Windows Vista Service Pack 1 (SP1) のサポートは 2011 年 7 月 12 日に終了します。 Windows 用のセキュリティ更新プログラムを継続して入手するには、Windows Vista Service Pack 2 (SP2) を実行していることを確認してください。 詳細については、「Microsoft Web ページ: 一部のバージョンの Windows でサポートが終了する」を参照してください。
概要
このサポート技術情報の記事の情報は、この記事の詳細を実装できるシステム管理者がいるビジネス環境を対象としています。 ウイルス対策プログラムがウイルスを正しくクリーニングしていて、システムが完全に更新されている場合は、この記事を使用する理由はありません。 システムが Conficker ウイルスのクリーンであることを確認するには、次の Web ページからクイック スキャンを実行します: http://www.microsoft.com/security/scanner/
Conficker ウイルスの詳細については、次の Microsoft Web ページを参照してください。
http://www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?Name=Win32%2fConficker
感染の症状
コンピューターがこのワームに感染している場合は、症状が発生しない場合や、次のいずれかの症状が発生する可能性があります。
アカウント ロックアウト ポリシーがトリップされています。
自動Updates、バックグラウンド インテリジェント転送サービス (BITS)、Windows Defender、およびエラー Reporting Servicesは無効になっています。
ドメイン コントローラーは、クライアント要求に対して応答が遅くなります。
ネットワークが混雑しています。
セキュリティ関連のさまざまな Web サイトにアクセスできません。
セキュリティ関連のさまざまなツールは実行されません。 既知のツールの一覧については、次の Microsoft Web ページを参照し、[ 分析 ] タブをクリックして Win32/Conficker.D に関する情報を確認してください。 詳細については、次の Microsoft Web ページを参照してください。
http://www.microsoft.com/security/portal/Entry.aspx?Name=Worm%3aWin32%2fConficker.D
Win32/Conficker の詳細については、次のMicrosoft マルウェア プロテクション センター Web ページを参照してください。
http://www.microsoft.com/security/portal/Entry.aspx?Name=Win32/Conficker
伝達方法
Win32/Conficker には、複数の伝達方法があります。 これらには、以下が含まれます。
- セキュリティ更新プログラムの958644によって修正プログラムが適用される脆弱性の悪用 (MS08-067)
- ネットワーク共有の使用
- 自動再生機能の使用
そのため、以前にクリーンアップされたシステムに脅威が再導入されないように、ネットワークをクリーンするときは注意する必要があります。
注 Win32/Conficker.D バリアントは、ネットワーク経由でリムーバブル ドライブや共有フォルダーに分散されません。 Win32/Conficker.D は、以前のバージョンの Win32/Conficker によってインストールされています。
予防方法
- すべてのコンピューターに固有の強力な管理者パスワードを使用します。
- ドメイン 管理資格情報またはすべてのコンピューターにアクセスできる資格情報を使用して、コンピューターにログオンしないでください。
- すべてのシステムに最新のセキュリティ更新プログラムが適用されていることを確認します。
- 自動再生機能を無効にします。 詳細については、「グループ ポリシー オブジェクトの作成」セクションの手順 3 を参照してください。
- 共有に対する過剰な権限を削除します。 これには、任意の共有のルートに対する書き込みアクセス許可の削除が含まれます。
軽減策の手順
グループ ポリシー設定を使用して Win32/Conficker の拡散を停止する
メモ
重要 この記事で提案されている変更を行う前に、現在の設定を必ず文書化してください。
この手順では、Conficker マルウェアをシステムから削除しません。 この手順では、マルウェアの拡散のみを停止します。 ウイルス対策製品を使用して、Conficker マルウェアをシステムから削除する必要があります。 または、このサポート技術情報の記事の「Win32/Conficker ウイルスを削除する手動手順」セクションの手順に従って、システムからマルウェアを手動で削除します。
次の手順で推奨されるアクセス許可の変更が適用されている間、アプリケーション、サービス パック、またはその他の更新プログラムを正しくインストールできない場合があります。 これには、Windows Update、Microsoft Windows Server Update Services (WSUS) サーバー、System Center Configuration Manager (Configuration Manager 2007) を使用した更新プログラムの適用が含まれますが、これに限定されません。自動Updatesのコンポーネント。 システムをクリーンした後、アクセス許可を既定の設定に戻してください。
SVCHOST レジストリ キーの既定のアクセス許可と、「グループ ポリシー オブジェクトの作成」セクションに記載されている Tasks フォルダーの詳細については、この記事の最後にある既定のアクセス許可の表を参照してください。
グループ ポリシー オブジェクトを作成する
環境で必要に応じて、特定の組織単位 (OU)、サイト、またはドメイン内のすべてのコンピューターに適用される新しいグループ ポリシー オブジェクト (GPO) を作成します。
手順は次のとおりです。
ポリシーを設定して、次のレジストリ サブキーへの書き込みアクセス許可を削除します。
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost
これにより、ランダムに名前が付けられたマルウェア サービスが netsvcs レジストリ値に作成されるのを防ぎます。手順は次のとおりです。
グループ ポリシー管理コンソール (gpmc.msc) を開きます。
新しい GPO を作成します。 任意の名前を付けます。
新しい GPO を開き、次のフォルダーに移動します。
コンピューターの構成\Windows 設定\セキュリティ設定\レジストリ
[ レジストリ] を右クリックし、[ キーの追加] をクリックします。
[ レジストリ キーの選択 ] ダイアログ ボックスで、[ コンピューター] を展開し、次のフォルダーに移動します。
Software\Microsoft\Windows NT\CurrentVersion\Svchost
[OK] をクリックします。
開いたダイアログ ボックスで、[管理者] と [システム] の両方の [フル コントロール チェック] ボックスをクリックしてオフにします。
[OK] をクリックします。
[ オブジェクトの追加 ] ダイアログ ボックスで、[ すべてのサブキーの既存のアクセス許可を継承可能なアクセス許可に置き換える] をクリックします。
[OK] をクリックします。
%windir%\Tasks フォルダーへの書き込みアクセス許可を削除するようにポリシーを設定します。 これにより、Conficker マルウェアが、システムを再感染させるスケジュールされたタスクを作成できなくなります。
手順は次のとおりです。
前に作成したのと同じ GPO で、次のフォルダーに移動します。
コンピューターの構成\Windows 設定\セキュリティ設定\ファイル システム
[ファイル システム] を右クリックし、[ファイルの追加] をクリックします。
[ ファイルまたはフォルダーの追加 ] ダイアログ ボックスで、%windir%\Tasks フォルダーを参照します。 [タスク] が強調表示され、[フォルダー] ダイアログ ボックスに一覧表示されていることを確認します。
[OK] をクリックします。
表示されたダイアログ ボックスで、[管理者] と [システム] の [フル コントロール]、[変更]、[書き込み] のチェックボックスをオフにします。
[OK] をクリックします。
[ オブジェクトの追加 ] ダイアログ ボックスで、[ すべてのサブキーの既存のアクセス許可を継承可能なアクセス許可に置き換える] をクリックします。
[OK] をクリックします。
自動再生 (自動実行) 機能を無効に設定します。 これにより、Windows に組み込まれている自動再生機能を使用して Conficker マルウェアが拡散されないようにします。
注:使用している Windows のバージョンでは、自動実行機能を正しく無効にするためにインストールしておく必要がある更新プログラムが異なります。
- Windows Vista または Windows Server 2008 で自動実行機能を無効にするには、セキュリティ更新プログラム950582インストールされている必要があります (「セキュリティ情報 MS08-038」を参照)。
- Windows XP、Windows Server 2003、または Windows 2000 で自動実行機能を無効にするには、セキュリティ更新プログラムの950582、967715の更新、または更新プログラムの953252がインストールされている必要があります。
自動再生 (自動実行) 機能を無効に設定するには、次の手順に従います。
前に作成したのと同じ GPO で、次のいずれかのフォルダーに移動します。
Windows Server 2003 ドメインの場合は、次のフォルダーに移動します。
コンピューターの構成\管理用テンプレート\システム
Windows 2008 ドメインの場合は、次のフォルダーに移動します。
コンピューターの構成\管理用テンプレート\Windows コンポーネント\自動再生ポリシー
[自動再生を無効にする] ポリシーを開きます。
[ 自動再生をオフにする ] ダイアログ ボックスで、[ 有効] をクリックします。
ドロップダウン メニューで、[ すべてのドライブ] をクリックします。
[OK] をクリックします。
グループ ポリシー管理コンソールを閉じます。
新しく作成した GPO を適用する場所にリンクします。
グループ ポリシー設定がすべてのコンピューターに更新されるのに十分な時間を許可します。 通常、グループ ポリシーレプリケーションは各ドメイン コントローラーにレプリケートするのに 5 分かかり、残りのシステムにレプリケートするには 90 分かかります。 2、3 時間で十分です。 ただし、環境によっては、より多くの時間が必要になる場合があります。
グループ ポリシー設定が反映されたら、マルウェアのシステムをクリーンします。
手順は次のとおりです。
- すべてのコンピューターで完全なウイルス対策スキャンを実行します。
- ウイルス対策ソフトウェアが Conficker を検出しない場合は、Microsoft Safety Scannerを使用してマルウェアをクリーンできます。 詳細については、次の Microsoft Web ページを参照してください。http://www.microsoft.com/security/scanner/ 注 マルウェアのすべての影響をクリーンするには、手動の手順に従う必要がある場合があります。 マルウェアのすべての効果をクリーンするには、この記事の「Win32/Conficker ウイルスを削除する手動手順」セクションに記載されている手順を確認することをお勧めします。
回復
Microsoft Safety Scannerを実行します。
Microsoft マルウェア プロテクション センターがMicrosoft Safety Scannerを更新しました。 これは、一般的な悪意のあるソフトウェアの削除に役立つスタンドアロン バイナリであり、Win32/Conficker マルウェア ファミリの削除に役立ちます。
注 Microsoft Safety Scannerは、リアルタイムウイルス対策プログラムではないため、再感染を防ぐものではありません。
Microsoft Safety Scannerは、次の Microsoft Web サイトからダウンロードできます。
http://www.microsoft.com/security/scanner/
注 Stand-Alone システム スイーパー ツールもこの感染を削除します。. このツールは、Microsoft Desktop Optimization Pack 6.0 のコンポーネントとして、またはカスタマー サービスとサポートを通じて利用できます。 Microsoft Desktop 最適化パックを入手するには、次の Microsoft Web サイトにアクセスします。
http://www.microsoft.com/windows/enterprise/technologies/mdop.aspx Microsoft Security Essentials または Microsoft Forefront Client Security がシステム上で実行されている場合、これらのプログラムは、インストールされる前に脅威もブロックします。
Win32/Conficker ウイルスを削除する手動手順
メモ
- これらの手動の手順はもはや必要ありませんし、Conficker ウイルスを削除するウイルス対策ソフトウェアがない場合にのみ使用する必要があります。
- コンピューターが感染している Win32/Conficker バリアントによっては、このセクションで参照されるこれらの値の一部がウイルスによって変更されていない可能性があります。
次の詳細な手順は、Conficker をシステムから手動で削除するのに役立ちます。
ローカル アカウントを使用してシステムにログオンします。
重要 可能な場合は、ドメイン アカウントを使用してシステムにログオンしないでください。 特に、ドメイン 管理 アカウントを使用してログオンしないでください。 マルウェアはログオンしたユーザーを偽装し、ログオンしたユーザー資格情報を使用してネットワーク リソースにアクセスします。 この動作により、マルウェアが拡散します。
サーバー サービスを停止します。 これにより、この方法を使用してマルウェアを拡散できないように、システムから管理共有が削除されます。
注 サーバー サービスは、環境内のマルウェアをクリーンしている間にのみ一時的に無効にする必要があります。 これは、この手順がネットワーク リソースの可用性に影響するため、運用サーバーでは特に当てはまります。 環境がクリーンアップされるとすぐに、サーバー サービスを再度有効にすることができます。
サーバー サービスを停止するには、サービス Microsoft 管理コンソール (MMC) を使用します。 手順は次のとおりです。
システムに応じて、次の操作を行います。
- Windows Vista および Windows Server 2008 で、[スタート] をクリックし、[検索の開始] ボックスに「services.msc」と入力し、[プログラム] の一覧で [services.msc] をクリックします。
- Windows 2000、Windows XP、Windows Server 2003 で、[スタート] をクリックし、[実行] をクリックし、「services.msc」と入力し、[OK] をクリックします。
[サーバー] をダブルクリックします。
[停止] をクリックします。
[スタートアップの種類] ボックスで [無効] を選択します。
[適用する] をクリックします。
AT で作成されたすべてのスケジュールされたタスクを削除します。 これを行うには、コマンド プロンプトで「AT /Delete /Yes」と入力します。
タスク スケジューラ サービスを停止します。
Windows 2000、Windows XP、Windows Server 2003 でタスク スケジューラ サービスを停止するには、サービス Microsoft 管理コンソール (MMC) または SC.exe ユーティリティを使用します。
Windows Vista または Windows Server 2008 でタスク スケジューラ サービスを停止するには、次の手順に従います。
重要: このセクション、方法、またはタスクには、レジストリに変更を加える方法を示す手順が含まれています。 ただし、レジストリを誤って変更すると、深刻な問題が発生する可能性があります。 そのため、この手順は必ず慎重に行ってください。 さらなる保護のため、レジストリは変更する前にバックアップしてください。 こうしておけば、問題が発生した場合にレジストリを復元できます。 レジストリのバックアップ方法および復元方法の詳細を参照するには、以下のサポート技術情報番号をクリックしてください。
322756 Windows でレジストリをバックアップおよび復元する方法
[スタート] をクリックし、[検索の開始] ボックスに「regedit」と入力し、[プログラム] ボックスの一覧で [regedit.exe] をクリックします。
次のレジストリ サブキーを見つけてクリックします。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Schedule
詳細ウィンドウで、[ DWORD の開始 ] エントリを右クリックし、[ 変更] をクリックします。
[ 値データ ] ボックスに「4」と入力し、[ OK] をクリックします。
レジストリ エディターを終了し、コンピューターを再起動します。
メモ タスク スケジューラ サービスは、環境内のマルウェアをクリーンしている間にのみ一時的に無効にする必要があります。 これは、Windows Vista と Windows Server 2008 では特に当てはまります。この手順は、さまざまな組み込みのスケジュールされたタスクに影響するためです。 環境がクリーンアップされたらすぐに、サーバー サービスを再度有効にします。
セキュリティ更新プログラム 958644 (MS08-067) をダウンロードして手動でインストールします。 詳細については、次のマイクロソフト Web サイトを参照してください。
http://www.microsoft.com/technet/security/Bulletin/MS08-067.mspx 注 このサイトは、マルウェアの感染のためにブロックされる可能性があります。 このシナリオでは、感染していないコンピューターから更新プログラムをダウンロードし、感染したシステムに更新ファイルを転送する必要があります。 書き込まれた CD は書き込み可能ではないため、更新プログラムを CD に書き込むことをお勧めします。 したがって、感染することはできません。 記録可能な CD ドライブを使用できない場合は、リムーバブル USB メモリ ドライブが、感染したシステムに更新プログラムをコピーする唯一の方法である可能性があります。 リムーバブル ドライブを使用する場合は、マルウェアがドライブに Autorun.inf ファイルに感染する可能性があることに注意してください。 リムーバブル ドライブに更新プログラムをコピーした後、デバイスでオプションを使用できる場合は、ドライブを読み取り専用モードに変更してください。 読み取り専用モードを使用できる場合は、通常、デバイスで物理スイッチを使用して有効になります。 次に、感染したコンピューターに更新ファイルをコピーした後、リムーバブル ドライブをチェックして、Autorun.inf ファイルがドライブに書き込まれたかどうかを確認します。 その場合は、Autorun.inf ファイルの名前を Autorun.bad のような名前に変更して、リムーバブル ドライブがコンピューターに接続されているときに実行できないようにします。
ローカル 管理とドメイン 管理パスワードをリセットして、新しい強力なパスワードを使用します。 詳細については、次のマイクロソフト Web サイトを参照してください。
レジストリ エディターで、次のレジストリ サブキーを見つけて、キーをクリックします。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost
詳細ウィンドウで、 netsvcs エントリを右クリックし、[ 変更] をクリックします。
コンピューターが Win32/Conficker ウイルスに感染している場合は、ランダムなサービス名が一覧表示されます。
注 Win32/Conficker.B では、サービス名はランダムな文字であり、リストの一番下にありました。 後のバリアントでは、サービス名はリスト内の任意の場所にあり、より正当に見える場合があります。 ランダムなサービス名が一番下にない場合は、この手順の 「サービス テーブル」とシステムを比較して、Win32/Conficker によって追加された可能性のあるサービス名を判断します。 確認するには、"サービス テーブル" の一覧を、感染していないことがわかっている同様のシステムと比較します。
マルウェア サービスの名前をメモします。 この情報は、この手順の後半で必要になります。
マルウェア サービスへの参照を含む行を削除します。 一覧表示されている最後の正当なエントリの下に空白の行フィードを残していることを確認し、[ OK] をクリックします。
サービス テーブルに関する注意事項
- Services テーブル内のすべてのエントリは、太字で強調表示されている項目を除き、有効なエントリです。
- 太字で強調表示されている項目は、Win32/Conficker ウイルスが SVCHOST レジストリ キーの netsvcs 値に追加する可能性がある例です。
- これは、システムにインストールされている内容によっては、サービスの完全な一覧ではない場合があります。
- サービス テーブルは、Windows の既定のインストールからのテーブルです。
- Win32/Conficker ウイルスがリストに追加するエントリは難読化手法です。 最初の文字に似ていると思われる強調表示された悪意のあるエントリは、小文字の "L" です。ただし、実際には大文字の "I" です。オペレーティング システムで使用されるフォントのため、大文字の "I" は小文字の "L" のようです。
サービス テーブル
Windows Server 2008 Windows Vista Windows Server 2003 Windows XP Windows 2000 AeLookupSvc AeLookupSvc AppMgmt 6to4 EventSystem wercplsupport wercplsupport AudioSrv AppMgmt Ias テーマ テーマ ブラウザー AudioSrv Iprip CertPropSvc CertPropSvc CryptSvc ブラウザー Irmon SCPolicySvc SCPolicySvc DMServer CryptSvc Netman lanmanserver lanmanserver EventSystem DMServer Nwsapagent gpsvc gpsvc HidServ DHCP Rasauto Ikeext Ikeext Ias ERSvc Iaslogon AudioSrv AudioSrv Iprip EventSystem Rasman FastUserSwitchingCompatibility FastUserSwitchingCompatibility Irmon FastUserSwitchingCompatibility Remoteaccess Ias Ias LanmanServer HidServ センス Irmon Irmon LanmanWorkstation Ias Sharedaccess Nla Nla Messenger Iprip Ntmssvc Ntmssvc Ntmssvc Netman Irmon wzcsvc NWCWorkstation NWCWorkstation Nla LanmanServer Nwsapagent Nwsapagent Ntmssvc LanmanWorkstation Rasauto Rasauto NWCWorkstation Messenger Rasman Rasman Nwsapagent Netman Iaslogon Iaslogon Iaslogon Iaslogon Remoteaccess Remoteaccess Rasauto Nla センス センス Rasman Ntmssvc Sharedaccess Sharedaccess Remoteaccess NWCWorkstation SRService SRService Sacsvr Nwsapagent Tapisrv Tapisrv スケジュール Rasauto Wmi Wmi Seclogon Rasman WmdmPmSp WmdmPmSp センス Remoteaccess TermService TermService Sharedaccess スケジュール wuauserv wuauserv テーマ Seclogon ビット ビット TrkWks センス ShellHWDetection ShellHWDetection TrkSvr Sharedaccess LogonHours LogonHours W32Time SRService PCAudit PCAudit WZCSVC Tapisrv helpsvc helpsvc Wmi テーマ uploadmgr uploadmgr WmdmPmSp TrkWks iphlpsvc iphlpsvc Winmgmt W32Time seclogon seclogon wuauserv WZCSVC Appinfo Appinfo ビット Wmi msiscsi msiscsi ShellHWDetection WmdmPmSp Mmcss Mmcss uploadmgr Winmgmt ブラウザー ProfSvc WmdmPmSN TermService Winmgmt EapHost xmlprov wuauserv SessionEnv Winmgmt AeLookupSvc ビット ProfSvc スケジュール helpsvc ShellHWDetection EapHost SessionEnv helpsvc hkmsvc ブラウザー xmlprov スケジュール hkmsvc wscsvc AppMgmt AppMgmt WmdmPmSN sacsvr hkmsvc 前の手順では、マルウェア サービスの名前を確認しました。 この例では、マルウェア エントリの名前は "Iaslogon" でした。この情報を使用して、次の手順に従います。
レジストリ エディターで、次のレジストリ サブキーを見つけてクリックします。 BadServiceName はマルウェア サービスの名前です。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\BadServiceNameたとえば、次のレジストリ サブキーを見つけてクリックします。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Iaslogon
マルウェア サービス名のナビゲーション ウィンドウでサブキーを右クリックし、[ アクセス許可] をクリックします。
[ SvcHost のアクセス許可エントリ ] ダイアログ ボックスで、[ 詳細設定] をクリックします。
[セキュリティの詳細設定] ダイアログ ボックスで、次のチェックボックスの両方をクリックして選択します。
子オブジェクトに適用されるアクセス許可エントリを親から継承します。 ここに明示的に定義されたエントリを含めます。
すべての子オブジェクトのアクセス許可エントリを、子オブジェクトに適用されるここに示すエントリに置き換えます。
F5 キーを押してレジストリ エディターを更新します。 詳細ウィンドウで、"ServiceDll" として読み込まれるマルウェア DLL を表示および編集できるようになりました。これを行うには、次の手順に従います。
- ServiceDll エントリをダブルクリックします。
- 参照される DLL のパスに注意してください。 この情報は、この手順の後半で必要になります。 たとえば、参照される DLL のパスは次のようになります。
%SystemRoot%\System32\doieuln.dll 参照の名前を次のように変更します。
%SystemRoot%\System32\doieuln.old - [OK] をクリックします。
レジストリの [実行 ] サブキーからマルウェア サービス エントリを削除します。
レジストリ エディターで、次のレジストリ サブキーを見つけてクリックします。
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run両方のサブキーで、"rundll32.exe" で始まり、手順 12b で特定した "ServiceDll" として読み込まれるマルウェア DLL も参照するエントリを見つけます。 エントリを削除します。
レジストリ エディターを終了し、コンピューターを再起動します。
システム上の任意のドライブで Autorun.inf ファイルを確認します。 メモ帳を使用して各ファイルを開き、有効な Autorun.inf ファイルであることを確認します。 一般的な有効な Autorun.inf ファイルの例を次に示します。
[autorun] shellexecute=Servers\splash.hta *DVD* icon=Servers\autorun.ico有効な Autorun.inf は、通常、1 から 2 KB です。
無効と思われる Autorun.inf ファイルを削除します。
コンピューターを再起動します。
非表示のファイルを表示します。 これを行うには、コマンド プロンプトで次のコマンドを入力します。
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\エクスプローラー\Advanced\Folder\Hidden\SHOWALL /v CheckedValue /t REG_DWORD /d 0x1 /f を追加 reg.exe
[ 非表示のファイルとフォルダーを表示 する] を設定して、ファイルを表示できるようにします。 手順は次のとおりです。
手順 12b では、マルウェアに対して参照されている .dll ファイルのパスを確認しました。 たとえば、次のようなパスを示しました。
%systemroot%\System32\doieuln.dllIn Windows エクスプローラー、%systemroot%\System32 ディレクトリまたはマルウェアを含むディレクトリを開きます。
[ ツール] をクリックし、[ フォルダー オプション] をクリックします。
[表示] タブをクリックします。
[非表示のファイルとフォルダーを表示チェック] ボックスを選択します。
[OK] をクリックします。
.dll ファイルを選択します。
ファイルのアクセス許可を編集して、すべてのユーザーのフル コントロールを追加します。 手順は次のとおりです。
- .dll ファイルを右クリックし、[プロパティ] をクリックします。
- [セキュリティ] タブをクリックします。
- [全員] をクリックし、[許可] 列の [フル コントロール チェック] ボックスをクリックして選択します。
- [OK] をクリックします。
マルウェアの参照 .dll ファイルを削除します。 たとえば、%systemroot%\System32\doieuln.dll ファイルを削除します。
サービス Microsoft 管理コンソール (MMC) を使用して、BITS、自動Updates、エラー報告、および Windows Defender サービスを有効にします。
自動実行をオフにすると、再感染の影響を軽減できます。 手順は次のとおりです。
システムに応じて、次のいずれかの更新プログラムをインストールします。
Windows 2000、Windows XP、または Windows Server 2003 を実行している場合は、更新プログラム 967715をインストールします。
詳細については、次のマイクロソフト サポート技術情報番号をクリックしてください。967715 Windows で自動実行機能を無効にする方法
Windows Vista または 2008 Windows Serverを実行している場合は、セキュリティ更新プログラムの950582をインストールします。
詳細については、次のマイクロソフト サポート技術情報番号をクリックしてください。950582 MS08-038: Windows エクスプローラーの脆弱性により、リモートでコードが実行される
注 更新プログラムの967715とセキュリティ更新プログラムの950582は、このマルウェアの問題とは関係ありません。 手順 23b でレジストリ機能を有効にするには、これらの更新プログラムをインストールする必要があります。
コマンド プロンプトで次のコマンドを入力します。
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\エクスプローラー /v NoDriveTypeAutoRun /t REG_DWORD /d 0xff /f を追加 reg.exe
システムが Windows Defender を実行している場合は、Windows Defender の自動開始場所を再度有効にします。 これを行うには、コマンド プロンプトで次のコマンドを入力します。
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v "Windows Defender" /t REG_EXPAND_SZ /d "%ProgramFiles%\Windows Defender\MSASCui.exe –hide" /f を追加 reg.exe
Windows Vista 以降のオペレーティング システムの場合、マルウェアは TCP 受信ウィンドウの自動チューニングのグローバル設定を無効に変更します。 この設定を元に戻すには、コマンド プロンプトで次のコマンドを入力します。
netsh インターフェイス tcp set global autotuning=normal
この手順を完了すると、コンピューターが再感染しているように見える場合は、次のいずれかの条件が当てはまる可能性があります。
- 自動開始の場所の 1 つが削除されませんでした。 たとえば、AT ジョブが削除されなかったか、Autorun.inf ファイルが削除されませんでした。
- MS08-067 のセキュリティ更新プログラムが正しくインストールされていません。
このマルウェアは、この記事で対処されていない他の設定を変更する可能性があります。 Win32/Conficker に関する最新の詳細については、次のMicrosoft マルウェア プロテクション センター Web ページを参照してください。
http://www.microsoft.com/security/portal/Entry.aspx?Name=Win32/Conficker
システムがクリーンされていることを確認する
次のサービスが開始されていることを確認します。
- 自動Updates (wuauserv)
- バックグラウンド インテリジェント転送サービス (BITS)
- Windows Defender (windefend) (該当する場合)
- Windows エラー報告 サービス
これを行うには、コマンド プロンプトで次のコマンドを入力します。 各コマンドの後で Enter キーを押します。
Sc.exe クエリ wuauserv
Sc.exe クエリ ビット
クエリ windefend の Sc.exe
クエリ ersvc の Sc.exe
各コマンドを実行すると、次のようなメッセージが表示されます。
SERVICE_NAME: wuauserv
型: 20 WIN32_SHARE_PROCESS
STATE : 4 RUNNING
(STOPPABLE,NOT_PAUSABLE,ACCEPTS_SHUTDOWN)
WIN32_EXIT_CODE : 0 (0x0)
SERVICE_EXIT_CODE : 0 (0x0)
CHECKPOINT : 0x0
WAIT_HINT : 0x0
この例では、"STATE : 4 RUNNING" は、サービスが実行されていることを示します。
SvcHost レジストリ サブキーの状態を確認するには、次の手順に従います。
レジストリ エディターで、次のレジストリ サブキーを見つけて、キーをクリックします。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost
詳細ウィンドウで netsvcs をダブルクリックし、一覧に表示されているサービス名を確認します。 一覧の一番下まで下にスクロールします。 コンピューターが Conficker に再感染している場合は、ランダムなサービス名が一覧表示されます。 たとえば、この手順では、マルウェア サービスの名前は "Iaslogon" です。
これらの手順で問題が解決しない場合は、ウイルス対策ソフトウェア ベンダーにお問い合わせください。
この問題の関連情報を参照するには、以下のサポート技術情報番号をクリックしてください。
49500 ウイルス対策ソフトウェア ベンダーの一覧
ウイルス対策ソフトウェア ベンダーがない場合、またはウイルス対策ソフトウェア ベンダーがサポートできない場合は、Microsoft コンシューマー サポート サービスにお問い合わせください。
環境が完全にクリーンアップされた後
環境が完全にクリーンアップされたら、次の手順に従います。
サーバー サービスとタスク スケジューラ サービスを再度有効にします。
SVCHOST レジストリ キーと Tasks フォルダーに対する既定のアクセス許可を復元します。 これは、グループ ポリシー設定を使用して既定の設定に戻す必要があります。 ポリシーが削除された場合、既定のアクセス許可は元に戻されない可能性があります。 詳細については、「軽減ステップ」セクションの既定のアクセス許可の表を参照してください。
不足しているセキュリティ更新プログラムをインストールして、コンピューターを更新します。 これを行うには、Windows Update、Microsoft Windows Server Update Services (WSUS) サーバー、Systems Management Server (SMS)、System Center Configuration Manager (Configuration Manager 2007)、またはサード パーティの更新管理製品を使用します。 SMS または Configuration Manager 2007 を使用する場合は、まずサーバー サービスを再度有効にする必要があります。 そうしないと、SMS または Configuration Manager 2007 がシステムを更新できない可能性があります。
感染システムの特定
Conficker に感染しているシステムの特定に問題がある場合は、次の TechNet ブログに記載されている詳細が役立つ場合があります。
http://blogs.technet.com/kfalde/archive/2009/01/28/using-logparser-eventcomb-to-find-malware.aspx
既定のアクセス許可テーブル
次の表は、各オペレーティング システムの既定のアクセス許可を示しています。 これらのアクセス許可は、この記事で推奨する変更を適用する前に行われます。 これらのアクセス許可は、環境内で設定されているアクセス許可とは異なる場合があります。 そのため、変更を行う前に設定をメモする必要があります。 システムをクリーンした後で設定を復元するには、これを行う必要があります。
| オペレーティング システム | Windows Server 2008 | Windows Vista | Windows Server 2003 | Windows XP | Windows 2000 | |||||
|---|---|---|---|---|---|---|---|---|---|---|
| 設定 | Svchost Registry | Tasks フォルダー | Svchost Registry | Tasks フォルダー | Svchost Registry | Tasks フォルダー | Svchost Registry | Tasks フォルダー | Svchost Registry | Tasks フォルダー |
| アカウント | ||||||||||
| 管理者 (ローカル グループ) | フル コントロール | フル コントロール | フル コントロール | フル コントロール | フル コントロール | フル コントロール | フル コントロール | フル コントロール | フル コントロール | フル コントロール |
| システム | フル コントロール | フル コントロール | フル コントロール | フル コントロール | フル コントロール | フル コントロール | フル コントロール | フル コントロール | フル コントロール | フル コントロール |
| Power Users (ローカル グループ) | 適用されません | 適用されません | 適用されません | 適用されません | 読み取り | 適用されません | 読み取り | 適用されません | 読み取り | 適用されません |
| ユーザー (ローカル グループ) | その他 | 適用されません | その他 | 適用されません | 読み取り | 適用されません | 読み取り | 適用されません | 読み取り | 適用されません |
| 適用先: このキーとサブキー | 適用先: このキーとサブキー | |||||||||
| 値のクエリ | 値のクエリ | |||||||||
| サブキーの列挙 | サブキーの列挙 | |||||||||
| 通知 | 通知 | |||||||||
| 読み取りコントロール | 読み取りコントロール | |||||||||
| 認証済みユーザー | 適用されません | その他 | 適用されません | その他 | 適用されません | 適用されません | 適用されません | 適用されません | 適用されません | 適用されません |
| 適用先: このフォルダーのみ | 適用先: このフォルダーのみ | |||||||||
| フォルダーの走査 | フォルダーの走査 | |||||||||
| フォルダーの一覧表示 | フォルダーの一覧表示 | |||||||||
| 属性の読み取り | 属性の読み取り | |||||||||
| 拡張属性の読み取り | 拡張属性の読み取り | |||||||||
| Filesの作成 | Filesの作成 | |||||||||
| 読み取りアクセス許可 | 読み取りアクセス許可 | |||||||||
| バックアップ演算子 (ローカル グループ) | 適用されません | 適用されません | 適用されません | 適用されません | 適用されません | その他 | 適用されません | その他 | ||
| 適用先: このフォルダーのみ | 適用先: このフォルダーのみ | |||||||||
| フォルダーの走査 | フォルダーの走査 | |||||||||
| フォルダーの一覧表示 | フォルダーの一覧表示 | |||||||||
| 属性の読み取り | 属性の読み取り | |||||||||
| 拡張属性の読み取り | 拡張属性の読み取り | |||||||||
| Filesの作成 | Filesの作成 | |||||||||
| 読み取りアクセス許可 | 読み取りアクセス許可 | |||||||||
| 全員 | 適用されません | 適用されません | 適用されません | 適用されません | 適用されません | 適用されません | 適用されません | 適用されません | 適用されません | その他 |
| 適用先: このフォルダー、サブフォルダー、ファイル | ||||||||||
| フォルダーの走査 | ||||||||||
| フォルダーの一覧表示 | ||||||||||
| 属性の読み取り | ||||||||||
| 拡張属性の読み取り | ||||||||||
| Filesの作成 | ||||||||||
| フォルダーの作成 | ||||||||||
| 属性の書き込み | ||||||||||
| 拡張属性の書き込み | ||||||||||
| 読み取りアクセス許可 |
詳細情報
この問題の詳細については、米国にいる場合は、Answer Desk でライブユーザーとチャットできます。