システムの復元はウイルスを削除しない——巻き戻るのは症状だけ

システムの復元が実際に記録するもの——そして決して触れないもの

復元ポイントとは、Windows のレジストリ、システム ファイル、ドライバーのスナップショットです。ボリューム シャドウ コピーが管理する数百MBで、更新やドライバーのインストール、一部のアプリのセットアップ前に作成されます。ドキュメント、ダウンロード、ブラウザーのプロファイル、ユーザー プロファイル フォルダーの下にあるほぼすべてを、意図的に除外しています。ところが最近のマルウェアはまさにそこに住んでいます。AppData のランチャー、Temp のスクリプト、スタートアップ フォルダーの悪意あるショートカット、乗っ取られたブラウザー拡張機能。システムを巻き戻しても、これらのペイロードはすべて、デスクトップが表示された瞬間に目を覚まします。

この仕組みは逆方向にも切れます。復元ポイントには、何も疑っていなかった時期の感染したシステム ファイルが含まれていることがあり、巻き戻しはすでに駆除したトロイの木馬を蘇らせることがあります。しかも、市販のデータ窃盗型やランサムウェアをはじめとする多くのファミリーは、最初の動作のひとつとしてシステムの復元を無効化し、既存のシャドウ コピーを消去します。本当に感染したマシンでは、頼みの綱だったツールが既になくなっているかもしれません。

誰も警告しない、セキュリティの巻き戻しの罠

巻き戻しが感染に届く場合でさえ——昔のブートキットやドライバー投下型は実際にスナップショットの範囲内に住んでいました——マルウェアが侵入した穴を再び開けてしまいます。累積的な更新を超えて巻き戻れば、Microsoft が数週間前に修正済みのコードを、攻撃者がすでに熟知したマシンで実行していることになります。その間、同梱されてきたパスワード窃盗型は、あなたが実験している間に持ち出したすべての認証情報を握ったままです。システムの復元をアンチウイルス扱いすることは、単に駆除に失敗するだけではありません。攻撃者に持続性と時間の両方を献上してしまうのです。

感染を本当に除去するもの

効果のある順番は地味です。まず Microsoft Defender Offline などレスキュースキャナーで起動し、スキャン中にマルウェアが動いていない状態を作る。次に、本物のツールで持続性——スタートアップ フォルダー、タスク スケジューラーのタスク、Run キー——を除去する。それから、保留中の更新をすべてインストールしてから、そのマシンを再び信頼する。システムの復元はまったく別の仕事のものです。悪いドライバーや起動を壊した更新を巻き戻すことなら、速やかで適切です。データを持ち出したもの——窃盗型、キーロガー、ランサムウェア——に対する唯一の誠実な後始末は、クリーン インストールと別のデバイスからのパスワード変更です。世界のどのクリーナーも、漏れたパスワードを元に戻すことはできません。

• Windows セキュリティからオフライン スキャンを実行する：Microsoft Defender Offline はクリーンな環境で再起動し、メモリに隠れるものを残さない
• その後、定番の持続性ポイントを確認する——スタートアップ フォルダー、タスク スケジューラー、レジストリの Run キー
• ブラウザーのショートカットとプロファイルをリセットする：ハイジャッカーと窃盗型はそこに住み、システムの巻き戻しを生き延びる
• 駆除後すぐに保留中の更新をすべてインストールし、元の穴を本当に閉じる
• 窃盗型やランサムウェアなら損失を受け入れる：ファイルをバックアップし、クリーン インストールし、すべてのパスワードを別のデバイスから変更する
• 復元ポイントは本来の仕事——悪いドライバーと更新の取り消し——のために使い、消毒には使わない

よくある質問

次に読む記事