無料ゲームサイトのitch.ioで配布されているタイトルをきっかけに、トロイの木馬へ感染してしまった――そんな相談が増えています。この記事では、実際の事例をもとに、Windows DefenderとFRST（Farbar Recovery Scan Tool）を使った復旧手順と、再発防止の具体策をわかりやすく整理します。
itch.ioフリーゲームからのトロイの木馬感染事例
今回のケースは、「無料ゲーム（itch.io）をインストールしたら、管理者権限の確認が何度も出て、つい『はい』を押してしまった」という、実際に起こりやすいパターンから始まりました。
その直後から、以下のような症状が出ています。
- PCの動作がいつもより重くなる、あるいは不安定になる
- データやファイル構成に違和感がある（フォルダが増えた・設定が勝手に変わるなど）
- Windows セキュリティ（Defender）のフルスキャンをかけても「検出なし」
- 翌日に再度フルスキャンを試すと、進捗が0%から動かない
- 復元ポイントを探しても、そもそも作成されていない
後の調査で分かったのは、単にゲームのインストールに失敗したのではなく、トロイの木馬が管理者権限を奪い、Windows Defenderの「除外設定」を改ざんしていたという事実でした。その結果、Defenderが正常に機能せず、マルウェア本体＋別種のマルウェア（ClipBanker系）まで入り込んでいた、というかなり重い状態です。
| 状況 | 起きていたこと |
|---|---|
| itch.ioゲームを管理者権限で実行 | トロイの木馬がUAC（「このアプリがデバイスに変更を加えることを許可しますか？」）を突破 |
| Defenderフルスキャン「検出なし」 | マルウェアがDefenderの除外設定を書き換え、OSの主要フォルダを丸ごと検査対象外に |
| オフラインスキャンやフルスキャンが0%から動かない | Defenderや関連サービスに異常、あるいはシステム側の破損・競合の可能性 |
| 復元ポイントが存在しない | もともと無効化されていた、またはマルウェア・設定変更により削除されていた |
ここから、FRST＋専用fixlistによる駆除と、Windows Defenderの設定修復、さらにセカンドオピニオンによる再確認という流れで復旧を行います。
結論：活動中マルウェアはFRST＋Defenderで駆除済み
最初に、本件の「ゴール」を整理しておきます。
- FRST（Farbar Recovery Scan Tool）と専門家作成のfixlistにより、活動中のマルウェアは駆除
- 同時に、不正に追加されたDefenderの除外設定を削除し、防御機能を元に戻した
- その結果として、後からDefenderが見つけたものは、既に活動していない「残骸」ファイル
- それらはDefenderの画面から「隔離 → 削除」すればOKで、追加の被害は発生しない
- カスペルスキー ウイルス駆除ツールなどのセカンドオピニオンでも検出なしであることを確認済み
つまり、メインのマルウェアは駆除できており、残っているのは「掃除機に吸い込む前のゴミ」レベルという状態まで復旧できています。
トロイの木馬とClipBanker：今回の脅威の中身
トロイの木馬とは
「トロイの木馬」は、見た目は無害なファイル（ゲーム、ツール、クラック、チートなど）に見せかけて、裏で別の悪意ある動作を行うマルウェアの総称です。
- ユーザー自身に実行させることで、UACを突破しやすい
- 一度管理者権限を取ると、セキュリティ設定を変更しやすい
- キーロガー、情報窃取、別マルウェアのダウンロードなど、用途は多様
今回のケースでは、Windows Defenderの除外設定を広範囲に追加し、防御の目をかいくぐる行動が確認されています。
Trojan:Win32/Kepavll!rfn とは
Defenderのログ上で検出名として挙がったのが、Trojan:Win32/Kepavll!rfn です。これはトロイの木馬系マルウェアの一種で、主に以下のような扱いになります。
- 検出された時点で、Defenderは「実行ファイル」や関連ファイルを特定している
- 隔離または削除されていれば、そのファイルはもはや活動できない
- ユーザーがそのファイルを再度実行しない限り、新たな感染にはつながらない
つまり、検出 → 隔離 → 削除という基本フローを踏んでいれば、検出名自体に過度な恐怖を抱く必要はありません。
ClipBanker（クリップボード差し替え系）について
同時に検出されていたマルウェアに、ClipBankerと呼ばれる系統のものもあります。これは、クリップボード（コピー＆ペースト）を監視し、特定の文字列を別のものに差し替えるタイプです。
- 仮想通貨ウォレットアドレスを、攻撃者のアドレスに置き換える
- 銀行口座番号や振込先IDを、攻撃者の情報にすり替える
- ログイン用のユーザー名やIDを盗み見る
したがって、送金や重要情報の貼り付けを行う前に、必ず内容を目視確認することが極めて大切です。駆除後もしばらくは、次のような「セルフチェック習慣」を続けると安心です。
- ウォレットアドレスは、頭と末尾数文字を必ず目で確認する
- 振込先口座番号は、毎回入力後に通帳や公式サイトと照合する
- 思い当たらない送金履歴がないか、取引履歴を定期的に見直す
初動対応：被害拡大を防ぐためにまずやること
感染や挙動不審に気づいた時点での「初動」が、その後の被害を大きく左右します。ここでは、一般ユーザーでもすぐ実践できる初動対応をまとめます。
| やるべきこと | 理由 |
|---|---|
| 有線LANケーブルを抜く・Wi‑Fiをオフにする | マルウェアの遠隔操作や追加ダウンロードを防ぐため |
| オンラインバンキング、仮想通貨ウォレットを開かない | 情報窃取・送金詐欺のリスクを最小限にするため |
| 別PCやスマホから重要アカウントのパスワード変更を準備 | 万一認証情報が盗まれていても悪用されにくくするため |
| 焦ってOS再インストールを始めない | 証拠が消えて原因究明が難しくなるため。まずは診断ログを確保する |
ネットワークを切った状態で、次にセーフモード＋Windows Defenderによる一次駆除に移ります。
セーフモードとWindows Defenderでの一次駆除
セーフモードで起動する理由
セーフモードは、Windowsが最小限のドライバとサービスだけで起動するモードです。マルウェアの多くは、通常起動時の自動起動に依存しているため、セーフモードでは動作しにくくなります。
その状態でDefenderのスキャンを実行することで、自己防衛機能を持つマルウェアでも捕捉しやすくなる、という狙いがあります。
セーフモードでのDefenderフルスキャン
- Windowsを再起動し、セーフモード（ネットワークなし）で起動します。
- 管理者アカウントでログオンします。
- Windows セキュリティ → ウイルスと脅威の防止を開きます。
- ウイルスと脅威の防止の更新から、定義ファイルを最新に更新します。
- スキャンのオプションを開き、「フルスキャン」を選択して実行します。
可能であれば、「Microsoft Defender オフラインスキャン」も実行すると、OSの外側からシステムドライブを検査できてより効果的です。ただし、本件のように0%のまま進まないケースでは、次に紹介するFRSTなどの「別のアプローチ」が必要になります。
FRST（Farbar Recovery Scan Tool）による詳細駆除
FRST（Farbar Recovery Scan Tool）は、システムの状態を詳細にスキャンし、ログをもとにカスタムスクリプト（fixlist）で不要な項目を一括修正・削除できるツールです。海外のマルウェア駆除フォーラムなどで広く使われています。
ただし、fixlistの内容はPCごとに最適化が必要であり、「見よう見まねで他人のfixlistを実行する」のは危険です。
FRSTを使った診断～修復の流れ
- 公式配布元から、自分の環境に合ったFRST（32bit/64bit）をダウンロードする。
- PCの任意のフォルダ（例：デスクトップ直下）に保存する。
- 管理者としてFRSTを実行し、利用規約に同意する。
- 「Scan」をクリックし、FRST.txt と Addition.txtのログを作成する。
- 信頼できるマルウェア駆除コミュニティや専門家にログを提示し、自分の環境専用のfixlist.txtを作成してもらう。
- FRST.exeと同じフォルダに、fixlist.txtを保存する。
- FRSTを再度起動し、「Fix」ボタンを押して修正を実行する。
- 必要に応じて再起動し、Fixlog.txtで処理内容を確認する。
fixlistでは、具体的に次のようなことが行われます。
- 不審なスタートアップ項目やタスクスケジューラのエントリの削除
- 怪しいサービスやドライバの登録解除
- マルウェア本体や関連ファイルの削除
- 不正に書き換えられたレジストリ設定の修正
- Windows Defenderの除外設定を元に戻す処理
本件でも、FRST＋fixlistの実行により、活動中のトロイの木馬とその痕跡を大部分駆除し、Defenderの除外設定も正常化されています。
乗っ取られたWindows Defender除外設定の修正
今回の事例で特に重要だったのが、Windows Defenderの「除外設定」が大規模に改ざんされていた点です。具体的には、以下のようなフォルダが丸ごと検査対象外にされていました。
- C:\Windows\
- C:\Users\
- C:\ProgramData\
- D:\（データドライブ丸ごと）
これでは、いくらフルスキャンをかけても、肝心な場所をスキップしているため、「検出なし」と表示されて当然です。
| 設定 | 正しい状態 | 改ざんされた状態 |
|---|---|---|
| 除外フォルダー | 特定の信頼できるツールや、一部の開発フォルダ程度 | システムフォルダやユーザーフォルダ、ドライブ丸ごと |
| リアルタイム保護 | 有効 | 無効化、あるいは一時的な無効化が繰り返される |
| 改ざん防止 | 有効 | 無効、またはグレーアウトで操作不能 |
FRSTのfixlistでは、これらの不正な除外設定を削除し、Defenderが本来スキャンすべきフォルダを再び検査できる状態に戻します。
Defenderが「急にたくさん検出」する理由
除外設定を元に戻した直後にフルスキャンをかけると、今まで見えていなかったファイルが一気に検査対象になるため、マルウェアやPUP（望ましくない可能性のあるプログラム）が大量に検出されることがあります。
本件でも、Trojan:Win32/Kepavll!rfnなどが複数検出されましたが、これは以下のように理解できます。
- すでに活動を止めている（実行中ではない）古い実行ファイルや一時ファイル
- ダウンロードされただけで起動されなかった「眠っているマルウェア」
- アーカイブ内部の不審ファイル
このようなファイルは、Defenderの画面から「完全に削除」または「隔離後に削除」すれば問題ありません。「検出された＝今も動いている」とは限らないことを押さえておきましょう。
サービス状態とDefender定義の健全性チェック
マルウェアやシステム障害によって、Windows Update関連やDefender関連のサービスが止まっていると、定義更新やスキャンに支障が出ます。そこで、PowerShellから状態を一括確認する方法を紹介します。
PowerShellでのサービス確認コマンド
Get-Service BITS, dosvc, usosvc, VSS, WaaSMedicSvc, wuauserv |
Format-Table -Auto Name, DisplayName, StartType, Status;
& 'C:\Program Files\Windows Defender\MpCmdRun.exe' -SignatureUpdate -MMPC
上記のコマンドでチェックしている主なサービスは次の通りです。
| サービス名 | 役割 |
|---|---|
| BITS | バックグラウンドインテリジェント転送サービス。Windows Updateなどのデータ転送に利用 |
| dosvc | 配信の最適化サービス。更新プログラムの配信を最適化 |
| usosvc | Update Orchestrator Service。更新プログラムの管理 |
| VSS | ボリュームシャドウコピーサービス。復元ポイント作成などに関わる |
| WaaSMedicSvc | Windows Update Medic Service。Update機能の修復役 |
| wuauserv | Windows Updateサービス本体 |
これらが無効化されている、または停止しっぱなしになっている場合、必要に応じて自動起動＋手動起動に戻し、再度Defenderの定義更新とフルスキャンを行いましょう。
セカンドオピニオン（別エンジン）での最終確認
Windows Defenderでの駆除が完了したら、別ベンダーのオンデマンド型ウイルス駆除ツールを使って、「本当に取りこぼしがないか」を確認すると安心です。
- カスペルスキー ウイルス駆除ツール
- その他、有名ベンダーが提供している無料スキャナー
これらは常駐型ではなく、必要なときだけ起動してフルスキャンできる「セカンドオピニオン」として利用します。本件でも、カスペルスキーの駆除ツールでフルスキャンを行い、検出なしであることを確認できており、復旧の信頼度が一段と高まりました。
不要フォルダーの削除とFRSTの後片付け
FRSTやマルウェアの痕跡として、特定のフォルダが残っている場合があります。今回のケースでは、以下のフォルダ削除が実施されています。
RD /S /Q "C:\Users\PCD\AppData\Roaming\Microsoft\oobe.{D20EA4E1-3957-11D2-A40B-0C5020524153}"
このコマンドは、指定したフォルダを中身ごと削除します。パスを1文字ずつ確認し、自分の環境に存在するフォルダ以外には絶対に実行しないでください。「指定されたパスが見つかりません」と表示される場合は、そもそも不要なため気にしなくて構いません。
FRST本体も、作業が終わったら後片付けをしておきましょう。
- FRST64.exe を uninstall.exeにリネーム
- uninstall.exe を実行すると、再起動後にFRST関連フォルダが自動削除される
オフラインスキャンが0%で止まる場合の代替策
Defenderのオフラインスキャンや、通常のフルスキャンが0%のまま進まない場合、Windows回復環境やシステムファイルの破損が疑われます。その際の代替・補助策が次の通りです。
ブータブルレスキューメディアの活用
- セキュリティベンダー各社が提供する「レスキューディスク」「レスキューUSB」イメージを別PCで作成
- 感染が疑われるPCを、そのUSB/DVDから起動
- OS外部からハードディスク全体をスキャン＆駆除
これにより、Windows自体が起動できない・起動が不安定な場合でも、マルウェア検査が可能になります。
システムファイル整合性の確認（SFC・DISM）
管理者コマンドプロンプトやPowerShellから、次のコマンドを実行してWindows本体の破損をチェック・修復します。
sfc /scannow
DISM /Online /Cleanup-Image /RestoreHealth
これにより、DefenderやUpdateに関わるシステムファイルが破損していた場合に、自動修復が試みられます。ただし、BitLockerでドライブ暗号化している場合は、回復キーを求められる可能性があるため、事前に控えておきましょう。
アカウント・パスワード・秘密情報のリスク低減
トロイの木馬やClipBankerに一度でも侵入されている以上、「何も盗まれていない」とは言い切れません。そこで、被害を最小限に抑えるためのアカウント周りの対策が重要になります。
優先して変更すべきパスワード
- Windowsサインインアカウント（Microsoftアカウント含む）
- メインで使用しているメールアドレス
- クラウドサービス（OneDrive、Google Drive、Dropboxなど）
- オンラインバンキング、証券口座、FX口座
- 仮想通貨取引所、ウォレット関連サービス
- 開発者アカウント（GitHub、Azure、AWSなど）
これらは、感染が疑われるPCとは別の安全な端末から変更するのが理想です。
二要素認証（MFA）の有効化
パスワードが万一漏れていても、MFA（多要素認証）を有効にしておけば、攻撃者がログインする難易度は大幅に上がります。
- SMSよりも、認証アプリ（Microsoft Authenticator、Google Authenticatorなど）の使用が望ましい
- バックアップコードを安全な場所に保管しておく
ブラウザに保存されたクレデンシャルの整理
ブラウザの「パスワード保存」や「自動入力」は便利ですが、感染後は一度整理しておくのがおすすめです。
- ブラウザに保存されているパスワード一覧を確認
- 不要なもの、心当たりのないサイトの情報は削除
- 重要サイトのパスワードは、変更後に改めて保存し直す
復元ポイントが無い場合の備えと再構築
今回のように、「復元ポイントが一つも見つからない」というケースは珍しくありません。原因は、もともとシステムの保護が無効だったか、ディスク容量節約のために自動削除されていた可能性があります。
システムの保護（復元ポイント）の有効化
- 「システムの詳細設定」から「システムの保護」タブを開く
- システムドライブ（通常はC:）を選択し、「構成」をクリック
- 「システムの保護を有効にする」を選択し、使用する最大ディスク容量を指定
- 「作成」ボタンから、手動で初回の復元ポイントを作成
バックアップと復元ポイントの違い
| 項目 | 復元ポイント | バックアップ（イメージ／ファイル） |
|---|---|---|
| 主な対象 | システムファイル、レジストリ、設定 | システム全体、ユーザーデータを含む |
| 用途 | ドライバやアプリ導入前の状態に巻き戻す | ディスク故障やOS破損からの復旧 |
| 保存先 | 基本的に同一ドライブ内 | 外付けHDD、NAS、クラウドなど |
| マルウェア被害への耐性 | 限定的（同じドライブを汚染されると弱い） | オフライン・世代管理をすれば非常に強い |
理想は、復元ポイントに加えて、3-2-1ルール（3世代・2媒体・1つはオフサイト）でのバックアップを組み合わせることです。
再発防止の実践チェックリスト
最後に、同じようなトロイの木馬感染を繰り返さないためのチェックポイントを、実践的な観点で整理します。
| チェック項目 | ポイント |
|---|---|
| 日常作業は標準ユーザーで行う | 管理者アカウントはインストールや設定変更時のみ使用し、被害の範囲を限定する |
| UAC（ユーザーアカウント制御）は既定以上 | 見慣れないアプリの昇格要求は安易に「はい」を押さず、キャンセルして調べる |
| SmartScreenとDefenderのリアルタイム保護を有効 | 警告を無視して「実行する」を連打しない。ブロックされたら一度立ち止まる |
| 不明ソースの実行ファイルを避ける | 「無料ゲーム」「クラック」「チート」系は特に危険。どうしても使うなら仮想環境など検証環境で |
| Autorunsやタスクスケジューラで自動起動を点検 | 分からない項目にむやみに触らず、怪しい項目は検索して情報を集めてから判断する |
| OS・アプリを常に最新状態に保つ | Windows Update、ドライバ、ブラウザ、Java・Adobe系の更新を放置しない |
| バックアップの3-2-1ルールを徹底 | 3つ以上のコピーを2種類以上の媒体に保存し、1つは別の場所やクラウドに保管する |
ここまでやっても不安な場合の選択肢
FRST＋Defender＋セカンドオピニオンで問題が検出されず、PCの挙動も安定していれば、実務上は「ほぼクリーンな状態」と考えてよいことが多いです。それでも、金銭や仕事に直結するPCであれば、不安が完全に消えないこともあるでしょう。
その場合の最終手段として、次のような選択肢があります。
- 重要データをバックアップしたうえで、Windowsをクリーンインストールする
- 復旧直後の環境を、システムイメージとしてバックアップし、次回以降はそこから短時間で復元できるようにしておく
- どうしても心配な金融系の操作は、別の安全なPCやスマホで行う
トロイの木馬感染後の「完全な安心」は、技術的にも心理的にも難しいテーマです。しかし、ここまで紹介したステップを踏んでいれば、現実的なリスクは大きく減っていると言えます。
まとめ：FRST＋Windows Defenderで活動中マルウェアを排除し、再発防止までやり切る
- itch.ioのフリーゲームをきっかけに、トロイの木馬とClipBankerに感染した事例では、Defenderの除外設定改ざんによって検出がすり抜けていた。
- FRST（Farbar Recovery Scan Tool）と専門家作成のfixlistにより、活動中マルウェアの駆除と不正除外の削除を実施。
- 除外が元に戻ったことで、過去にダウンロードされた非活動な残骸が多数検出されたが、Defenderで隔離→削除すれば問題なし。
- カスペルスキー ウイルス駆除ツールなどのセカンドオピニオンでも検出なしとなり、システムは概ねクリーンな状態と判断できる。
- そのうえで、パスワード変更・MFA・復元ポイント有効化・バックアップ整備まで行えば、二次被害と再発のリスクを大幅に減らせる。
無料ゲームや便利ツールは魅力的ですが、「知らない実行ファイルに管理者権限を渡す」行為は、自宅の鍵を見知らぬ人に預けるのと同じです。今回紹介した復旧手順と再発防止策を頭の片隅に置きつつ、これからはより安全にWindows 10／Windows 11ライフを楽しんでいきましょう。
コメント