【架空請求】 アダルト動画エロサイトの入会画像・料金請求・支払要求画面が消えない!! 【ﾜﾝｸﾘｯｸ詐欺】
色とりどり賑やかな請求画像ポップたち。。。
エロエロ星人と同じようにわざわざウイルスを感染させてスクリーンショットを撮りましたが何か
◆ ウイルス感染経路
支払う義務のない架空請求を行うワンクリック詐欺サイト。表面上は日本語で表記されたアダルトサイト・エロ動画サイトを装ってます。
「未成年ではないか？」「２０歳以上か？」「会社・業務のパソコンではないか？」「利用規約に同意するか？」という感じの質問を”はい”or”いいえ”の形式で選択するシーンの後、最終的に動画ファイルを再生するとするボタン画像が出現。これをクリックすると、通常の動画再生ではゼッタイにありえない、実行するかどうかを尋ねるブラウザのセキュリティ警告ダイアログが表示されるものの、エロエロ星人はとにかく早くエッチな映像を見たいのか完全無視して実行してしまう。実際には、これがトロイの木馬型ウイルス（×スパイウェア）を手動で起動させ、わざわざWindowsパソコンに感染させてしまう瞬間となる。
動画ファイルならぬウイルスを自らの意思で実行してしまうエロエロ星人が後を絶たない...
自業自得である （ウイルス感染直前画像集）
◆ ウイルス感染症状
仮にウイルスを実行してしまうと、動画プレーヤーやブラウザが起動するとともに、入会登録が完了したので利用料金を支払うよう促す画像ポップがデスクトップの中央や脇にデカデカと貼りついて消せなくなる。×ボタンがある場合も、ダミーなので時間が少し経ったら表示が復活。パソコンを再起動しても、画像ポップが表示され続ける。まんま詐欺なので契約成立は無効である。
- 画像ポップで、入会登録の完了通知や料金支払期限の通知
→ 焦らせる目的で時間経過がカウントダウンするような演出が行なわれる場合も
→ キャンペーンで○日以内なら通常より大幅に割り引いた金額にしてあげると騙る場合も - ブラウザ上では、単なるIPアドレスの情報（プロバイダ名）、OS環境、ブラウザの種類を示して”個人情報”を取得保存した、料金○万円を支払わない場合は「自宅や勤務先へ請求に伺う」「債権回収業者に通知する」「裁判所へ訴訟を起こす」という感じの文句が表示されていて、一部のエロエロ星人は頭がパニックになって冷静な判断が不能な状態に陥る。
エロという後ろめたさ、もし家族に見つかりバレたら・・・、という状況で誰にも相談できず、一向に消えない料金請求画面ポップを前に心理的に追い込まれたエロエロ星人は法外な料金を支払ってしまい、その金はそのまま詐欺師の懐へ一直線！ 寝てる間もおマヌケなエロエロ星人たちがお金を振り込んできて、がっぽり金儲けウハウハ状態！ （ーー; ＜○億円とかいう単位!
◇
ゼッタイに電話やメールで問い合わせてはならない！
ウイルス感染時点で個人情報は漏れてない。問い合わせた時点で始めて電話番号やメルアドが相手側に漏れるので、ウイルス感染以外の被害を招く恐れがある。問い合わせるなど詐欺に引っかかりやすいバカな人間だとわざわざ教えに行くようなものであり、詐欺師に言いくるめられ更なる個人情報を漏らしてしまうエロエロ星人がいるかもしれない。詐欺にホイホイ引っかかるアホ人間としてカモリストに登録されることも考えられる。
◆ ウイルス対策ソフト・セキュリティソフトの対応状況
日本固有の脅威なので、海外メーカーがほとんどのセキュリティ会社の対応はかなり鈍いのが実情。あと、請求画面を出す前にこの手のソフトに検知・駆除されてしまっては金儲けのチャンスを失ってしまうので、攻撃者側も検知されないよう定期的にウイルスファイルを差し替えたり、この手のソフトからも逃れるためサイト自体の引っ越しを繰り返すなどしてるようです。これらは未来を完璧に予言するような特殊な能力がないので、検知するかどうかはもはや運とか神頼みの領域となりますが、下のような検出名が知られてます。
- Trend Micro
： HTML_HTAPORN , VBS_HTAPORN , MAL_HTAPORN（POSSIBLE_HTAPORN）
- Symantec
- Kaspersky
一番大きいのが、怪しくもないWindowsの正規プログラム「mshta.exe」が使われるため、やり方によってはウイルスとしてのファイルの実体すら存在しないようにすることも可能です。ひとたび請求画面の表示状態になると、一般的なセキュリティソフトやスパイウェア駆除ソフト（Spybot-S&D、AD-Awareなど）ではどうにもならない場合がほとんどです。
ちなみに、検知ファイルが影響を与える環境はWindowsパソコンだけで、Mac、Linux、携帯電話・スマートフォン
、ゲーム機
、人体
（!?）は影響ないです。
◆ マニュアル駆除・削除 【自己責任】
以下はHTMLアプリケーション（*.hta）を悪用した事例の駆除・削除・対処方法になります。Windowsのタスクマネージャー（Ctrl＋Alt＋Delキー）を起動して、プロセスに「mshta.exe」があることを確認してください。不正な画像ポップを表示する手法はいくらでもあるので、「mshta.exe」が存在しなければ、このページの対処方法は対象外です。
「mshta.exe」が画像ポップを表示してるプログラムなので、このプロセスをタスクマネージャーから直接終了させることで画像ポップは難なく消せます。「mshta.exe」自体はHTMLアプリケーションを処理するための正規プログラムでウイルスではありません。Windowsパソコンには最初から用意されているもので、ワンクリック詐欺として悪用されてる形です。
ただ、このプロセス「mshta.exe」を終了させた後で、ウイルスにより不正に登録された下の１番、あるいは加えて２番の処理を解消しなければなりません。
- パソコン起動時に表示される ⇒ Windowsのレジストリエディタで不正なレジストリデータを削除する
- パソコン起動時に表示される / 少し経ったら復活する ⇒ Windowsのタスクスケジューラで不正なタスクを削除する
[１] 不正なレジストリ
パソコン立ち上げ時に起動させるプログラムを登録できるレジスト部（Runキー）に不正なデータが登録されます。一般的に下のようなパターンがあるので、レジストリエディタで該当のパラメータが存在しないか調べて削除します。レジストリにはパソコンの動作に関わる重要な情報が含まれてるので慎重に作業してください。
（赤文字は特徴的なフレーズ）
＞ HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
| 不正なレジストリのパターン | 脚注 | |
| 1 | 名前： (任意の文字列) 種類： REG_SZ データ： mshta.exe [ファイルパス]\●.hta または データ： C:\Windows\System32\mshta.exe [ファイルパス]\●.hta [ ※ mshta.exe は拡張子が省略され、単に mshta になってる場合あり ] |
このパスにある「●.hta」ファイルをゴミ箱へ 捨てる作業も別に行なうとGood! |
| 2 | 名前： (任意の文字列) 種類： REG_SZ データ： mshta.exe http://[URLアドレス] または データ： C:\Windows\System32\mshta.exe http://[URLアドレス] [ ※ mshta.exe は拡張子が省略され、単に mshta になってる場合あり ] |
- |
| 3 | 名前： (任意の文字列) 種類： REG_SZ データ： [ファイルパス]\●.vbs |
このパスにある「●.vbs」ファイルをゴミ箱へ 捨てる作業を別に行なうとGood! |
パラメータの存在を確認できたものの、「●.hta」や「●.vbs」のファイルやフォルダが見つからない場合は、隠しファイル・フォルダになってる可能性があるので、フォルダオプションの変更（Windows の隠しファイルや隠しフォルダーを表示する方法）と、「保護されたオペレーションシステム ファイルを表示しない（推奨）」を切り替えます。
[２] タスクスケジューラに不審なタスク （基本的にはWindows Vista、Windows 7）
特定のプログラムをパソコン立ち上げ時に起動させたり、一定間隔で起動させることができるWindowsのタスクスケジューラが悪用される場合が多いので起動させて、不審なタスクを停止・削除する。
[2011年10月 追記...]
セキュリティ会シマンテックは、ワンクリックウェアについてトロイの木馬ではなく広告的なソフトと位置づけてるとフォーラムで表明してます。あと、セキュリティ会社トレンドマイクロ
はこの脅威専門のサポートページを会員向けに用意してますが、感染してしまった後の対処方法ということで後手後手の対応になってるのを暗に認めてると言えます。