トロイの木馬:XML/GreatXML – それを削除する方法 [修理]

トロイの木馬とは:XML/GreatXML?

Microsoft Defenderがトロイの木馬を検出しました:XML/GreatXML – 具体的にはトロイの木馬の亜種:XML/GreatXML.GVA!MTB – 検出結果は、Windows回復環境内のReAgent.xmlというファイルを示しています。, あるいは、二次スキャナーでは脅威を確認する証拠は何も見つからなかった。. 手動で操作を行う前に、このガイドをよくお読みください。, この検出には、多くのユーザーに影響を与える偽陽性の問題が十分に立証されているためです。.

トロイの木馬:XML/GreatXML.GVA!MTBは、Microsoft Defenderの機械学習に基づく脅威検出機能です。 (!MTB接尾辞) HowToRemove.guide によって C に特にリンクしていると文書化されている:RecoveryWindowsREReAgent.xml – Windows回復環境の一部であり、通常の場所に存在するファイル, 感染していないWindowsインストール. ここから検出が異常になる。: Malwarebytesを含む複数の独立したセカンダリースキャナー, ヒットマンプロ, ESETは、同じシステム上でDefenderの検出結果に一致するものは何も見つからなかったと報告している。, ESETは、記録された事例において、無関係なトラッキングクッキーのみを検出した。. GreatXMLという名称自体は、Windowsの回復機能とDefenderのオフラインスキャン境界の変更を含む、文書化された手法と関連付けられています。, 上記の方法は、回復ブートシーケンス中にBitLockerの保護を妨害することを目的としている。. したがって、この検出結果は、単純に無視できる偽陽性ではない。 – 根底にある技術は本物です – しかし、スキャン結果が良好なシステムでReAgent.xmlに対する特定の警告が表示された場合は、Windows回復環境ファイルに対して破壊的な操作を行う前に、慎重な検証が必要です。. SpyHunterはトロイの木馬を検出し、対処するのに役立つことが確認されています。:XML/GreatXML.GVA!MTB関連部品.

どうやってトロイの木馬に感染したのか:XML/GreatXML?

検出結果が、クリーンなシステムファイルに対する偽陽性ではなく、実際の感染を反映している場合, GreatXMLカテゴリの脅威は、以下の文書化された経路を通じて到達します。:

• Windows回復環境を改変する悪意のあるインストーラー – 文書化されたGreatXMLテクニックには、Windows回復環境の変更が含まれます。 – 具体的には、リカバリエージェントの設定 – 永続性を確立したり、暗号化されたドライブへの不正アクセスを防止するBitLocker保護を妨害したりする方法として. この種の改変は、セットアップ中に管理者権限で実行される悪意のあるインストーラーを介して行われます。.
• クラックされたソフトウェアと海賊版アプリケーションインストーラー – 非公式ソースからダウンロードされたクラック版アプリケーションや海賊版ソフトウェアパッケージは、インストール中に管理者権限で密かに実行される。, これにより、この検出カテゴリに関連するシステムレベルの変更を行うための、一貫性のある手段となる。.
• 権限昇格スクリプトを実行する悪意のあるメール添付ファイル – マクロが有効になっている文書やアーカイブ添付ファイルは、特権昇格されたスクリプトを実行することで、トロイの木馬をトリガーするタイプの復旧環境の変更を実行できます。:XML GreatXML検出.
• 正当なWindowsシステムファイルがDefenderの誤検出を引き起こした – この特定の検出で最もよく報告されるシナリオ: Windows Defender の定義ファイルの更新により、正当な C を誤ってフラグ付けするヒューリスティックが導入されます。:RecoveryWindowsREReAgent.xmlファイルは、すべてのWindowsインストール環境に存在するファイルです。. これは、すべての二次スキャナーがクリーンな結果を返すシナリオです。.

トロイの木馬とは:XML/GreatXML は?

文書化されているGreatXML技術は、Windowsセキュリティの特定の深刻な領域を標的としている。. 感染が確認された人の全体像は以下のとおりです。 (偽陽性とは対照的に) 含まれる:

• Windows回復環境を改変し、BitLockerの保護機能を無効化する。 – GreatXML技術は、特にWindows回復環境を対象としています。 (WinRE) BitLockerの回復プロセスを妨害する構成 – デバイスがリカバリモードのときに、暗号化されたドライブ上のデータへの不正アクセスを防止する保護機能. このカテゴリーの感染が確認された場合、暗号化の完全性に対する深刻な脅威となります。.
• 回復環境の変化を通じて持続性を確立する – 回復環境はメインのWindowsインストールとは別の場所にあり、Windows内で実行される標準的なマルウェア対策スキャンではクリーンアップされないため、回復構成への変更は標準的なマルウェア駆除とは独立して保持される可能性があります。.
• 回復ブート中にBitLockerで保護されたドライブへのデータアクセスを許可できます – 文書化された攻撃の目的は、通常であれば回復モードでのデータアクセスを防止するBitLockerの保護機能を回避または弱体化させることである。, デバイスに物理的にアクセスできる攻撃者が暗号化されたデータにアクセスできる可能性.

誤検出検証: 検出結果がCを指し示す場合:RecoveryWindowsREReAgent.xml およびすべてのセカンダリスキャナ (Malwarebytes, ヒットマンプロ, ESET) きれいな状態に戻ります, フラグが立てられたファイルをVirusTotalに送信する. 3基未満のエンジンがそれを検知した場合, これはおそらく、定義ファイルの更新によって引き起こされたDefenderの誤検出です。. ReAgent.xmlを削除しないでください – これはWindows回復環境の重要なコンポーネントであり、これが欠けているとWindowsが起動失敗から回復できなくなる可能性があります。.

トロイの木馬を削除する方法:XML/GreatXML [修理]

Cを削除しないでください:RecoveryWindowsREReAgent.xml を最初に誤検出検証を完了せずに – このファイルを削除すると、必要なときに Windows が回復モードで起動できなくなる可能性があります。. 以下の手順を順番に実行してください。. 初め, Defenderでフラグが立てられたアイテムを完全に削除するのではなく、隔離する. 次に、MalwarebytesとESETオンラインスキャナーを使用して二次スキャンを実行します。 – 両方ともクリーンな結果を返す場合, この検出は、正規のReAgent.xmlに対する誤検出である可能性が非常に高い。. 保護履歴のDefenderフィードバックボタンから、誤検出をMicrosoftに報告してください。. 二次スキャナーが検出を確認した場合, Microsoft Defenderオフラインスキャンをフル実行する (Windowsセキュリティ, ウイルスおよび脅威対策, スキャンオプション, Microsoft Defender オフラインスキャン) オフラインスキャンはWindowsが起動する前に実行され、回復環境に到達できるため. SpyHunterでフルスキャンを実行して、GreatXMLの変更に関連する追加コンポーネントを特定します。. 感染が確認され、かつデバイスでBitLockerが使用されている場合, WinREイメージの再生成については、Microsoftのドキュメントを参照してください。 (reagentc /disable に続いて reagentc /enable を実行する) マルウェア削除後にクリーンな回復環境を復元する. 詳しい手順については、この記事の下にある完全削除ガイドをご覧ください。.