ウイルス再々発

数日、その鳴りをひそめていた CPU 使用率上昇問題が、PC を再起動することで再発した。

• ウイルスを貰ったらしい…　
• またまたウイルスが発病した

　基本的に我が家の PC は全てスタンバイ状態から、マウスやキーボードを触ると直ぐに使える状態としている為、シャットダウンを行なわないのだが、ある理由で再起動を掛けた処、先日来悩まされている CPU 使用率が 100％に貼りつく問題が再発した。

　Microsoft Seculity Essentials でウイルス・スキャンを行なっても脅威は見つからないのに…

　再起動すると問題が起こることから、レジストリの RunOnce に起動して欲しくないスクリプトが記述されているに違いないと推測する。

• レジストリの RunOnce キーの定義　Microsoft

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce

RunキーとRunOnceキーの違いは、登録されているプログラムを新規ユーザーがログオンするたびに実行するか、始めの一回のみ実行するかです。

RunOnceキーは現在使用中で削除できないファイルを次回起動時に削除するなどの目的で使用します。

今回も、CPU を消費しているプロセスを調べると、RegSvcs.exe だったので、此れについて web を検索すると… RegSvcs.exeのCPU使用率が高く困っています。解決方法はありますでしょうか？　YAHOO! 知恵袋

　同じ悩みを抱えた方の質問に、次の URL を参照すべし、とのことで…

• http://about-threats.trendmicro.com/Malware.aspx?language=jp&name=BKDR_SHOTODOR.A　(BKDR_SHOTODOR.A) TREND MICRO

　ウイルスバスターのメーカーが言う通り、Windows をセーフモードで起動し、特定レジストリキーの削除、start.vbs のファイル等を探した。

　そして、TREND MICRO が言う処の HKEY_CURRENT_USER\Software 内の DC3_FEXEC の値を全て削除した。

	（セーフモードでのキャプチャなので解像度が低い） 　更に、ユーザーフォルダに miapa という名前の隠しフォルダが存在した。 　このフォルダ内には、start.vbs というスクリプトが在る。 　これは怪しくないだろうか？
	レジストリのHKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce には、miapa フォルダ内の start.vbs を起動する記述が為されている。 　他にも英数字を並べた意味の無い名前フォルダ内の、これまた意味の無い名前のスクリプトが実行する様になっている！

　OS の起動後、どう見ても必要なさそうな、レジストリ RunOnce への記述を全て削除し、隠しファイル属性となっている不審なユーザフォルダを全て削除！

　お陰で、PC を幾度か再起動しても再発しなくなった。

　…まだ安心は出来ないけど。

ひでのブログ　https://hidekyan.cocolog-nifty.com/blog/