Windowsロゴが出た後、真っ黒の画面にマウスカーソルだけ。

※どうやら全国で同様のトラブルが多発している模様です。他にも書きかけの記事があるのですが、こちらを緊急で公開します。

こちらはタイトルどおりの現象でのお客様。
「起動しても画面が真っ黒のままなんです」
パソコンは、富士通CoreSoloノートパソコンで、Vista発売直前のXP機。

…またか。

実は前日にも同じような問い合わせでお伺いして、何時間もかけてリカバリと設定のやり直しをしたばかり。
こちらは、富士通のデスクトップ機。
まさか、また同じ内容じゃないよな…。

…まさか…本当に同じ内容だったとは！！！

起動したら、Windowsロゴのあと、真っ黒の画面のまま、真ん中にマウスカーソルがぽつんとひとつだけ。

Ctrl + Shift + Esc を押してもタスクマネージャは出ませんし、Ctrl + Alt + Del も利かない。
でも、NumLockやCapsLockやScrollLockは反応してランプが点いたりするので、完全にフリーズしているわけではない。
たった一つだけ現れているマウスカーソルも、マウスに反応して動くだけは動きますが、右クリックはおろか左クリックにすら反応しない。

仕方ないので、HDDランプが点滅していないことを確認してから電源ボタンの長押しで電源を切り、今度はセーフモードで起動させてみたが同じ。セーフモードの真っ黒画面でマウスカーソルひとつになり、そこからだんまり状態。

前日もこの現象を見たときは、経験のない現象でしたので、かなり違和感を覚えましたが、富士通PC付属の機器診断ツールQT-PC/Uでチェックしてもハードウェアは正常でしたし、お客様は富士通に問い合わせ済みで、「リカバリすれば治る」と言われたから、とのことでしたし、リカバリでかまわないとのことでしたので、リカバリさせていただきましたが…。

2日連続で同じ現象です…これはおかしい。いくらなんでも。
2回も同じ愚を犯したくはないなぁ…。

「とりあえず富士通に電話してみたら、時間がなくてちょっと聞き取れなかったんですが、なんでも、

10月15日以降、『画面が真っ黒のまま起動しない』というお問い合わせが相次いでいます

とかなんとかテープで流れてきた音声で言ってたんですけど、関係ありますかね？」

…∑（￣□￣；
な、なんですとー！！！

お客様には「最悪はリカバリですが、その前に少し時間をいただき調べさせてほしい」とご了承をいただき、回線をお借りして、持ってきたメンテ用PCで情報を探ってみました。

そこに待ち受けていた阿鼻叫喚の惨劇を、誰が想像しえたでしょう…。

-----

まずは富士通の情報から。
テープで言うぐらいだから、何かあるはずだ。

富士通のサポートサイト「AzbyClubサポート」を見てみたら…。

なになに、「お知らせ」のところに「お詫び」と出てるぞ？

電話お問い合わせ窓口の混雑について（お詫び）　2009年10月22日　：富士通株式会社

平素より富士通製品をご愛顧いただき、誠にありがとうございます。

10月15日以降、「富士通パーソナル製品に関するお問合せ窓口（0120-950-222）」、「故障や修理に関する電話受付窓口(0120-926-220)」に、「パソコンが起動しなくなった」というお問い合わせが急増しており、電話がつながりにくくなっております。お客様にはご迷惑をおかけしておりますことをお詫びいたします。

なお、パソコンが起動しなくなる現象の多くは、パソコンがウイルスに感染することにより発生しておりますので、以下の情報をご参照のうえ、ウイルス対策を行ってくださいますようお願いいたします。

現象
パソコンの電源を入れても正常に起動せず、マウスカーソルだけが表示されます。
また、Safe Mode（セーフモード）でも起動することができない場合があります。

原因
本現象は、ウイルス（マルウェア）への感染が原因です。

このウイルスには、電子メールの添付ファイルや、ダウンロードしたファイルを実行することなどにより感染するものと考えられます。

…∑（￣□￣；

な、なにー！！！
全国的に多発してるということか！！！

さらに検索してみた。

画面が真っ黒だがマウスカーソルだけは動く　：OKWave

起動時にWindowsロゴが出た後，カーソル(動く)しか表示されない、セーフ同様　：OKWave

…（￣△￣；
どうやら同業者も悩んでいるらしい。

そうか…それで…。

2006年5月17日 (水)　起動しても壁紙しか表示されません。

こちらの記事へのリンクが妙に増えたな、と思っていたら…。

今のところ、ちょっと検索しただけでは、「これがどういうウイルスで、どうなったら感染するのか」がまだ不明だ。

しかし、これでわかったのは、

回復コンソールから手動システム復元、もしくはリカバリしか方法はない

ということ。
そりゃそうだ。
セーフモードですら操作不能では、使えるツールは、それ専用に作られたLiveCD-Rぐらいだろう。
手動システム復元は何度かやったことがありますので、とにかく手順書をメンテ用PCで出しておいて、脳外科手術の開始です。

※ここから先は、相当な慎重さを求められます。素人は安直に実施しないでください。やるにしてもリカバリを覚悟してください。リカバリ前にはデータの保全をしてください。

マイクロソフトの公式情報はこちら。

レジストリの破損により Windows XP を起動できなくなった場合の回復方法　：サポートオンライン　Microsoft

ウチの過去の事例はこちら。

2006年1月30日 (月)　ご迷惑をおかけしております。Windowsが正しく開始できませんでした。 復旧編その２。（こちらは失敗事例）

2006年4月20日 (木)　起動してるのに画面が映りません。

2006年12月23日 (土)　勝手にログオフします。外科手術編

※機種は限られますが、もう少し簡単な方法があります。記事の最後の方「追記(2009/10/27)」をご覧ください。

詳しい手順は、リンク先の情報を参照してほしいのですが、補足ポイントを含めて大雑把に言えば、

1. CDで回復コンソールを起動して、現状のレジストリハイブをバックアップして初期レジストリハイブに書き換える。（注：ノーマルモードでの起動はまだ）
2. F8連打からセーフモードで起動（Administratorを選ぶ）（セーフモード起動により、以降の操作をGUIでできるため）、C:\System Volume Information フォルダを開く
3. System Volume Information フォルダを開く際に、拒否されたら右クリックでプロパティ→セキュリティ→追加で「Administrator（この際Everyoneでも可）」→フルコントロールにチェックがついていることを確認してOK
4. _restore{xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx}といった構成の名前のフォルダを開く。複数あれば、「更新日が今日の日付でない方（同じ日付なら古い方）」を開き、「RP***」（*は数字）フォルダの、「問題なかったはずの日付」で更新されているフォルダを選んで開く
5. 「Snapshot」フォルダを開き、レジストリハイブファイル5つをC:\Windows\Tmp フォルダーにコピー（移動ではなくコピー）、C:\Windows\Tmp フォルダを開き、元のレジストリハイブ名にファイル名を書き換える
6. 再度回復コンソールで起動し、C:\Windows\Tmp フォルダのレジストリハイブをC:\Windows\System32\Config フォルダにコピー
7. 再起動で通常起動

…といった感じになります。
繰り返しますが、素人は決して手を出さないでください。
実施する場合は、必ずマイクロソフトの情報を参照しながら、注意深く実施してください。

…無事起動するようになりました。

お客様のパソコンは、それ以前から起動に時間がかかるなどの不具合を抱えていたようで、何とか起動するようになったものの、時間がかかったりかからなかったり、起動時間が安定していません。
お客様の話を総合すると、どうやら今回の不具合は関係なさそうですので、とりあえず起動している今の間に、ネットにつながずに写真データなどをバックアップしておいて、早期のリカバリを提案しておきました。
データバックアップとリカバリになると、とんでもない時間がかかるのですが、お客様も時間があまりなく、バックアップするデータはご家族と選定しなおす必要があったため、今回はここまで。

全国で同様のトラブルに遭遇してしまった人、お気の毒ですが、今回のトラブルには、現時点では有効なツールは何一つありません。
この手の作業に不慣れな方は、できたらご自身での手動システム復元は避けた方が無難です。
ご希望の方は、出張作業か全国対応の引取修理をお受けしておりますので、ご相談いただければと思います。

現状は、手動システム復元という対症療法しかできませんが、何か情報がわかり次第、追記および追記事にて情報をお出ししていきます。

●追記(2009/10/23)

東芝はこんな情報を出してます。

コンピュータウイルス「Torojan.Win32/Daonol.H」について　：株式会社　東芝

日頃は弊社パソコンをご愛用賜り、厚く御礼申し上げます。

2009年10月15日頃から、マルウェアとよばれる「Torojan.Win32/Daonol.H」ウイルスが感染を広めています。 トロイの木馬型不正プログラムです。万一、感染した場合の症状と予防方法をご案内いたします。お手数ですが、ご確認いただきますよう宜しくお願い申し上げます。

※名称はウイルス検索/駆除を提供している各ソフトメーカで異なります。
・　Torojan.Win32/Daonol.H
・　TROJ_DELF.WQD
・　Infostealer.Daonol
・　Lando

症状
主にWindows XPにおいて、起動時、Windowsのロゴが表示された後、マウスポインタのみとなり、その後の操作ができなくなります。
Windowsのセーフモードでの起動も出来なくなります 。

…ほほー、なるほど。で？

本件の症状が発生してしまった場合
コンピュータウイルス「Torojan.Win32/Daonol.H」に感染して、Windowsが起動できなくなったパソコンに対して、データや設定を残したまま復旧する有料サービスを準備しています。
詳細については、こちら をご確認ください。

…∑（￣o￣；
おおっ！「データや設定を残したまま復旧する」有料サービス？

コンピュータウイルス「Torojan.Win32/Daonol.H」感染からの復旧サービス　2009/10/26 受付開始　：株式会社　東芝

コンピュータウイルス感染からの復旧サービス
弊社では、コンピュータウイルス「Torojan.Win32/Daonol.H」に感染してWindowsが起動できなくなったパソコンに対して、データや設定を残したまま復旧する、有料サービスをご提供いたします。

以下の窓口で対応させていただきます。

東芝PC集中修理センタ
東芝PC工房

サービス内容
Windowsのレジストリファイルを復旧させ、正常起動できるようにいたします。お客様パソコンにインストールされたウイルスセキュリティソフトの使用が有効期間内であれば、最新のパターンファイルに更新を行います。

サービス価格

サービス価格： 7,350円（税込）

• 東芝PC集中修理センタの場合、別途輸送費 2,520円（税込）を申し受けます。
• このサービスはお客様パソコンのハードディスク内ファイルをアクセスします。あらかじめご了承ください。
• お客様の環境により、復旧・駆除が出来ない場合がございます。あらかじめご了承ください。
• お預かりしたパソコンを調査した結果、症状の不具合がハードウェア故障で修理が必要な場合、お客様に ご連絡しご意向を確認した上で、修理を実施いたします。あらかじめご了承ください。

…∑（￣□￣；　 と、東芝すげー！ やるなぁ…。

●追記(2009/10/24)

いろいろ調べていると、こんな情報が。

JRAレーシングビュアー サイト改ざんに関するお詫びとご説明　2009年10月20日　：株式会社中央競馬ピーアール・センター

平素はJRAレーシングビュアーをご利用いただき、誠にありがとうございます。

このたび、当サイトの一部ページが改ざんされ、下記期間にサイトを閲覧されたお客様がウイルスに感染した可能性があることが判明いたしました。
10月20日の13:00に危険を認識しサイトを緊急停止いたしました。現在はサーバ管理会社に調査依頼の上、悪意のあるコードをすべて除去し、サイト閲覧によるウイルス感染の危険がないことを確認しております。また、今回のサイト改ざんによる個人情報の流出はございません。 このたびは、多大なるご迷惑をお掛けしましたことを深くお詫び申し上げます。

・感染したウイルス
　"Gumblar"または"JSRedir-R"（通称「GENOウイルス」とも呼ばれています）

・サイト閲覧によってウイルス感染の危険性がある期間
　2009年10月15日（木）18:00 ～ 2009年10月20日（火） 13:00

…∑（￣□￣；

JRA？？？？

10月15日から？？？？

GENOウイルス？？？？

なんかすべてがつながったような…。

●追記(2009/10/24) 2

確認してみたところ、今回のお客様はJRA絡みではありませんでした。
前回は…だったんですけどね。
ただ、お話をしている限りでは、いずれも怪しいサイトを巡回するようなお客様では決してありませんし、引き金となったのはどちらもごく普通のサイトだったことに違いはなさそうです。
JRAのサイトは不正改ざんだったわけですので、こうなると、

GENOウイルスに関して言えば、「怪しいサイト」の基準は、ないも同然

ということになります…おそろしや…。

●追記(2009/10/27)

もっと簡単な方法で復旧できる手順がありました。
富士通のサポート情報で公開されています。

Q&Aナンバー【0408-4161】[Windows XP] Win32/Daonolウイルスに感染したときの対処方法を教えてください。　：富士通　AzbyClub > サポート > Q&A

ややこしいので単純にすると、

1. サポートCDで起動してコマンドプロンプトを起動
2. 以下のコマンドを打ち込む
   • copy□c:\windows\system32\config\software□c:\windows\system32\
     config\software.daonol
     (万が一に備え、レジストリハイブの「software」を、名前を変えてコピー)
   • reg□load□HKLM\infected□c:\windows\system32\config\software
     (感染している「software」レジストリハイブを読み込み)
   • reg□delete□"HKLM\infected\Microsoft\Windows□NT\CurrentVersion\
     Drivers32"□/v□midi9□/f
     (感染ファイルの起動レジストリを削除)
   • ※ コマンド内の □ は半角スペースです。
     　　行が長いのでコマンドは折り返してあります。
3. 右上のペケボタンか「EXIT」コマンドでコマンドプロンプトを抜けて再起動

こんだけ。アラずいぶん楽になったざーます。

ここでのポイントは、

「回復コンソール」ではなく、「CD-ROM起動でWindowsのコマンドプロンプト」を使う

ということ。
つまり、いつも使ってる、WindowsXPのCD-ROMとかXPの回復コンソール用CD-Rではダメなのです。
富士通の場合は、XPでも「コマンドプロンプト」を起動できる方法があるわけです。はい。

じゃ富士通以外はどーすんの？ということで、まぁWindowsPEとかのCD-Rとか作ればいいんでしょうけど、作成方法や権利方面でいろいろめんどくさいので、

Windows VistaのインストールDVD-ROMを使ってコマンドプロンプトを起動

というのが安全で確実っぽいですね。
現に、Vista起動DVDでコマンドプロンプトを起動して、この手法で回復できました。
ただ、DVD-ROM起動ができないドライブしかない場合や、ネットブックなんかだと…どうしましょ。

とりあえず、ウイルス対策ソフト大手は、すでに対応済みです。
ウイルス対策ソフトのパターンファイルなどが正常に更新されて、WindowsUpdateがかけてあって、Adobe関連が最新版になっていれば、最悪の事態には至らずにすむはず、ということ。

Win32/Daonol　：Microsoft Malware Protection Center（英語）
TROJ_DELF.WQD　概要　：トレンドマイクロ　ウイルスデータベース
Infostealer.Daonol　危険度 1: ほとんど影響なし　：Symantec.com > セキュリティレスポンス

それにしても、シマンテックは「ほとんど影響なし」って…冗談きついぞ…（￣□￣；

-----

現状は、GENOウイルスの対策としては、「Flash Player」「Adobe Reader」を最新版にアップデートし、Windows Update / Microsoft Update をきちんとかけて最新版にしておくことに加えて、ウイルス対策ソフトのインストールと最新版へのアップデートをしておけばいい、と思われます。
それですら完璧であるとは決して言えません。対策前の脆弱性への攻撃、いわゆるゼロデイ攻撃というものがあるからです。
とは言え、少なくとも「すでに対策が出ている弱点」を補強することで、先手を打って感染確率を下げることができるのは事実です。

くれぐれも、

「高性能な○○というウイルス対策ソフトが入っているから大丈夫！」という過信

だけはしないでおきましょう。
OSやアプリケーションにセキュリティホールがあったら、ウイルス対策ソフトがフォローできるとは限らないのですから。
（サービスパックの最低限度が決められているのはそういう理由もあるのです）
要は、

「セコムしてれば玄関の鍵はピッキング非対応でも全然大丈夫！！」という、とっても危険な感覚

と同じです。はい。