Windowsの悪意のあるソフトウェアの削除ツール（MRT.exe）の使い方徹底解説

Windows 悪意のあるソフトウェアの削除ツール（MSRT）とは？

毎月のWindows Updateでインストールされる更新プログラムをチェックしていると、KB890830（Windows 悪意のあるソフトウェアの削除ツール）という重要な更新プログラムを目にしたことがあるかもしれません。この更新プログラムには、Microsoft製のWindows 悪意のあるソフトウェアの削除ツール（MSRT）の最新バージョンが含まれています。MSRTを使えば、ウイルス、トロイの木馬、ワームなどのマルウェアをコンピューターから検出・駆除できます。サポート対象のすべてのWindowsバージョンで利用可能です。

ただし、MSRTはアンチウイルスソフトではない点に注意が必要です。常駐してリアルタイムであらゆる脅威からPCを守るものではなく、Microsoftが「特に危険」と判断した限られた種類のマルウェアを手軽にスキャン・除去するための補助的なツールです。

MSRTの入手・更新方法

MSRTは次のいずれかの方法で入手できます。

• Windows Update経由：自動的にダウンロード・インストールされます。
• 手動ダウンロード：Microsoft Updateカタログ（https://www.catalog.update.microsoft.com/Search.aspx?q=KB890830）からKB890830をダウンロードしてインストールします。

なお、2020年5月以降、MSRTの更新頻度は毎月から3か月に1回へ変更されました。

MRT.exeの起動方法

ツールを起動するには、「ファイル名を指定して実行」やコマンドプロンプトで次のコマンドを実行します。

mrt.exe

3つのスキャンモード

MSRTでは、目的に応じて以下の3種類のスキャンを選択できます。

• クイックスキャン：メモリや感染しやすいシステムファイルなどを短時間でスキャンします。ウイルスやトロイの木馬が検出された場合は、フルスキャンの実行を提案されます。
• フルスキャン：デバイス全体をくまなくスキャンします。ディスク内のファイル数によっては完了まで数時間かかる場合があります。
• カスタムスキャン：スキャンしたいフォルダーを自分で指定して実行できます。

希望のスキャンタイプを選択し、スキャンが完了するまで待ちましょう。

スキャン結果の見方

感染ファイルが見つからなかった場合は、「悪意のあるソフトウェアは検出されませんでした」というメッセージが表示されます。「スキャンの詳細結果の表示」をクリックすると、検索対象となったマルウェアのシグネチャ一覧と、それぞれのスキャン状況を確認できます。

マルウェアが検出された場合は、以下のいずれかのステータスが表示されます。

• 少なくとも1件の感染が検出され、駆除された
• マルウェアが検出されたが、駆除されていない（疑わしいファイルが検出された場合に表示。完全な駆除にはアンチウイルスソフトの使用を推奨）
• マルウェアが検出され、部分的に駆除された（完全な駆除にはアンチウイルスソフトが必要）

スキャンログの確認方法

MSRTは詳細なスキャンログを次のファイルに保存します。

%WinDir%\Debug\mrt.log

Microsoft Windows Malicious Software Removal Tool v5.88, (build 5.88.18031.1)
Started On Wed Apr 14 09:14:53 2021
Engine: 1.1.17900.7
Signatures: 1.333.1197.0
MpGear: 1.1.16330.1
Run Mode: Scan Run From Windows Update
Results Summary:
----------------
No infection found.
Successfully Submitted MAPS Report
Successfully Submitted Heartbeat Report
Microsoft Windows Malicious Software Removal Tool Finished On Wed Apr 14 09:20:49 2021
Return code: 0 (0x0)

Microsoftへのレポート送信を無効化する

ログの中の「Heartbeat Report」の行に注目してください。ご覧のとおり、MSRTはスキャン結果をMicrosoftへ送信しています（Microsoftによれば匿名データとのことです）。このレポート送信を無効にしたい場合は、レジストリで設定を変更します。キー HKLM\SOFTWARE\Policies\Microsoft\MRT の下に、REG_DWORD型の値 DontReportInfectionInformation を作成し、値を 1 に設定してください。

reg add "HKLM\SOFTWARE\Policies\Microsoft\MRT" /v DontReportInfectionInformation /t REG_DWORD /d 1 /f

また、Windows Update経由でのMSRTの自動ダウンロード・インストール自体を無効にしたい場合は、次のコマンドを実行します。

reg add "HKLM\SOFTWARE\Policies\Microsoft\MRT" /v DontOfferThroughWUAU /t REG_DWORD /d 1 /f

企業環境で使えるコマンドラインオプション

MRT.exeには複数のコマンドラインオプションが用意されており、SCCMやGPOなどのツールと組み合わせて、企業ネットワーク内の複数台のPCを一括スキャンできます。

• /Q：クワイエットモードで実行（GUIなしでバックグラウンド動作）
• /N：検出モードで実行（マルウェアの検出のみ行い、駆除はしない）
• /F：フルスキャンを開始
• /F:Y：フルスキャンを実行し、感染ファイルを自動的に駆除

Microsoftは、企業ネットワークにおけるMSRTの展開・活用シナリオについても公式ドキュメントで解説しています（https://support.microsoft.com/en-us/help/891716/deploy-windows-malicious-software-removal-tool-in-an-enterprise-enviro）。

タスクスケジューラによる自動スキャン

PCの自動スキャンには、タスクスケジューラに登録された特別なタスク MRT_HB が使われています（タスクスケジューラライブラリ → Microsoft → Windows → RemovalTools）。

このタスクは、mrt.exeを /EHB /Q オプション付きで実行します。興味深いことに、/EHBオプションは公式ドキュメントにもヘルプにも記載されていない隠しオプションです。