再生を無効にする ] ダイアログ ボックスで、[ 有効] をクリックします。
ドロップダウン メニューで、[ すべてのドライブ] をクリックします。
[OK] をクリックします。
グループ ポリシー管理コンソールを閉じます。
新しく作成した GPO を適用先の場所にリンクします。
グループ ポリシー設定がすべてのコンピューターに更新されるまで十分な時間をとってください。 一般に、グループ ポリシーのレプリケーションは、各ドメイン コントローラーへのレプリケートに 5 分かかり、その後、残りのシステムへのレプリケートに 90 分かかります。 数時間あれば十分です。 ただし、環境によっては、さらに時間がかかる場合があります。
グループ ポリシー設定が反映されたら、システムのマルウェアをクリーンアップします。
手順は次のとおりです。
- すべてのコンピューターでウイルス対策のフル スキャンを実行します。
- ウイルス対策ソフトウェアが Conficker を検出しない場合は、Microsoft Safety Scanner を使用してマルウェアをクリーンできます。 詳細については、次のマイクロソフト Web ページを参照してください。 http://www.microsoft.com/security/scanner/ 注: マルウェアの影響をすべてクリーンするには、手動による手順を実行する必要がある場合があります。 この資料の「Win32/Conficker ウイルスを削除する手動の手順」に記載されている手順を確認し、マルウェアの影響をすべてクリーンにすることをお勧めします。
回復
Microsoft Safety Scanner を実行します。
Microsoft マルウェア プロテクション センターは Microsoft Safety Scanner を更新しました。 これは、広く流布している悪質なソフトウェアの削除に役立つスタンドアロンのバイナリであり、Win32/Conficker マルウェア ファミリの削除に役立ちます。
注: Microsoft Safety Scanner はリアルタイムのウイルス対策プログラムではないため、再感染を防ぐことはできません。
Microsoft Safety Scanner は、次のマイクロソフト Web サイトからダウンロードできます。
http://www.microsoft.com/security/scanner/
注: Stand-Alone システム スイーパー ツールでも、この感染が削除されます。 このツールは、Microsoft Desktop Optimization Pack 6.0 のコンポーネントとして、またはカスタマー サービスとサポートから入手できます。 Microsoft Desktop Optimization Pack を入手するには、次のマイクロソフト Web サイトにアクセスしてください。
http://www.microsoft.com/windows/enterprise/technologies/mdop.aspx Microsoft Security Essentials または Microsoft Forefront Client Security がシステムで実行されている場合も、これらのプログラムはインストール前に脅威をブロックします。
Win32/Conficker ウイルスを削除する手動の手順
メモ
- これらの手動の手順は不要になり、Conficker ウイルスを削除するウイルス対策ソフトウェアがない場合にのみ使用する必要があります。
- コンピューターが感染している Win32/Conficker 亜種によっては、このセクションで言及されている値の一部がウイルスによって変更されていない可能性があります。
次の詳細な手順は、システムから Conficker を手動で削除するのに役立ちます。
ローカル アカウントを使用してシステムにログオンします。
重要 可能であれば、ドメイン アカウントを使用してシステムにログオンしないでください。 特に、ドメイン管理アカウントを使用してログオンしないでください。 このマルウェアは、ログオンしているユーザーになりすまし、ログオンしているユーザーの資格情報を使用してネットワーク リソースにアクセスします。 この動作により、マルウェアが拡散する可能性があります。
サーバー サービスを停止します。 これによりシステムから管理共有が削除され、この方法を使用してマルウェアが拡散することはありません。
注: 環境内のマルウェアをクリーンアップしている間は、Server サービスを一時的に無効にする必要があります。 この手順はネットワーク リソースの可用性に影響するため、運用サーバーでは特にそうです。 環境がクリーンアップされたらすぐに、Server サービスを再び有効にすることができます。
サーバー サービスを停止するには、サービスの Microsoft 管理コンソール (MMC) を使用します。 手順は次のとおりです。
システムに応じて、次の操作を行います。
- Windows Vista および Windows Server 2008 の場合は、[スタート] ボタンをクリックし、[検索の開始] ボックスに「services.msc」と入力して、[プログラム] の一覧で services.msc をクリックします。
- Windows 2000、Windows XP、および Windows Server 2003 の場合は、[スタート]、[ファイル名を指定して実行] の順にクリックし、「services.msc」と入力して、[OK] をクリックします。
[サーバー] をダブルクリックします。
[停止] をクリックします。
[スタートアップの種類] ボックスで [無効] を選択します。
[適用する] をクリックします。
AT が作成したすべてのスケジュールされたタスクを削除します。 これを行うには、コマンド プロンプトで AT /Delete /Yes と入力します。
タスク スケジューラ サービスを停止します。
Windows 2000、Windows XP、および Windows Server 2003 でタスク スケジューラ サービスを停止するには、サービスの Microsoft 管理コンソール (MMC) または SC.exe ユーティリティを使用します。
Windows Vista または Windows Server 2008 でタスク スケジューラ サービスを停止するには、次の手順を実行します。
重要: このセクション、方法、またはタスクには、レジストリに変更を加える方法を示す手順が含まれています。 ただし、レジストリを誤って変更すると、深刻な問題が発生する可能性があります。 そのため、この手順は必ず慎重に行ってください。 さらなる保護のため、レジストリは変更する前にバックアップしてください。 こうしておけば、問題が発生した場合にレジストリを復元できます。 レジストリのバックアップ方法および復元方法の詳細を参照するには、以下のサポート技術情報番号をクリックしてください。
322756 Windows でレジストリをバックアップおよび復元する方法
[スタート] ボタンをクリックし、[検索の開始] ボックスに「regedit」と入力します。次に、[プログラム] の一覧で [regedit.exe] をクリックします。
次のレジストリ サブキーを見つけてクリックします。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Schedule
詳細ウィンドウで、[ DWORD の開始 ] エントリを右クリックし、[ 修正] をクリックします。
[ 値のデータ] ボックスに「4」と入力し、[ OK] をクリックします。
レジストリ エディターを終了し、コンピューターを再起動します。
注: タスク スケジューラ サービスは、環境内のマルウェアをクリーンアップしている間にのみ、一時的に無効にしてください。 この手順は、さまざまな組み込みのスケジュールされたタスクに影響を与えるため、特に Windows Vista および Windows Server 2008 に当てはまります。 環境がクリーンアップされたらすぐに、Server サービスを再度有効にします。
セキュリティ更新プログラム 958644 (MS08-067) をダウンロードして手動でインストールします。 詳細については、次のマイクロソフト Web サイトを参照してください。
http://www.microsoft.com/technet/security/Bulletin/MS08-067.mspx 注: このサイトは、マルウェアに感染しているため、ブロックされている可能性があります。 このシナリオでは、感染していないコンピューターから更新プログラムをダウンロードし、その更新プログラム ファイルを感染したシステムに転送する必要があります。 書き込んだ CD は書き込み可能ではないため、更新プログラムを CD に書き込むことをお勧めします。 したがって、感染することはできません。 書き込み可能な CD ドライブが使用できない場合、リムーバブル USB メモリ ドライブが感染したシステムにアップデートをコピーする唯一の方法である可能性があります。 リムーバブル ドライブを使用している場合は、マルウェアがドライブに Autorun.inf ファイルが感染する可能性があることに注意してください。 リムーバブル ドライブに更新プログラムをコピーした後、デバイスでこのオプションが使用可能であれば、必ずドライブを読み取り専用モードに変更してください。 読み取り専用モードが使用可能な場合、通常はデバイスの物理スイッチを使用して有効になります。 次に、感染したコンピュータに更新プログラム ファイルをコピーした後、リムーバブル ドライブをチェックして、Autorun.inf ファイルがドライブに書き込まれたかどうかを確認します。 その場合は、Autorun.inf ファイルの名前を Autorun.bad のような名前に変更して、リムーバブル ドライブがコンピューターに接続されている場合に実行できないようにします。
ローカル管理パスワードとドメイン管理パスワードをリセットして、新しい強力なパスワードを使用します。 詳細については、次のマイクロソフト Web サイトを参照してください。
レジストリ エディターで、次のレジストリ サブキーを見つけて、キーをクリックします。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost
詳細ウィンドウで、 netsvcs エントリを右クリックし、[ 修正] をクリックします。
コンピューターが Win32/Conficker ウイルスに感染している場合、ランダムなサービス名が一覧表示されます。
注: Win32/Conficker.B では、サービス名はランダムな文字で、リストの一番下にありました。 以降のバリエーションでは、サービス名がリスト内の任意の場所にあり、より正当に見える場合があります。 ランダムなサービス名が一番下にない場合は、お使いのシステムをこの手順の「Services テーブル」と比較して、Win32/Conficker によって追加された可能性のあるサービス名を特定します。 確認するには、「サービス」テーブルのリストを、感染していないことがわかっている同様のシステムと比較します。
マルウェア サービスの名前をメモします。 この情報は、この手順の後半で必要になります。
マルウェア サービスへの参照を含む行を削除します。 最後に表示された正当なエントリの下に空白の改行を残しておいて、[ OK] をクリックします。
Services テーブルに関する注意事項
- [サービス] テーブルのすべてのエントリは、太字で強調表示されている項目を除き、有効なエントリです。
- 太字で強調表示されている項目は、Win32/Conficker ウイルスが SVCHOST レジストリ キーの netsvcs 値に追加できる内容の例です。
- システムにインストールされている機能によっては、これがサービスの完全な一覧ではない場合があります。
- Services テーブルは、Windows の既定のインストールからのものです。
- Win32/Conficker ウイルスによって一覧に追加されたエントリは、難読化手法です。 最初の文字に似ているはずの強調表示された悪意のあるエントリは、小文字の "L" です。しかし、実際には大文字の "I" です。オペレーティング システムで使用されるフォントのため、大文字の "I" は小文字の "L" のようです。
Services テーブル
Windows Server 2008 Windows Vista Windows Server 2003 Windows XP Windows 2000 AeLookupSvc AeLookupSvc AppMgmt 6to4 EventSystem wercplsupport wercplsupport AudioSrv AppMgmt IAS テーマ テーマ ブラウザー AudioSrv Iprip CertPropSvc CertPropSvc CryptSvc ブラウザー Irmon SCPolicySvc SCPolicySvc DMServer CryptSvc Netman lanmanserver lanmanserver EventSystem DMServer nwsapagent GPSVC GPSVC HidServ DHCP Rasauto IKEEXT IKEEXT IAS ERSvc Iaslogon AudioSrv AudioSrv Iprip EventSystem Rasman FastUserSwitchingCompatibility FastUserSwitchingCompatibility Irmon FastUserSwitchingCompatibility リモートアクセス IAS IAS LanmanServer HidServ センサー Irmon Irmon LanmanWorkstation IAS SharedAccess Nla Nla Messenger Iprip Ntmssvc Ntmssvc Ntmssvc Netman Irmon wzcsvc NWCWorkstation NWCWorkstation Nla LanmanServer nwsapagent nwsapagent Ntmssvc LanmanWorkstation Rasauto Rasauto NWCWorkstation Messenger Rasman Rasman nwsapagent Netman Iaslogon Iaslogon Iaslogon Iaslogon リモートアクセス リモートアクセス Rasauto Nla センサー センサー Rasman Ntmssvc SharedAccess SharedAccess リモートアクセス NWCWorkstation SRService SRService Sacsvr nwsapagent Tapisrv Tapisrv スケジュール Rasauto WMI WMI Seclogon Rasman WmdmPmSp WmdmPmSp センサー リモートアクセス TermService TermService SharedAccess スケジュール wuauserv wuauserv テーマ Seclogon BITS BITS TrkWks センサー ShellHWDetection ShellHWDetection TrkSvr SharedAccess LogonHours LogonHours W32Time SRService PCAudit PCAudit WZCSVC Tapisrv helpsvc helpsvc WMI テーマ uploadmgr uploadmgr WmdmPmSp TrkWks iphlpsvc iphlpsvc winmgmt W32Time seclogon seclogon wuauserv WZCSVC AppInfo AppInfo BITS WMI msiscsi msiscsi ShellHWDetection WmdmPmSp MMCSS MMCSS uploadmgr winmgmt ブラウザー ProfSvc WmdmPmSN TermService winmgmt EapHost xmlprov wuauserv SessionEnv winmgmt AeLookupSvc BITS ProfSvc スケジュール helpsvc ShellHWDetection EapHost SessionEnv helpsvc HKMSVC ブラウザー xmlprov スケジュール HKMSVC wscsvc AppMgmt AppMgmt WmdmPmSN sacsvr HKMSVC 前の手順で、マルウェア サービスの名前をメモしました。 この例では、マルウェア エントリの名前は "Iaslogon" でした。この情報を使用して、次の手順を実行します。
レジストリ エディターで、次のレジストリ サブキーを見つけてクリックします。 BadServiceName はマルウェア サービスの名前です。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\BadServiceNameたとえば、次のレジストリ サブキーを見つけてクリックします。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Iaslogon
ナビゲーション ウィンドウで、マルウェア サービス名のサブキーを右クリックし、[ アクセス許可] をクリックします。
[ SvcHost のアクセス許可エントリ ] ダイアログ ボックスで、[ 詳細設定] をクリックします。
[セキュリティの詳細設定] ダイアログ ボックスで、次の両方のチェック ボックスをオンにします。
子オブジェクトに適用されるアクセス許可エントリを親から継承します。 これらを、ここで明示的に定義されているエントリに含めます。
すべての子オブジェクトのアクセス許可エントリを、ここに表示される子オブジェクトに適用されるエントリに置き換えます。
F5 キーを押してレジストリ エディターを更新します。 詳細ウィンドウで、"ServiceDll" として読み込まれるマルウェア DLL を表示および編集できます。これを行うには、次の手順を実行します。
- ServiceDll エントリをダブルクリックします。
- 参照されている DLL のパスをメモします。 この情報は、この手順の後半で必要になります。 たとえば、参照される DLL のパスは次のようになります。
%SystemRoot%\System32\doieuln.dll 参照の名前を次のように変更します。
%SystemRoot%\System32\doieuln.old - [OK] をクリックします。
レジストリの Run サブキーからマルウェア サービスのエントリを削除します。
レジストリ エディターで、次のレジストリ サブキーを見つけてクリックします。
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run両方のサブキーで、"rundll32.exe" で始まり、手順 12b で特定した "ServiceDll" として読み込まれるマルウェア DLL も参照するエントリを見つけます。 エントリを削除します。
レジストリ エディターを終了し、コンピューターを再起動します。
システム上のすべてのドライブで Autorun.inf ファイルがないか確認します。 メモ帳を使用して各ファイルを開き、それが有効な Autorun.inf ファイルであることを確認します。 一般的な有効な Autorun.inf ファイルの例を次に示します。
[autorun] shellexecute=Servers\splash.hta *DVD* icon=Servers\autorun.ico有効な Autorun.inf は通常、1 から 2 KB です。
有効ではないと思われる Autorun.inf ファイルをすべて削除します。
コンピューターを再起動します。
隠しファイルを表示する。 これには、コマンド プロンプトで次のコマンドを入力します。
reg.exe add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\エクスプローラー\Advanced\Folder\Hidden\SHOWALL /v CheckedValue /t REG_DWORD /d 0x1 /f
ファイルが表示されるように、[ 隠しファイルと隠しフォルダーを表示する] を設定します。 手順は次のとおりです。
手順 12b では、マルウェアの参照されている .dll ファイルのパスをメモしました。 たとえば、次のようなパスに注目しました。
%systemroot%\System32\doieuln.dllWindows エクスプローラーで、%systemroot%\System32 ディレクトリまたはマルウェアを含むディレクトリを開きます。
[ ツール] をクリックし、[ フォルダ オプション] をクリックします。
[表示] タブをクリックします。
[隠しファイルと隠しフォルダーを表示する] チェック ボックスをオンにします。
[OK] をクリックします。
.dll ファイルを選択します。
ファイルのアクセス許可を編集して、[すべてのユーザーにフル コントロール] を追加します。 手順は次のとおりです。
- .dll ファイルを右クリックし、[プロパティ] をクリックします。
- [セキュリティ] タブをクリックします。
- [すべてのユーザー] をクリックし、[許可] 列の [フル コントロール] チェック ボックスをクリックしてオンにします。
- [OK] をクリックします。
マルウェアの参照されている .dll ファイルを削除します。 たとえば、%systemroot%\System32\doieuln.dll ファイルを削除します。
サービス Microsoft 管理コンソール (MMC) を使用して、BITS、Automatic Updates、エラー報告、および Windows Defender サービスを有効にします。
自動実行をオフにして、再感染の影響を軽減します。 手順は次のとおりです。
システムに応じて、次のいずれかの更新プログラムをインストールします。
Windows 2000、Windows XP、または Windows Server 2003 を実行している場合は、更新プログラム 967715 をインストールします。
詳細については、次のマイクロソフト サポート技術情報番号をクリックしてください。967715 Windows で自動実行機能を無効にする方法
Windows Vista または Windows Server 2008 を実行している場合は、セキュリティ更新プログラム 950582 をインストールしてください。
詳細については、次のマイクロソフト サポート技術情報番号をクリックしてください。950582 MS08-038: Windows エクスプローラー の脆弱性によりリモートでコードが実行される可能性がある
注: 更新プログラム 967715 とセキュリティ更新プログラム 950582 は、このマルウェアの問題とは関連ありません。 手順 23b でレジストリ機能を有効にするには、これらの更新プログラムをインストールする必要があります。
コマンド プロンプトで次のコマンドを入力します。
reg.exe add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\エクスプローラー /v NoDriveTypeAutoRun /t REG_DWORD /d 0xff /f
システムで Windows Defender を実行している場合は、Windows Defender の自動起動の場所を再び有効にします。 このためには、コマンド プロンプトで次のコマンドを入力します。
reg.exe add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v "Windows Defender" /t REG_EXPAND_SZ /d "%ProgramFiles%\Windows Defender\MSASCui.exe –hide" /f
Windows Vista 以降のオペレーティング システムの場合、マルウェアは TCP 受信ウィンドウ自動調整のグローバル設定を無効に変更します。 この設定を元に戻すには、コマンド プロンプトで次のコマンドを入力します。
netsh interface tcp set global autotuning=normal
この手順を完了した後、コンピューターが再感染しているように見える場合は、次のいずれかの条件に該当する可能性があります。
- 自動起動の場所の 1 つは削除されませんでした。 たとえば、AT ジョブが削除されなかったか、Autorun.inf ファイルが削除されなかった場合です。
- MS08-067 のセキュリティ更新プログラムが正しくインストールされていません。
このマルウェアは、この資料で説明されていない他の設定を変更する可能性があります。 Win32/Conficker の最新情報については、次の Microsoft マルウェア プロテクション センター Web ページを参照してください。
http://www.microsoft.com/security/portal/Entry.aspx?Name=Win32/Conficker
システムがクリーンであることを確認する
次のサービスが開始されていることを確認します。
- Automatic Updates (wuauserv)
- バックグラウンド インテリジェント転送サービス (BITS)
- Windows Defender (windefend) (該当する場合)
- Windows エラー報告サービス
このためには、コマンド プロンプトで以下のコマンドを入力します。 各コマンドを入力した後で Enter キーを押します。
Sc.exe クエリ wuauserv
Sc.exe クエリ ビット
Sc.exe query windefend
Sc.exe query ersvc
各コマンドを実行すると、次のようなメッセージが表示されます。
SERVICE_NAME: wuauserv
種類 : 20 WIN32_SHARE_PROCESS
状態 : 4 実行中
(STOPPABLE,NOT_PAUSABLE,ACCEPTS_SHUTDOWN)
WIN32_EXIT_CODE : 0 (0x0)
SERVICE_EXIT_CODE : 0 (0x0)
チェックポイント : 0x0
WAIT_HINT : 0x0
この例では、"STATE : 4 RUNNING" は、サービスが実行中であることを示します。
SvcHost レジストリ サブキーの状態を確認するには、次の手順を実行します。
レジストリ エディターで、次のレジストリ サブキーを見つけて、キーをクリックします。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost
詳細ウィンドウで [netsvcs] をダブルクリックし、表示されているサービス名を確認します。 一覧の一番下までスクロールします。 コンピューターが Conficker に再感染している場合、ランダムなサービス名が一覧表示されます。 たとえば、この手順では、マルウェア サービスの名前は "Iaslogon" です。
これらの手順を実行しても問題が解決しない場合は、ウイルス対策ソフトウェアの製造元にお問い合わせください。
この問題の関連情報を参照するには、以下のサポート技術情報番号をクリックしてください。
49500 ウイルス対策ソフトウェア ベンダーのリスト
ウイルス対策ソフトウェアの製造元がない場合や、ウイルス対策ソフトウェアの製造元がサポートできない場合は、Microsoft コンシューマー サポート サービスにお問い合わせください。
環境が完全に浄化された後
環境が完全にクリーンアップされたら、次の手順を実行します。
サーバー サービスとタスク スケジューラ サービスを再度有効にします。
SVCHOST レジストリ キーとタスク フォルダーに対する既定のアクセス許可を復元します。 これは、グループ ポリシー設定を使用して既定の設定に戻す必要があります。 ポリシーが削除されただけの場合、既定のアクセス許可を元に戻すことはできません。 詳細については、「軽減策」セクションの既定のアクセス許可の表を参照してください。
不足しているセキュリティ更新プログラムをインストールしてコンピューターを更新します。 これを行うには、Windows Update、Microsoft Windows Server Update Services (WSUS) サーバー、Systems Management Server (SMS)、System Center Configuration Manager (Configuration Manager 2007)、またはサード パーティの更新プログラム管理製品を使用します。 SMS または Configuration Manager 2007 を使用している場合は、まず Server サービスを再度有効にする必要があります。 これを行わない場合、SMS または Configuration Manager 2007 がシステムを更新できない可能性があります。
感染したシステムの識別
Conficker に感染しているシステムの特定に問題がある場合は、次の TechNet ブログに記載されている詳細が役立つ場合があります。
http://blogs.technet.com/kfalde/archive/2009/01/28/using-logparser-eventcomb-to-find-malware.aspx
既定のアクセス許可テーブル
次の表に、各オペレーティング システムの既定のアクセス許可を示します。 これらのアクセス許可は、この記事で推奨される変更を適用する前に取得されます。 これらのアクセス許可は、環境で設定されているアクセス許可とは異なる場合があります。 したがって、変更を加える前に、設定をメモする必要があります。 これは、システムをクリーンした後に設定を復元できるようにするために行う必要があります。
| オペレーティング システム | Windows Server 2008 | Windows Vista | Windows Server 2003 | Windows XP | Windows 2000 | |||||
|---|---|---|---|---|---|---|---|---|---|---|
| 設定 | Svchost レジストリ | タスク フォルダー | Svchost レジストリ | タスク フォルダー | Svchost レジストリ | タスク フォルダー | Svchost レジストリ | タスク フォルダー | Svchost レジストリ | タスク フォルダー |
| アカウント | ||||||||||
| 管理者 (ローカル グループ) | フル コントロール | フル コントロール | フル コントロール | フル コントロール | フル コントロール | フル コントロール | フル コントロール | フル コントロール | フル コントロール | フル コントロール |
| システム | フル コントロール | フル コントロール | フル コントロール | フル コントロール | フル コントロール | フル コントロール | フル コントロール | フル コントロール | フル コントロール | フル コントロール |
| パワー ユーザー (ローカル グループ) | 該当なし | 該当なし | 該当なし | 該当なし | 読み取り | 該当なし | 読み取り | 該当なし | 読み取り | 該当なし |
| ユーザー (ローカル グループ) | その他 | 該当なし | その他 | 該当なし | 読み取り | 該当なし | 読み取り | 該当なし | 読み取り | 該当なし |
| 適用対象: このキーとサブキー | 適用対象: このキーとサブキー | |||||||||
| 値のクエリ | 値のクエリ | |||||||||
| サブキーの列挙 | サブキーの列挙 | |||||||||
| 通知 | 通知 | |||||||||
| 読み取りコントロール | 読み取りコントロール | |||||||||
| 認証されたユーザー | 該当なし | その他 | 該当なし | その他 | 該当なし | 該当なし | 該当なし | 該当なし | 該当なし | 該当なし |
| 適用対象: このフォルダーのみ | 適用対象: このフォルダーのみ | |||||||||
| フォルダーの走査 | フォルダーの走査 | |||||||||
| フォルダーの一覧 | フォルダーの一覧 | |||||||||
| 属性の読み取り | 属性の読み取り | |||||||||
| 拡張属性の読み取り | 拡張属性の読み取り | |||||||||
| Create Files | Create Files | |||||||||
| アクセス許可の読み取り | アクセス許可の読み取り | |||||||||
| バックアップ演算子 (ローカル グループ) | 該当なし | 該当なし | 該当なし | 該当なし | 該当なし | その他 | 該当なし | その他 | ||
| 適用対象: このフォルダーのみ | 適用対象: このフォルダーのみ | |||||||||
| フォルダーの走査 | フォルダーの走査 | |||||||||
| フォルダーの一覧 | フォルダーの一覧 | |||||||||
| 属性の読み取り | 属性の読み取り | |||||||||
| 拡張属性の読み取り | 拡張属性の読み取り | |||||||||
| Create Files | Create Files | |||||||||
| アクセス許可の読み取り | アクセス許可の読み取り | |||||||||
| 全員 | 該当なし | 該当なし | 該当なし | 該当なし | 該当なし | 該当なし | 該当なし | 該当なし | 該当なし | その他 |
| 適用対象: このフォルダー、サブフォルダー、ファイル | ||||||||||
| フォルダーの走査 | ||||||||||
| フォルダーの一覧 | ||||||||||
| 属性の読み取り | ||||||||||
| 拡張属性の読み取り | ||||||||||
| Create Files | ||||||||||
| フォルダーを作成する | ||||||||||
| 属性の書き込み | ||||||||||
| 拡張属性の書き込み | ||||||||||
| アクセス許可の読み取り |
詳細情報
この問題の詳細については、米国に居住する場合は、Answer Desk のライブ ユーザーとチャットできます。