Macからマルウェアを削除する方法|Malwarebytesと手動削除の完全ガイド

Macがマルウェアに感染しているか確認しよう

削除作業を始める前に、まず自分のMacに現れている症状をメモし、この記事で解説するマルウェア(特にDownLiteトロイの木馬)の特徴的な症状と照らし合わせてください。

マルウェア(悪意のあるアプリ)は、Safari・Firefox・Chromeにブラウザヘルパーオブジェクトを追加します。その際、管理者の許可は一切求められません。また、ホームページやデフォルト検索エンジンといったブラウザ設定も勝手に変更されます。さらに、普段よく訪れるウェブサイトや検索エンジン、ECサイトを開くたびに広告が表示されることもあります。DownLiteトロイの木馬の場合は、search.conduit.comというサイトへ強制的に誘導されるのが大きな特徴です。

注意: 以下の手順を実行する前に、Macのデータを必ずバックアップしておくことを強くおすすめします。

方法1:Malwarebytesでマルウェアを削除する

ステップ1:ブラウザの設定をリセットする

まず、使用しているブラウザの設定をリセットします。

• Safariの場合
  1. メニューバーの「Safari」をクリックし、「Safariをリセット」を選択します。すべての項目にチェックを入れて「リセット」をクリックしてください。
     
• Chromeの場合
  1. Chromeのメニューアイコンをクリックし、「設定」を選択します。
     
  2. ページ下部の「詳細設定を表示」をクリックします。
     
  3. ページ最下部の「ブラウザ設定をリセット」を選択します。
     
  4. 再度「リセット」をクリックして操作を確定します。
     
• Firefoxの場合
  1. Firefoxのメニューボタンをクリックし、「ヘルプ」を選択します。
     
  2. 次のメニューから「トラブルシューティング情報」を選択します。
     
  3. 新しいページの左上にある「Firefoxをリフレッシュ」ボタンをクリックします。
     
  4. もう一度「Firefoxをリフレッシュ」をクリックして操作を確定します。
     

ステップ2:Malwarebytes for Macをダウンロードしてインストールする

注意: Malwarebytes for MacはmacOS / Mac OS X 10.7以降で動作します。この方法を使う前に、お使いのOSが対応バージョンかどうかを確認してください。

1. 公式サイト(www.malwarebytes.com/mac/)からMalwarebytesをダウンロードします。信頼できないサイトからファイルをダウンロードしないでください。偽物をつかまされると、状況がさらに悪化する恐れがあります。
2. ダウンロードが完了したら、.dmgファイルをダブルクリックして開きます。
3. Malwarebytesのアイコンとアプリケーションフォルダが並んだウィンドウが表示されます。Malwarebytesのアイコンをアプリケーションフォルダへドラッグ&ドロップしてください。
   

ステップ3:MalwarebytesでMacをスキャンする

1. 「アプリケーション」フォルダを開きます(Macのメニューバーで「移動」をクリックし、「アプリケーション」を選択)。
2. Malwarebytesのアイコンをダブルクリックします(または右クリックして「開く」を選択)。開いてよいか確認するダイアログが表示されたら、「開く」をクリックします。
3. 次の画面で「同意する」を選択します。このプロンプトは、Macで初めてMalwarebytesを起動したときに表示されます。
4. Malwarebytes以外の実行中のすべてのプログラムを閉じてから、「スキャン」をクリックします。
   

スキャンが完了すれば、マルウェアやアドウェアのアプリは削除されているはずです。

方法2:手動でマルウェアを削除する(上級者向け)

DownLiteトロイの木馬(またはその他のマルウェア)をMacから取り除くには、関連ファイルを探し出して削除する必要があります。

ステップ1:Mac上のマルウェア(DownLiteトロイの木馬)の場所を特定する

• 方法A
  1. 下記のパスをトリプルクリックして、文字列全体を選択します。
     • /Library/LaunchAgents/com.vsearch.agent.plist
  2. 文字列を選択した状態でControlキーを押しながらクリック(または右クリック)します。
  3. メニューから「Finderで表示」(Reveal in Finder)を選択します。
• 方法B
  1. 右クリック(Control+クリック)してもコンテクストメニューが表示されない場合は、選択したテキストをクリップボードにコピーします(Command + C)。
  2. Finderメニューの「移動」をクリックします。
  3. 「フォルダへ移動」を選択し、開いた入力ボックスにテキストを貼り付けます(Command + V)。
  4. Returnキーを押します。
     

ステップ2:Macからマルウェアを削除する

1. Finderが起動すると、ファイル(Vsearch)が選択された状態になっています。そのファイルをゴミ箱へドラッグし、求められた場合は管理者パスワードを入力します。
2. DownLiteトロイの木馬の以下の各ファイルについても、同じ手順を繰り返します。
   • /Library/LaunchDaemons/com.vsearch.daemon.plist
   • /Library/LaunchDaemons/com.vsearch.helper.plist
   • /Library/LaunchDaemons/Jack.plist
3. 削除できたらMacを再起動します。
4. 続けてゴミ箱を空にし、以下の項目についても同じ手順を繰り返します。
   注意: 一部の項目は存在しない場合があります。その際は「ファイルが見つかりません」というメッセージが表示されるので、その項目はスキップして次に進んでください。
   • /Library/Application Support/VSearch
   • /Library/PrivilegedHelperTools/Jack
   • /System/Library/Frameworks/VSearch.framework
   • ~/Library/Internet Plug-Ins/ConduitNPAPIPlugin.plugin
5. すべて完了したら、再びMacを再起動し、ゴミ箱を空にします。

同じ手順は、他の種類のマルウェアにも応用できます。以下に、その他の既知のマルウェアと、それらをMacから除去するために削除すべきファイルの一覧を示します。

1. ChatZum
   • /Applications/ChatZumUninstaller.pkg
   • /Library/Application Support/SIMBL/Plugins/SafariOmnibar.bundle
   • /Library/Internet Plug-Ins/uid.plist
   • /Library/Internet Plug-Ins/zako.plugin
2. Conduit
   • /Library/InputManagers/CTLoader/
   • /Library/LaunchAgents/com.conduit.loader.agent.plist
   • /Library/LaunchDaemons/com.perion.searchprotectd.plist
   • /Library/Application Support/SIMBL/Plugins/CT2285220.bundle
   • /Library/Application Support/Conduit/
   • /Applications/SearchProtect.app
   • /Applications/SearchProtect/
   • ~/Library/Application Support/Conduit/
   • ~/Library/Internet Plug-Ins/ConduitNPAPIPlugin.plugin
   • ~/Library/Internet Plug-Ins/TroviNPAPIPlugin.plugin
   • ~/Conduit/
   • ~/Trovi/
   • Firefoxの場合:
     ~/Library/Application Support/Firefox/Profiles/
     このフォルダ内の、ランダムな文字列で始まり「default」で終わるフォルダを開き、以下のファイルを削除します。
     user.js
     takeOverNewTab.txt
     searchplugins/[ファイル名に「Conduit」を含む].xml
     searchplugins/MyBrand.xml
3. Spigot
   • ~/Library/LaunchAgents/com.spigot.SearchProtection.plist
   • ~/Library/LaunchAgents/com.spigot.ApplicationManager.plist
   • ~/Library/Application Support/Spigot/
   • OperatorMac
   • ~/Library/Application Support/Google/Chrome/Default/chromex
   • ~/Library/Application Support/Google/Chrome/Default/chromexdm
   • ~/Library/Application Support/mediahm
   • ~/Library/LaunchDaemons/com.mediahm.operator.update.plist
   • Firefoxの場合:
     ~/Library/Application Support/Firefox/Profiles/
     このフォルダ内の、ランダムな文字列で始まり「default」で終わるフォルダを開き、「mySearchPlug.xml」があれば削除します。

ステップ3:Safari・Chrome・Firefoxをクリーンアップする

1. Safariを起動し、メニューバーから「環境設定」>「拡張機能」を選択します。
2. 使用していない、または見覚えのない拡張機能をすべてアンインストールします。特に、説明欄に「Conduit」や「Spigot」という言葉が含まれているものに注目してください。判断に迷う場合は、拡張機能をすべて削除するのが安全です。
3. より確実に仕上げるためにSafariをリセットします(Safari > Safariをリセット、すべての項目にチェックを入れて「リセット」をクリック)。
4. ChromeやFirefoxを使用している場合は、それぞれ同様の手順を実施してください。

補足:感染経路と今後の注意点

DownLiteトロイの木馬(および他の多くのマルウェア)は、海賊版映画などを配布する違法ウェブサイト経由で拡散されるケースがほとんどです。こうしたサイトを開き、そこに書かれた指示に従ってソフトウェアをインストールしてしまうと、被害がさらに拡大する恐れがあります。

厄介なことに、macOSのセキュリティ機能「Gatekeeper」は、DownLiteトロイの木馬のインストールに対して何の警告も表示しません。その理由は、DownLiteの開発者がApple発行のコード署名証明書を所持しているためです。Gatekeeperはこれを「未知の開発者によるアプリ」と判定せず、インストーラをそのまま通過させてしまうのです。

注意: マルウェアは防御策を回避するために絶えず変化しています。本記事で紹介した手順は執筆時点で有効なものですが、将来にわたって正確であるとは限りません。最新の脅威に対応するためには、OSとセキュリティソフトを常に最新の状態に保つことが重要です。