アプリ経由の削除か直接削除かの違い

Non-English Boards 日本語
1

長文になりますので、お時間のある時に可能であればで結構です。

これまでメールのウイルスなどは検疫フォルダへと移動していたのですが、今回該当ファイルの見付かったフォルダはメールなどでないため（メールだと一体化してしまっているため）、そのままフォルダごと削除可能でして。
この場合、エクスプローラーの機能で「完全に削除」なり、ゴミ箱へ移動して削除した方が安全でしょうか？

また関連でお聞きしたいのですが、今回見つかったファイルがWinnyのAntinnyというウイルスです。
見付かったHDDは大分前に貰ったもので、それをそのままメインドライブに付けて使っています（複数のドライブを接続しているのですが、用途はメモなど細かいフォルダを入れるだけのサブドライブです）。連絡を取り合ってもいないので、内容についての詳細を聞けません。
貰った時点で膨大なファイルが存在したのですが、自身でアクセスする場所は限られているため、これまで気にしていませんでした。複数のフォルダを検査した際、そのサブフォルダに引っ掛かってきました。

それで気になりドライブにファイル名検索をしたところ、winnyのアプリケーションが見付かり、しかも同一フォルダにshareという別の共有ソフトも見付かって頭を抱えています。

今回気になっているのは、対策サイトなどの文言などを読んででした。

フォルダ内部は実行アプリケーションの他に幾つか空のフォルダがあり、よく言われるようなファイルをアップロード・ダウンロードしている痕跡などはないと思われます（実際にどういう挙動をしているかわからないので、判断できませんが、タスクマネージャをチェックしても何かが勝手に起動している痕跡はありません）。勝手に動作するソフトではないとは思いますが……。

文科省の対策サイトでは、Winny・Antinnyの対策として「ウイルス対策ソフトを使って検出し、削除する」という前提だけ書かれており、そこだけ読むとファイルが有るだけで感染しているように読めます。
自分の理解では、exe形式のファイルを実行するとレジストリなどが感染し、そのPCが感染した挙動を示すようになると思っていました。どんなウイルスであれ、動作するにはexeファイルがそこにあるだけでは駄目だと考えていました。

状況としては、「Winnyとウイルスであろうファイルが既にメイン以外のドライブ内にあった」状態です。当人がこのファイルを実行していたかどうかはわかりません（自分より詳しいので、恐らくしてなかったと思います）。
この場合、このドライブ（ウイルスのファイルがあったドライブ）をOSの入ったメインドライブと接続して使っていた自分は、ウイルス感染した状態だったと考えるべきでしょうか。

ファイル共有ソフトは使ったことがなく、その上ウイルスの挙動を調べる限りは気にするものではないと思うのですが
（このウイルスについてWIKIを見ると、「Antinnyの仕様上、たとえ感染したとしても、Winnyを起動しなければ情報流出は起こらず、大きな害は無いと言える」とありました）
ソフトの挙動について調べていると、どうもWinnyは「インストールしていなくても機能する（？）」みたいな書き方をしているところがあり、どうしたらいいか困っています（winnyの方を調べただけで、shareの方はどうかわからないのですが）。

「ファイル共有ソフト」という事実だけでかなり及び腰になってしまっているのですが、使ったことがなければ、今回のようにソフトと該当ウイルスがあったとしても悪さはしていなかったと考えればいいのでしょうか？
またファイル共有ソフトというのはウイルスではないのであれば、これがドライブ内に存在していただけで何かをしているという事はないのでしょうか。

しかし、大前提として、今回このファイルを検出してくれたのはAVASTで、動作してくれたということは、もしファイルが機能しようとしてもAVASTが止めてくれたという事だとは思います。
この数年、AVASTは定期的にPCに走らせています。スマートスキャンにウイルスなど検知されたことはこれまでありません。
該当のウイルスは今回フォルダチェックすることで発見できましたが、仮にそうしたウイルスが機能していたなら、AVASTが止めてくれていたログなどもあったように思えます。
先日に相談したPC店では、「AVASTでチェックできたなら、仮にウイルスが機能しようとしたとしても止めてくれているし、ファイルから感染してない」という回答でした。これは概ね自分と同様の認識でして、exeの実行でメインの感染しない限り大丈夫という感じでした。

長くなってしまって申し訳ないのですが、気になっているのは以下の要素になります。

・AVASTでウイルス判定されていないということはWinnyなどの実行ファイル（？）の入ったフォルダはそのままにしておいた方がいいのでしょうか。精神衛生上よくないので削除はしたいのですが、残しておいた方が後々詳細を検証できることもあるのではないかと思い、削除に踏み切れずにいます。

・元のドライブ所有者がファイルを実行したかどうかわからない、かつ、そのドライブを接続して使っていた状態で、ウイルス判定されたファイルは感染を行ったと考えるべきでしょうか。
該当PCにおいて自分でこの実行ファイル、及び関連のフォルダに触れたことはありません（今回調べたのが初です）。
ただし、貰った時点で膨大なファイル内から自分で保存した資料のテキストを探す際、エクスプローラーの「検索」を使用しており、その際にウイルスファイルの格納されたフォルダを走査したことはあると思われます。また、同様の理由でファイル名の一部が一致した際など、検索結果の一覧窓にウイルスファイルの格納されたフォルダがピックアップされたこともあると思われます（エクスプローラー検索を行うと出てくる「検索場所」プレビューなどの出てくる画面です）

・AVASTからの検疫でウイルス判定されたファイルを処理するか、エクスプローラーからフォルダごと消すか、どちらがいいでしょうか。

調べたサイトによっては「ファイルが存在すればインストールされている」と書かれていて、レジストリのない解凍ソフトのようなものかと納得はしたのですが、それでそこまで強烈な動作ができるのかどうか、疑問になっています。
可能でしたら対策上のアドバイス頂ければ幸いです。

2

こんばんは tukus さん

Winny/ShareやAntinnyの動作について詳しい訳ではありませんので、一般論としての議論にはなりますが、私なりの結論を先に申し上げますと、

削除して問題ないと考えます。
後々の検証の可能性を残しておきたいという場合には、問題のフォルダを丸ごとZIPファイルなどに圧縮しておく(サイズが大きくなければですが)という手もあります。

・元のドライブ所有者がファイルを実行したかどうかわからない、かつ、そのドライブを接続して使っていた状態で、ウイルス判定されたファイルは感染を行ったと考えるべきでしょうか。 該当PCにおいて自分でこの実行ファイル、及び関連のフォルダに触れたことはありません（今回調べたのが初です）。 ただし、貰った時点で膨大なファイル内から自分で保存した資料のテキストを探す際、エクスプローラーの「検索」を使用しており、その際にウイルスファイルの格納されたフォルダを走査したことはあると思われます。また、同様の理由でファイル名の一部が一致した際など、検索結果の一覧窓にウイルスファイルの格納されたフォルダがピックアップされたこともあると思われます（エクスプローラー検索を行うと出てくる「検索場所」プレビューなどの出てくる画面です）
記載いただいた内容を見る限り、tukus さんのPCで当該マルウェアが稼働した（＝「感染した」。後述）可能性は低いと考えます。 前の持ち主のPCでは、あるいは稼働していた可能性は否定しませんが、現在のHDDの用途がOSではなくデータ置き場ということですので、ここでは問題にはならないはずです。
・AVASTからの検疫でウイルス判定されたファイルを処理するか、エクスプローラーからフォルダごと消すか、どちらがいいでしょうか。
コンピュータへの害という観点でいえば、Avastで検疫されればそれで問題は無いはずです。 後は1点目と同様、精神衛生的にどうするかという部分になります。

個人的には、人から譲り受けた/中古で購入したHDDなどは、中身に特段の興味/意味が無い限り、フォーマットにより中身を全削除してから使っています。私自身がHDDを売却/譲渡する場合も、何らかの理由でそれが不可能な場合以外は、入念にディスクのデータ消去を行ってから売却/譲渡しています。

さて、tukus さんが迷われている部分は、おそらく「感染」という言葉の意味合いかと思います。

ご認識の通り、EXEファイルなどの実行ファイル型のマルウェアは、その実行ファイルがPC上で稼働しない限り、実害を与えることはありません。tukus さんは、この「稼働する＝害を与える」ことを「感染する」と呼称されているものと思います。
一方、問題のあるファイルがPC上に存在することがそもそも問題であるとの考えから、稼働したかどうかにかかわらず、マルウェアの関連ファイルが存在することを「感染する」と表現される方もいます。
このあたりを区別せずに書いてあるものがほとんどなので、どういう意味合いで書いてあるかによっては混乱を招く場合があります。

一部のマルウェアは、活動の結果として特定の場所に特定のファイル(実行ファイル含む)を作成する場合があるため、そういったファイルが存在することをもって、かつてのそのPCにおいてマルウェアが稼働した＝感染したと判断するケースはあります。
また、ファイルをあえて実行していなくとも、Windowsの脆弱性を突いて勝手にマルウェアのEXEを起動するもの（ドライブ・バイ・ダウンロード、autorun型マルウェア、細工されたショートカットファイルなど）もありましたが、Winny/Shareがそういった機能を持っていたとは聞いていませんし、前の持ち主がよほど意地悪でない限り、意図してそういった設定をしていることは無いでしょう。
仮に今回のマルウェア（Antinnyなど）がこう言った攻撃手法を利用していたとしても、（100%とは言いませんが）Avastは対応していますので、心配はないものと考えます。

ちなみに近年では、ファイルとしての実体を持たないマルウェアが多種出てきています。今回の件とは関係ありませんが、マルウェアはEXEだけという訳ではありませんのでご注意ください。

3

ありがとうございます。
諸用あって御礼が遅れてしまいました。
返信はその際に読ませて頂いて、返信できない間にも心理的にかなり楽になっていました。
最新のマルウェア関連でもない、個人的な状況の相談に乗っていただけたこと、ありがたく思います。

＞個人的には、人から譲り受けた/中古で購入したHDDなどは、中身に特段の興味/意味が無い限り、フォーマットにより中身を全削除してから使っています。私自身がHDDを売却/譲渡する場合も、何らかの理由でそれが不可能な場合以外は、入念にディスクのデータ消去を行ってから売却/譲渡しています。

元は共用PC内部にあった無数のテキストを検索して使っていた（資料として保存したHTMLテキストなどが多いです）ため、必要なものだけ外部ドライブに移して使うのを躊躇したのがそのまま使用していた理由として大きかったです。
何が必要なファイルでそうでないかわからないため、丸ごと検索するフォルダとして使っていたもので。
あとで何か必要になったら……と思ってしまいまして。ファイル名がランダムな英数字や数字だけ、というのがかなりあり、特に昔のファイルなどは内部にテキスト検索を走らせなければ探せないものが多く、フォルダへの走査を基本的な使い方としていました。

＞削除して問題ないと考えます。
＞後々の検証の可能性を残しておきたいという場合には、問題のフォルダを丸ごとZIPファイルなどに圧縮しておく(サイズが大きくなければですが)という手もあります。

＞コンピュータへの害という観点でいえば、Avastで検疫されればそれで問題は無いはずです。

対象フォルダを再度検疫し、「検疫する」を選べば（選択し、対象フォルダにAVASTに移して貰う）いいということでしょうか？
当初考えていた対処の方法の一つとして、小容量のメモリに対象フォルダをコピー、丸ごと本体から削除というのがありました。

現状、自分の考えている最良の対処は必要なフォルダを厳選して新しいHDDに引っ越しですが、AVASTで検疫されれば問題ない＝都度危険そうであればAVASTがサポートしてくれるのであれば、PCの入れ替えまではこのまま（検疫フォルダに移さずに）使えるのが一番かもしれません。
というのも、そうなったあとであればスタンドアローンにしたPCを検索専用にしてしまえるかなと。
これも精神的なものかもしれませんが、フォルダを操作する（圧縮したり、フォルダごと削除する・ゴミ箱に移す）のも結構ためらわれてしまいまして。メールのウイルスならこれまでも対処してきましたが、フォルダ内にあるウイルスというのはどう触るべきかためらってしまっています。

スタンドアローン化した後であれば、思い切って丸ごと（該当フォルダをエクスプローラーから）削除に踏み切るのもやれそうではあるのですけれど。

＞記載いただいた内容を見る限り、tukus
さんのPCで当該マルウェアが稼働した（＝「感染した」。後述）可能性は低いと考えます。

＞さて、tukus
さんが迷われている部分は、おそらく「感染」という言葉の意味合いかと思います。

なるほど、参考にしたサイトごとの書き手さんの認識の差異によるものなのですね。

質問を書いていた際の認識を振り返ると、まず不安になっていたのがWinnyの詳細を読むと出てくる「Winnyは単体で起動する（？）」というような、レジストリを使わなくても動くソフトだという記述でした。
これと連動する形で、であれば、インストールしていなくても稼働するファイルなどあるのでは？ という認識に至ってしまいまして。
ただ自分が認識していた、また、セキュリティ会社の詳報などを以前読んで知っていたウイルスなどの詳細は、NONさんの仰って下さっているような「実行ファイルを起動した」からこそPC内で起動し始める、レジストリに一度入った後で動作を始める者だった記憶があります。

＞一部のマルウェアは、活動の結果として特定の場所に特定のファイル(実行ファイル含む)を作成する場合があるため、そういったファイルが存在することをもって、かつてのそのPCにおいてマルウェアが稼働した＝感染したと判断するケースはあります。

もしかしたら、自分の読んできたサイトの詳細はこれらについてのものなのかもしれません。
PCに実害がある状況なのでは？ と、自分で深みにはまってしまっていました。

＞前の持ち主がよほど意地悪でない限り、意図してそういった設定をしていることは無いでしょう。

共用PCからHDDを単純に譲り受けただけですので、そういうことはないと思います。サンドボックス的に使っていたかどうかはわかりませんが、仕込む必要などはないでしょうし。

＞ちなみに近年では、ファイルとしての実体を持たないマルウェアが多種出てきています。今回の件とは関係ありませんが、マルウェアはEXEだけという訳ではありませんのでご注意ください。

ありがとうございます。
スマートスキャンによく出てくる文言としてのマルウェアはそちら関連なのですね。
以前の話になりますが、別のP2P型ソフトに関連するウイルスの話で、当人はソフトを使っていなくても、感染する事でソフトを使っているような状態にしてしまう脅威についてセキュリティ関連のニュースで読んだ覚えがあり、それで疑心暗鬼になってしまっていたのもあるかもしれません。

お返事に重ねてお礼申し上げます。
悶々としていたので、気分的に楽になったのは凄く助かりました。

4

フォルダの単位では検疫は出来ないので、検出されたファイルだけ検疫するか、ご提示の通りUSBメモリか何かを使うでもよいと思います。

質問を書いていた際の認識を振り返ると、まず不安になっていたのがWinnyの詳細を読むと出てくる「Winnyは単体で起動する（？）」というような、レジストリを使わなくても動くソフトだという記述でした。 これと連動する形で、であれば、インストールしていなくても稼働するファイルなどあるのでは？ という認識に至ってしまいまして。 ただ自分が認識していた、また、セキュリティ会社の詳報などを以前読んで知っていたウイルスなどの詳細は、NONさんの仰って下さっているような「実行ファイルを起動した」からこそPC内で起動し始める、レジストリに一度入った後で動作を始める者だった記憶があります。
インストールという操作(スタートメニューにショートカットを作るような)が不要で、EXEを実行するだけ、というソフトは、マルウェア含め数多くあります(というか、マルウェアはこのタイプが一般的です)。 正規ソフトであればポータブル版と呼んだりもしますが、いずれにせよ、実行ファイル形式のものである限りは「ファイルを実行する」という操作が、そのファイルの活動化に必要です。