GitHubのSpotifyクラックを試した直後から、Windows Defenderで「TrojanDownloader:BAT/AsyncRAT.LGU!MTB」が何度も検出され、表示されたパスを開こうとしても実体が見つからない――この状況は“誤検知で済ませてよい”ケースより、“残り続ける原因がある”ケースが多いです。安全確保から完全駆除、最終手段まで、迷わず進められる手順にまとめます。
結論：誤検知と決めつけず「感染を前提」に動くのが安全
今回の流れ（クラック版ソフトを実行→Defenderがスクリプト系トロイを検知→許可→Downloader系（AsyncRAT）を検知→以降も繰り返し検出）は、典型的に「最初の実行をきっかけに、追加の不正ファイルを落として常駐（永続化）しようとする」パターンと整合します。
もちろんDefenderが100%誤検知しないわけではありません。しかし、
- クラック版・海賊版はマルウェア混入率が高い
- “VirusTotalのスクショ”は改ざん・古い結果・別ファイルの可能性がある
- Downloader/RemoteAccess系の名前が出ている（AsyncRAT系）
以上を踏まえると、「誤検知かも」ではなく「侵害された前提」で封じ込め→駆除→確認→再発防止の順で進めるのが最もリスクが低いです。
TrojanDownloader:BAT/AsyncRAT.LGU!MTB とは何か（ざっくり理解）
名称から読み取れるポイントは次の通りです。
- TrojanDownloader：端末内で別の不正プログラムをダウンロード・展開・実行する役割になりやすい
- BAT：バッチ（.bat）など、スクリプト・自動実行の形で動くことがある
- AsyncRAT：遠隔操作（Remote Access）に悪用される系統として扱われることが多い
重要なのは、検出名の細部よりも「再検出が続く＝何かが自動的に復活/再生成している可能性」に目を向けることです。
最優先：被害拡大を止める（封じ込め）
駆除の前に、まずは“外部と通信できない状態”にして被害拡大を抑えます。
- インターネットを一時的に切断（Wi‑Fiオフ／LANケーブルを抜く）
- 重要アカウントのパスワード変更は「別端末」から（同じPC上での変更は避ける）
- 可能ならMFA（二要素認証）を有効化し、ログイン通知を確認
- オンラインバンキング・クレカ・ECは、利用履歴と不正ログインの有無を確認
ポイント：AsyncRAT系が疑われるときは「入力した情報が抜かれる」リスクをゼロにできません。まず通信を止め、次に別端末で重要アカウントを固めるのが合理的です。
Microsoft公式情報（脅威情報ページ）を基準にする
まず参照すべき一次情報はMicrosoftの脅威情報ページです。名称が同じものを確認し、推奨対処（検出・隔離・削除、スキャン方法）をベースに進めます。
- TrojanDownloader:BAT/AsyncRAT.LGU!MTB（Microsoft脅威情報）： Microsoft Defender 脅威情報ページ
- Trojan:Script/Wacatac.H!ml（Microsoft脅威情報）： Microsoft Defender 脅威情報ページ
そして、通常のフルスキャンで取り切れない・再発する場合に効果が高いのがMicrosoft Defender オフラインスキャンです。
- Microsoft Defender Offline scan（公式手順）： Microsoft Learn
まずここを疑う：同じ検出が何度も出る主な理由
「検出ログのパスを開けない」「削除したはずなのにまた出る」場合、原因はだいたい次のどれかです。
| よくある原因 | 起きること | 見分け方 | 対処の方向性 |
|---|---|---|---|
| 一時フォルダに生成→消える | 検出時点では存在、開く頃には消えている | Temp配下やランダム名ファイルが多い | オフラインスキャン／永続化の元を潰す |
| 圧縮ファイル内部の検出 | zip/rar内のファイルが検出される | ログに「.zip」等が含まれることがある | 元のアーカイブ自体を削除 |
| 隔離済みだが履歴が残る | “過去の検出履歴”が残り続ける | 現在の脅威に出ていないのに履歴だけある | 定義更新後に再スキャンで確認（慌てて手動削除しない） |
| 許可（Allow）や除外（Exclusion）設定 | Defenderが避けてしまい、再感染/再生成 | 「許可した」と自覚がある | 許可取り消し・除外削除・改めてスキャン |
| タスク/スタートアップで復活 | 再起動や一定時間で再生成・再検出 | 検出間隔が規則的、再起動後に出る | 自動起動・タスク・サービスを洗う |
完全駆除ロードマップ（この順番で進める）
| フェーズ | 目的 | やること | 完了の目安 |
|---|---|---|---|
| 封じ込め | 流出/遠隔操作のリスクを下げる | ネット切断、別端末で重要PW変更・MFA | 重要アカウントを守れた |
| Defender設定の是正 | 「許可」「除外」で取り逃がさない | 許可取り消し、除外を確認・削除 | Defenderが正しく検知できる状態 |
| スキャン（基本） | 一般的な残骸を除去 | 定義更新→フルスキャン | 検出が止まる/減る |
| スキャン（強力） | 常駐や起動前に潜むものを除去 | オフラインスキャン、セーフモードスキャン | 再起動後も検出が出ない |
| 永続化の除去 | “復活ボタン”を潰す | タスク/スタートアップ/サービス/レジストリ確認 | 再検出が一定期間ゼロ |
| 最終手段 | 不安をゼロに近づける | データ退避→クリーンインストール | 安心して運用再開 |
具体的な手順：初心者でも迷わないチェックリスト
脅威の「許可」を取り消し、除外設定を消す
今回のように最初の検出を「許可」してしまった場合、Defenderの判断を無力化している可能性があります。以下を必ず確認します。
- Windows セキュリティ → ウイルスと脅威の防止 → 保護の履歴
- 項目に「許可」「復元」「デバイスで許可」などがあれば、可能な範囲で許可を解除/削除
- ウイルスと脅威の防止の設定 → 設定の管理 → 除外を確認し、身に覚えのない除外は削除
補足：クラック版実行後に、除外パスを勝手に追加してDefenderを回避しようとするケースもあります。除外に「Temp」「AppData」「ProgramData」など広い範囲が入っていたら特に危険です。
Windows Update と Defenderの定義（セキュリティインテリジェンス）を最新化
駆除は“最新の定義”が前提です。更新前にスキャンしても取り逃がしが増えます。
- 設定 → Windows Update → 更新をすべて適用
- Windows セキュリティ → ウイルスと脅威の防止 → 保護の更新 → 更新の確認
Defenderで「フルスキャン」→「オフラインスキャン」
最短で効果が出やすい王道の流れです。
| スキャン種別 | 強さ | おすすめ度 | 使いどころ |
|---|---|---|---|
| クイックスキャン | 低〜中 | 低 | 時間がない時の簡易確認（今回のケースでは不足しがち） |
| フルスキャン | 中〜高 | 高 | まず最初に必ず実施。再検出が減るか確認 |
| カスタムスキャン | 中 | 中 | ダウンロード/Temp/怪しいフォルダに集中したい時 |
| Microsoft Defender オフラインスキャン | 高 | 最優先 | しつこい再検出、削除できない、常駐が疑わしい時 |
操作手順（Windows 10/11で概ね共通）：
- Windows セキュリティ → ウイルスと脅威の防止へ進む
- スキャンのオプションを開き、まずフルスキャンを実行
- 完了後、同じ画面でMicrosoft Defender オフラインスキャンを選び、実行
- 再起動後にオフラインで検査が走るので、終わるまで待つ
「パスが見つからない」時にやってはいけないこと／やるべきこと
検出ログに出たパスを開けないからといって、すぐに「誤検知だ」と結論づけるのは危険です。まずは次を確認します。
- エクスプローラーで隠しファイル表示をオン（表示→表示→隠しファイル）
- 一時フォルダ（%temp%）は生成と削除が激しいため、検出時点で存在しても後から消えることがある
- ZIP等の中身が検出されている場合、展開して探すより“元のアーカイブごと削除”が安全
- Defenderが既に隔離/削除済みでも、通知や履歴がしばらく残ることがあるため、定義更新→再スキャンで「現行の脅威」が残っているか確認
注意：ネットで見かける「このフォルダを消せば履歴が消える」系の手順は、状況把握を難しくすることがあります。まずはスキャンで“現行の脅威が残っていない”状態を作ることを優先してください。
セーフモードでの再スキャン（削除できない/再発する場合）
常駐プロセスが邪魔して消せない場合、セーフモードでのスキャンが有効なことがあります。
- セーフモード起動後にWindows セキュリティからフルスキャンを実行
- ネットワークは基本オフ（必要な場合のみセーフモード（ネットワーク））
サードパーティで“セカンドオピニオン”を取る
すでにMalwarebytesを使っているのは良い判断です。Defenderと別エンジンで確認することで、取り逃がしや別ファミリ検出の手がかりになります。
- Malwarebytes：定義更新後にスキャン（可能ならカスタムで全ドライブも対象）
- Microsoft Safety Scanner（MSERT）（オンデマンドスキャナ）： 公式ダウンロード
- 必要に応じて、信頼できるオンラインスキャナも併用（入手先は必ず公式）
ポイント：「検出がゼロ＝安全」とは限りませんが、複数ツールで検出が止まり、再起動後も再発せず、永続化ポイントが見つからない状態まで持っていくと“実害リスク”は大きく下げられます。
再発を止める核心：自動起動（永続化）を潰す
再検出が続くときは、マルウェア本体よりも「復活させる仕組み」が残っていることが多いです。ここを潰すと、再発が止まりやすくなります。
まず確認する場所（チェックリスト）
| 確認場所 | 見るポイント | 怪しい例 | 対処 |
|---|---|---|---|
| タスクマネージャー → スタートアップ | 開発元、ファイル場所 | 開発元不明、場所がTemp/AppData直下 | 無効化→場所確認→スキャン |
| タスク スケジューラ | トリガー（ログオン時/一定間隔）、実行プログラム | ランダム名、.bat/.vbs/.ps1 実行 | 無効化→内容確認→削除 |
| サービス（services.msc） | 自動起動、説明が不自然 | 説明なし、聞いたことのない名前 | 停止→スタートアップ種類見直し→スキャン |
| スタートアップフォルダ | ショートカット/スクリプト | いつの間にか増えた.lnkや.bat | 削除→再起動→再検出確認 |
| レジストリ Runキー | ログオン時実行の登録 | AppData配下の実行ファイルを呼ぶ | 慎重に削除（不安ならツール併用） |
コマンドで確認したい人向け（Windows標準）
GUIが難しい場合は、Windows標準コマンドで全体像を掴めます。
タスク（詳細表示）
schtasks /query /fo LIST /vスタートアップ（フォルダ）
shell:startup
shell:common startupRunキー（場所の例）
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run注意：レジストリ編集はリスクがあります。自信がない場合は、次の「Autoruns（Microsoft製）」を使う方が安全に全体を俯瞰できます。
Microsoft製ツール「Autoruns」で自動起動を一括で可視化する
永続化ポイントを探す最短ルートの一つが、Microsoft SysinternalsのAutorunsです。スタートアップ、タスク、サービス、Runキーなどをまとめて見られます。
- Autoruns（公式）： Microsoft Learn – Autoruns
使い方のコツ：
- Publisher（発行元）が空欄、または不自然なものを優先的に確認
- 実体パスがTemp / AppData / ProgramData直下で、ランダム文字列っぽい場合は要注意
- 見つけた項目は、いきなり削除ではなくチェックを外して無効化→再起動→再検出が止まるか確認が安全
Defenderのコマンドラインで深掘りしたい場合
GUIが不安定なときや、運用的にログを残したいときはコマンドラインも有効です。
- MpCmdRun.exe（Microsoft公式のコマンド説明）： Microsoft Learn
例（フルスキャン相当）：
"C:\Program Files\Windows Defender\MpCmdRun.exe" -Scan -ScanType 2例（特定フォルダを狙う場合）：
"C:\Program Files\Windows Defender\MpCmdRun.exe" -Scan -ScanType 3 -File "%USERPROFILE%\Downloads"ポイント：「検出は出るのに実体が追えない」場合、ダウンロードフォルダやTemp、ProgramData、AppDataなど“生成されやすい場所”をカスタムで重点的に当てると、原因に近づきやすくなります。
感染後に必ずやるべき：アカウントと設定の点検
駆除に成功しても、侵入後に“設定だけ”変えられていると、後から別ルートで困ることがあります。最低限、次を確認してください。
ブラウザの点検
- 拡張機能：身に覚えのない拡張機能を削除
- 既定の検索エンジン：勝手に変わっていないか
- プロキシ設定：勝手にオンになっていないか（「設定」→「ネットワークとインターネット」→「プロキシ」）
Windowsのネットワーク設定
- DNSを手動固定していないか
- VPN/謎のネットワークアダプタが増えていないか
- Windowsファイアウォールの例外に不審なアプリが追加されていないか
重要アカウントの守り直し（別端末で）
- メール（Gmail/Outlook等）：ログイン履歴、転送設定、フィルタ、アプリパスワード
- Apple ID / Google / Microsoftアカウント：サインイン履歴、信頼済み端末、MFA
- パスワードマネージャーを使っている場合：マスターパスワード変更と、全体監査
ここまでやっても不安が残るなら：クリーンインストールが最も確実
遠隔操作系が疑われるケースで「絶対に安心したい」なら、最終的にはクリーンインストールが強いです。判断基準はシンプルで、次のどれかに当てはまるなら検討価値があります。
- オフラインスキャン後も再検出が止まらない
- 自動起動・タスクを潰しても復活する
- 不審な通信・不審なアカウント操作が疑われる
- 仕事用/決済に使うPCで、リスクを取りたくない
クリーンインストールの基本方針：
- バックアップするのは自分で作成したデータのみ（写真、文書など）
- 実行ファイル（exe/bat/ps1/zipなど）は基本持ち出さない
- 初期化後、Windows UpdateとDefender更新を最優先
- 戻す前にバックアップデータをスキャン（Defender＋必要なら追加スキャナ）
今後の予防策：同じ事故を二度起こさないために
- クラック版・海賊版は使わない（「無料化ツール」「MOD導入」も同様に危険）
- ダウンロード元は公式サイト／Microsoft Store／信頼できる配布元に限定
- Defenderの警告は基本的に信用し、スクショのVirusTotalを根拠に許可しない
- Windows、ブラウザ、セキュリティソフトは常に最新化
- 普段からバックアップ（できれば世代管理）を用意し、最悪でも復旧できる状態に
よくある質問（つまずきポイントの解消）
Defenderで「削除」したのに、また同じ名前が出ます。まだ感染していますか？
可能性は2つあります。
- 本当に残っている：タスクやスタートアップで復活している／別の場所から再生成されている
- 履歴・通知の見え方：すでに隔離済みでも履歴が残る、定義の更新で表示のされ方が変わる
判断のコツは「オフラインスキャン後」「再起動後」「時間を空けた後」に現行の脅威として再検出されるかです。現行で出続けるなら、永続化の潰し込みが必要です。
検出パスが開けないのに、どうやって削除するの？
“実体を開いて削除”ではなく、スキャンで除去し、復活要因（自動起動）を潰すのが正攻法です。Temp系は消えるのが普通なので、見失っても異常ではありません。大事なのは、再発しない状態に持っていくことです。
uTorrentやクラック版Spotifyを消せば終わり？
入口を塞ぐ意味では正しいですが、実行済みならそれだけで終わるとは限りません。フルスキャン→オフラインスキャン→自動起動の確認までをセットで行うのが安全です。
コメント