ウィルスまみれのVAIO VGC-LB50復旧。リカバリディスクも汚染・・・

勤務先の中国人が泣きそうな顔をしてVAIO VGC-LB50を持ってきました。彼女達にとって、PCとは自国の家族・友人とコミュニケーションを取る非常に大切なツールです。本人曰く(というか通訳曰く)、とても遅いので初期化してほしいとのこと。リカバリーディスクは作成せずに今日まで過ごしたらしい。悲惨な状況から立ち直ることができたので記録しておきます。

さて、電源を入れてみると、HDD内リカバリ領域を使ったリカバリを試みたものの失敗したらしく、起動できない状態。リカバリを試みて勝手にやめてしまってる感じかな。試しにWindows2000のインストールディスクを入れて起動してみると、パーティションが３つに切ってあるのが分かりました。

あちこちぐぐってみて、CD1枚起動の緊急起動ディスクを作成し、なんとかウィンドウズ起動成功。

しかし、遅いどころか、ほとんど止まってる状態。怪しい起動画面は乗っ取られた証明？なんでしょうか。タスクマネージャを立ち上げようとすると、怪しいプロセスのせいで負荷が掛かりすぎでなかなか立ち上がりません。ずいぶん経った後で、タスクマネージャは使えないよと言われる。ファイル名を指定して実行でregeditを呼び出して(なぜかこれは意外と軽い)、タスクマネージャ使用不可にしてある項目を削除(これもおそらくウィルスの仕業)。ファイル操作もまともに行えない。

ようやくタスクマネージャが立ち上がると、ほぼ100%の負荷。ものすごい数のプロセス名を別のPCでぐぐってみると病毒ばっかりです。ひとつひとつ慎重にkillしていくと、なんとか負荷を20%台まで落とすことが出来ましたが、20%台にしては重いのはなんだかよくわからないけどスワップしまくりだから？

とにかくその状態まで持って来れたので、リカバリディスクを作成します。CD-Rのほうが問題を切り分けられそうなのですが、手持ちがなかったのでDVD−Rで作成。ここまでが初日。

さて、ようやく完成したリカバリディスクで起動を試みるとやっぱりダメです。このDVD-Rを別PCにて内容確認しようとすると、NOD32が警告を発します。system32フォルダ内のexeファイルがすべて感染とのこと。あぶねーなー。。。HDD内の領域からのリカバリ失敗も結局、ウィルスのせいだったんだな。

これらのexeファイルを健全なPCのものと入れ替えます。DVD-RのファイルをすべてHDDに引っ張りだして来て、別のDVD-Rに焼き直せばよいのですが、ブータブルに焼かなければなりません。ウルトラISOというツールを使って、リカバリディスクから抜き出したブート領域を用いて、再度ブータブルDVD−Rを作ります。なお、当初は感染して書き換えられていたautorun.exeおよびautorun.infを焼き込みませんでしたが、これがあとでトラブルのもととなります。しかもこのブータブルDVD−Rを作成する方法に行き着く間でに1日所要。

さて、ウィルスのない状態のリカバリディスクでリカバリ開始です。無事にリカバリツールが立ち上がってきます。しかしここで勢いあまって、まるごと復旧を選んでしまったのが、失敗でした。いざリカバリをスタートさせたものの、何度やっても同じファイル名のところで止まります。System Rescue CDというLinuxベースのワンCDシステムで立ち上げ、HDDを見てみると、途中までは書き込んでいる模様です。なやむこと丸一日。

4日目の夕方にしてふと気づきます。そうか。無いファイルってのはもしかしたらautorun関係かも。怪しい内容のautorun.infは中身をざくっと削除して、ファイル二つを追加して再度DVD−Rを焼き、リカバリ開始したところようやく無事に進行しました！水曜日朝から土曜日夕方まで勤務時間中、仕事しながらでしたが、えらい時間を取られてしまいました。

今回のリカバリは、汚染されてないリカバリディスクがあればすぐに済んだのですが、彼女が中国人のためお金をあまり掛けられないため、なんとか安く済ませようと努力しました。また、自身の経験値を高めるためにも一度はウィルスと格闘しなくてはいけないけど、自分自身のPCだと悲壮すぎるのでちょうどよい機会でした。今日の午前中はさすがに根負けして、ソニーのサポートオープンと同時に電話してしまいました。サポートとか嫌いなんですけどしょうがない。でも、汚染されたリカバリディスクってのを信じてもらえないので諦めました。やっぱりサポートよりグーグル、そしてネットに記された皆さんの実践です。そんなわけで、僕も履歴を残しておきます。誰かの役に立つかもしれません。

それから、さらに不幸なことに、VAIOはVAIO自身でしかユーザ登録できません。このVAIOはユーザ登録してなかったため、カスタマーセンターに電話して登録なんだそうでユーザIDが出るまで約2週間かかるんだそうです。その後ようやくリカバリディスク購入可能とのこと。カスタマーセンターは月〜金の夕方6時までしかやってない。そもそもなんでリカバリディスクが5,250円もするんだろうか（作ってないのが悪いんですけど）。しかも、「リカバリディスクを販売しても、その様子だとダメかもしれないから預かった方がよい」とか言うのです。修理費用はというと4万数千円を基準として安くなるかもしれないし、高くなるかもしれないというし。

ちなみにautorunに気づくまでの間、汚れきったXPを浄化して、再度リカバリディスクを作成できないかと無謀なことを考え、regeditしてるうちにXPが起動しなくなり、System Rescue CDでNTFSをマウントしてファイルを戻したりしてなんとかもとに戻りました。元に戻ったと言ってもウィルスまみれのXPに戻ったというだけなのですけど。

何が何でも必要だったもの。
・緊急起動ディスク(自作CD-ROM)
・nero（上記CD-ROM焼き)
・ウルトラISO（FDブート互換じゃないブータブルDVD−R作成用）
・稼働中のXPマシン
・DVD−R数枚、CD−R数枚
・Google
・根気

役に立ったもの
・System Rescue CD（現状を安全な環境から眺められるのは実に便利。あと今回横道にそれたときに活用）
・Ultimate Boot CD（結果として今回は必須ではなかったが一応あったほうが後々便利かも)

あまり役に立たなかったもの
・サポートの電話