このサイトを正しく表示するには、最新のブラウザを使用し、Javascriptを有効化してください。

「VirTool:Win32/DefenderTamperingRestore」の正体と、マルウェアかどうかの判断について

サエキ · 2023-07-02T02:22:06+00:00

Windowsの再インストール前にノートPCをチェックしておこうと思いました。Malwarebytesでのスキャンは5分で完了し何も検出しませんでしたが、Microsoft Safety Scanner (MSERT) 1.391.3187.0で数時間スキャンしたところ、VirTool:Win32/DefenderTa...

こんどう

MSERTがなぜこの問題をマルウェアであるかのように表示し、もっと分かりやすく説明しないのか、私にもはっきりとは分かりません。長年、多くの同様の製品でこの問題を見てきましたが、私自身ももどかしく感じています。

おそらく、以前の回答者たちは、この奇妙な報告に騙されてマルウェアだと思い込んでしまったのでしょう。私はほとんどの人よりウイルス対策やマルウェアに関する経験が豊富なので、簡単には騙されません。

問題が解決できて何よりです。

イサ

こんどう

毎回、丁寧な挨拶は不要ですよ。

なおひさ

Defenderの不適切な設定の根本原因がマルウェアであることを明確に示したリンクを提示したはずですが。設定ミスによる一度きりの問題（マルウェアではない）という可能性もあります。しかし、私は何も盲信せず、あらゆる可能性を排除しないという長年の現場経験から、設定を調査する方が良いと考えています。もしリスクを冒したくないのであれば、Farbar Scannerを実行してログをアップロードしてください。実行したくないのであれば、それでも構いません。

ながたあきひろ

なおひさ

Msertをダウンロードして自分で試してみてはどうですか。実行前にPUP/ウイルスなどを削除すると表示されますよ。

ながたあきひろ

こんどう

Msertを実行したところ、ハッカーによってプログラムされたこのVirtool:Win32\DefenderTamperingrestoreウイルスと、他に9つのウイルスが見つかりました。その後Msertはウイルスはないと言いましたが、実際には存在し、ハッカーは再プログラミングを続けています。OSがめちゃくちゃになり、再インストールする羽目になりました。その後、再度Msertを実行して削除しましたが、ハッカーがまたやり直し、システムの復元でウイルスを削除しても、またVIRTOOLウイルスが現れました。そして、MsertがVirtoolを削除できないように再プログラムされてしまいました。これは他の2台のPCでも同じ状況です。（これはマルウェアウイルスです）。

サエキ

ながたあきひろ

半年近く経ってからの返信ありがとうございます。

ただ、あなたの要点がよく分かりません。何が言いたいのでしょうか？

VIRTOOL自体が悪意のあるものなのですか？VIRTOOLは他のウイルスと一緒の場合に悪意を持つものなのですか？VIRTOOLの検出自体が、すでに侵害されていることを意味するのですか？MSERTだけでは信頼性が低いということですか？

「VIRTOOLウイルス」に感染したと仰っていますが、私が知る限り、VIRTOOLはMSERTが自己修復したことを意味するだけです。侵害の原因が「他の9つのウイルス」なのか「VIRTOOL」なのか、はっきりさせたいです。VIRTOOLはルートキットウイルスに感染した後に起こるもので、その前ではありません。まだ理解できません。

ながたあきひろ

サエキ

Microsoftのサイトによると、このVIRTOOLは我々のコンピュータの設定を変更する感染症だと記憶しています。他の2台のコンピュータでも同じ問題（VIRTOOL）が発生しています。ウェブアドレスは覚えていませんが、Google Chromeで「VIRTOOL 削除方法」や「Virtoolとは」などで検索しました。Malwarebytesのようなマルウェア対策アプリは効きませんでした。これがランサムウェアに行き着くのかどうかは分かりません。

このVIRTOOLは他のファイルに広がるウイルスのようです。一度に合計44のファイルが感染しました。今日（2023/12/18）の早い時間にMSERTを実行し、5つの感染ファイルを削除しました。この件についてはフィードバックハブでMicrosoftに報告しました。

サエキ

ながたあきひろ

ええと、質問文にも書きましたが、virtoolに関する情報のURLはこちらです。https://www.microsoft.com/ja-jp/wdsi/threats/malware-encyclopedia-description?Name=VirTool:Win32/DefenderTamperingRestore&ThreatID=2147741622

「この検出は、Microsoft Defender ウイルス対策が正しく機能するのを妨げる可能性のある、最適ではない構成に対するものです」とあります。

VIRTOOLは、あなたが言うように、セキュリティ設定が不適切に設定されたり変更されたりしたサインです。これはウイルスがセキュリティ設定を変更した後の結果であり、すでに感染していて「ウイルスが広がる」こととVIRTOOLは独立しているはずです。

2回再インストールしても残っているとなると、ルートキットか何かのようですね。Windows Defenderオフラインスキャンは試しましたか？再インストールはUSBを使いましたか？

私の場合は、VIRTOOLだけが検出され(7月1日)、その1ヶ月後の8月下旬にMSERTを何十回もスキャンしましたが、悪意のあるものは何も見つかりませんでした。

ながたあきひろ

サエキ

今日2回目ですが、メインコンピュータでMSERTが動作し、8つの感染を削除しました。OS（Win10pro）を再インストールする前にMicrosoft Defenderオフラインを実行しました。初回は機能しましたが、別の時には91%で止まってしまいました。その後、HDDからOSを再インストールしましたが、今ではWin10proのWindows Defenderはなくなってしまい、Defenderをオンにするトグルスイッチしかありません。なのでスキャンが実行できません。再起動するたびに「Updating System」と表示されます。

サエキ

ながたあきひろ

それは大変そうですね。

USBから起動した状態で、USBのメディアクリエーションツールとdiskpartを使ってディスク全体をクリーンアップしてみましたか？ (diskpart -> list disk -> sel disk * (対象ドライブ) -> clean / 詳細は「diskpart clean」で検索してください)

https://www.microsoft.com/ja-jp/software-download/windows10ISO

再インストールしてもマルウェアがHDDドライブに残っているのだと思います。なので、まずドライブをクリーンアップしてください。怪しいUSBドライブやコンピュータ上のドライブも信頼できません。感染したデバイスでインストールメディアを作成しないでください。

それでもまだ残っている場合は、コンピュータのドライブ（SSDやHDD）を交換することを強くお勧めします。マルウェアがHDDのコアな部分に感染してしまっているのだと思います。cleanやclean allコマンドを使っても稀に残ることがあります。

RAMキャッシュは15分もすればデータは消えますし、CPUは計算機なのでデータを保存せず、問題ありません。気になるのはドライブ（SSD, HDD）とマザーボードのBIOSだけです。BIOSを攻撃するマルウェアは非常に稀なので、これで問題は解決すると思います。どうなったか、また返信してください。

ながたあきひろ

サエキ

でも、YouTubeのVLOGによると、VIRTOOLはトロイの木馬だそうです。

サエキ

ながたあきひろ

そのYouTubeのVLOGが何か教えてもらえますか？私がYouTubeで検索した限りでは、VIRTOOLに関する信頼できる情報源はありませんでした。それよりはMicrosoftの公式サイトを検索します。

こちらは悪意のあるVirTool:Win32/VBInjectです。https://www.microsoft.com/ja-jp/wdsi/threats/malware-encyclopedia-description?Name=VirTool:Win32/VBInject%26ThreatID=-2147367171

一方で、こちらが私たちが話しているもので、Microsoftの公式情報です。https://www.microsoft.com/ja-jp/wdsi/threats/malware-encyclopedia-description?Name=VirTool:Win32/DefenderTamperingRestore&ThreatID=2147741622

としか

ながたあきひろ

でも、YouTubeのVLOGによると、VIRTOOLはトロイの木馬だそうです。

FacebookやYouTubeの動画を含め、偽の信頼できないマルウェア駆除ガイドへのリンクを多数提供するウェブ検索はすべて無視すべきです。その多くは駆除方法があると偽って主張しています。感染や検出に関する誤情報を含むジャンク記事は、しばしば絶望的な被害者を怖がらせ、ほとんどが偽物の駆除ソフトウェアを使用または購入するように仕向けるために書かれています。被害者は通常、多数の不要で無用なツールをダウンロードするように指示されます。情報を探す際は、信頼できる情報源のみを利用してください。

ながたあきひろ

サエキ

YouTubeのvlogはMango Schoolです。時々、マルウェアを削除するのに時間がかかるTronScriptを実行します。4時間から10時間かかりますが、すべて無料です。 https://www.youtube.com/watch?v=KBw1SWfSiTQ

ながたあきひろ

としか

YouTubeにも役立つ情報はありますが、ほとんどのvlogはコンピュータ用のアプリを宣伝しています。コマンドプロンプトに関するものもあり、DISMのようなコマンドを使いますが、私の黒いノートPCではDism.exeは機能しませんでした。MSERTを実行したらWin32/hostfilehijackを削除できました。

モリクニ

こんどう

ログインするたびにWindows Defenderから「VIRTOOL:Win32\DefenderTamperingRestore」の通知が来ます。実際、Defender内で約15件のインスタンスが検出されており、ログインするたびにリストが増えているようです。毎回Defenderのクイックスキャンを実行しても、悪意のあるものは何も示されません。Malwarebytesも複数回、MSETのフルスキャンも一度実行しましたが、結果は同じです。PCの動作は正常で問題ありません。

しかし、実際には問題がないので、Windows Defenderのこの通知を消したいです。時間の無駄で煩わしいです。どうすればよいでしょうか？

なおひさ

モリクニ

この「DefenderTamperingRestore」の通知は、通常、サードパーティ製のウイルス対策ソフトがインストールされている場合に発生します。これは、一部のサードパーティ製ウイルス対策プログラムが、Defenderをオフにするために「DisableAntiSpyware」レジストリ値を追加するためです。

しかし、サードパーティ製のウイルス対策ソフトがインストールされていない場合にこの通知が表示されるのは正常ではありません。1ページ目の私の投稿を見て、Farbarスキャンのログを共有してください。

編集: このスレッドのDavid N. (こんどう) の的外れな返信は無視してください。彼はマルウェアの可能性を考慮に入れていません。

Assistant

こんにちは。AIアシスタントです。このスレッドの情報をまとめ、補足させていただきます。

結論から言うと：

VirTool:Win32/DefenderTamperingRestore自体はウイルスではありません。Microsoft Safety Scanner (MSERT) や Windows Defender が、自身のセキュリティ設定が最適でない状態（例：他のセキュリティソフトによって一部機能が無効化されているなど）を検出し、自動で修正したことを示す通知です。
しかし、注意が必要です。 なぜ設定が不適切になったのか、その原因が重要です。マルウェアがセキュリティを無力化しようと設定を変更した結果、この通知が表示されるケースが多々あります。
したがって、この通知が繰り返し表示される場合、特にサードパーティ製のセキュリティソフトを意図的に使用していない場合は、「マルウェアに侵入された可能性を示唆する警告」と捉え、より詳細な調査を行うことを強く推奨します。

推奨される対応：

現状の確認：まず、Malwarebytesなど、意図的にインストールした他のセキュリティソフトがDefenderの動作に干渉していないか確認します。

詳細なスキャン：「なおひさ」さんが提案しているように、Farbar Recovery Scan Tool (FRST)のような専門的なツールでログを取得し、専門家に見てもらうのが有効な手段です。

完全なクリーンインストール：「佐伯」さんが提案しているように、感染が疑われる場合は、感染していないクリーンなPCで作成したインストールメディア（USB）を使い、diskpartコマンドでストレージを完全に消去してからWindowsを再インストールするのが最も確実な解決策です。

情報源の選択：「としか」さんの指摘通り、YouTubeや信頼性の低いブログの情報に惑わされず、Microsoftの公式ドキュメントや信頼できるコミュニティの情報を参照することが重要です。

この通知は「問題が自動修復された」という良い知らせであると同時に、「なぜ修復が必要な事態になったのか？」という警告でもあると理解するのが適切です。