ウイルスバスターの「ランサムウェアを削除できません」警告の正体は？　誤検出だと突き止めるまでの確認手順

ある朝、パソコンを使っていると、ウイルスバスター クラウドから「ランサムウェアを削除できません」という警告が突然表示されました。
ランサムウェアとは、パソコンの中のファイルを勝手に暗号化して使えなくし、元に戻すための身代金を要求する悪質なプログラムのことです。

この記事では、この警告が本物の脅威なのか誤検出なのかを見極めるまでの、具体的な確認手順と留意点を説明します。

これまでPCを何台も自作し、保守もしてきた私でも、「ランサムウェア」の文字を見たときはさすがに焦りました。
その私が、実際の画面と経緯を交えて、初心者にもわかりやすく解説します。

この種の警告の難しさは、「削除できません」と表示されるだけで、問題のファイルが何者なのか、本当に危険なのかを教えてくれない点でしょう。

但し、確認すべき最低限のポイントを押さえれば、落ち着いて判断できます。
同じ警告に出会ったときの参考に、ぜひ読んでみてください。

突然表示された「ランサムウェアを削除できません」

2026年10月14日の朝8時半過ぎ、画面に警告が表示されました。
「詳細の表示」からログ（詳細）画面を開くと、次のように記録されていました。
下の画像はそのときの画面です。

ウイルスバスターの警告画面とログ（詳細）

• ウイルス/脅威：HEU_AEGIS_CRYPT
• ファイル名：old-uninstaller.exe
• 処理：アクセスが拒否されました
• スキャンの種類：不正な暗号化のスキャン
• 検出回数：8:33〜8:38の約5分間に3回

HEU_AEGIS_CRYPT は、特定のウイルスの名前ではありません。
ファイルを不正に暗号化するような「ふるまい（動き）」を検知したときの検出名です。
トレンドマイクロの脅威データベースでも、不正なファイル暗号化の検出名として扱われています。
つまり「怪しい動きをしたので止めた」という意味で、中身が本物のランサムウェアだと確定したわけではありません。

とはいえ、old-uninstaller.exe という名前のファイルには、まったく心当たりがありませんでした。

まず行った初動対応

原因がわかるまでは、本物のランサムウェアだと仮定して、次の3つを行いました。

1. ファイルを実行しない：万一の被害を広げないためです。ダブルクリックはもちろん、開いて中身を見ることもしません。
2. インターネットを切る：外部との通信を止めるためです。LANケーブルを抜くか、Wi-Fiをオフにします。
3. 外付けドライブをつながない：バックアップを守るためです。ランサムウェアは、つながっているドライブまで暗号化することがあります。

あわせて、写真や文書など自分のファイルが普通に開けるかも確認しました。
ファイルが開けない、拡張子が変わっている、身代金を要求する見慣れない文書が出現している、といった異常がなければ、実際の暗号化被害は起きていないと考えられます。
今回は異常なしでした。

原因を突き止めるまでの4ステップ

原因の切り分けは、大きく次の4ステップで進めました。
下の図はその全体像です。

STEP1　ログをCSVに出力し、ファイルの場所を全文で確認する

ログ画面では、ファイルの場所が「C:¥Users¥m_…¥old-uninstaller.exe」のように途中が省略されていて、肝心の部分が読めません。
そこで、ログ画面右下の「ファイルに出力」で、CSVファイルに書き出しました。

ここで一つ注意点があります。
保存ダイアログの初期の保存先が、ウイルスバスター本体のフォルダ（C:\Program Files\Trend Micro\…）になっていました。
この場所は保護されているため、保存に失敗したり、後で見つけにくくなったりします。
保存先は「デスクトップ」に変更してください。

出力したCSVをメモ帳で開くと、場所が全文で記録されていました（ユーザー名は伏せています）。

C:\Users\〇〇\AppData\Local\Temp\nsc2921.tmp\old-uninstaller.exe

また、1回目（8:33:50）の処理は「終了」、2回目と3回目は「アクセスが拒否されました」となっていました。
最初に動きを止めたあとも、再び実行されようとしたのを防いだ記録だと考えられます。

STEP2　場所と名前から推理する

ファイルの場所と名前には、正体を知るための手がかりが詰まっています。

• Temp（一時フォルダ）：アプリのインストールや更新のときに、作業用のファイルを一時的に置く場所です。
• nsc〜.tmp：NSIS（エヌシス）という、インストーラーを作る定番ツールが使う作業フォルダの名前の形です。NSISで作ったアンインストーラーは、自分自身を一時フォルダにコピーしてから実行する仕組みになっています。
• old-uninstaller.exe：Electron（エレクトロン）という仕組みで作られたデスクトップアプリが、自動更新のときに旧バージョンを削除するために使う名前です。

ここから、「何かのアプリが自動更新されたときの、旧バージョン削除処理ではないか」という仮説を立てました。

なお、ファイルを確かめようとして %TEMP%\nsc2921.tmp を開くと、「見つかりません」と表示されました。
インストーラーは処理が終わると作業フォルダを自動で片付けるため、すでにフォルダごと消えていたのです。
ウイルスバスターの「削除できません」という表示は、検出した時点の状態が残っていただけでした。

エクスプローラーのアドレス欄への入力がわかりにくい場合は、Windowsキー＋R で開く「ファイル名を指定して実行」に入力すると確実です。

STEP3　当日に更新されたアプリを調べる

「設定」→「アプリ」→「インストールされているアプリ」を開き、「並べ替え」を「インストール日付」にしました。
当日（10/14）の日付のアプリは、次の4件でした。

インストールされているアプリをインストール日付順に並べた画面

• Claude
• Dropbox
• Google Chrome
• Typeless 2.8.2

このうち Chrome と Dropbox は、それぞれ独自の更新の仕組みを持っています。
Claude も別の配布方式と思われます。
一方、AI音声入力アプリの Typeless は、表示名にバージョン番号が付き、発行元の欄が空になっていました。
これは Electron 製アプリの標準的なインストーラーでよく見られる表示で、最有力の候補になりました。

STEP4　アプリのフォルダの更新時刻と、検出時刻を照らし合わせる

最後の決め手は時刻です。
Windowsキー＋R で次のフォルダを開きました。

%LOCALAPPDATA%\Programs

すると、Typeless フォルダの更新日時が「2026/10/14 8:33」になっていました。
ウイルスバスターの最初の検出も 8:33 で、ぴったり一致します。
また、当時私は Typeless で文字入力をしていましたが、問題なく動いていました。

以上から、「Typeless の自動更新で旧バージョンを削除する処理を、ウイルスバスターが不正な暗号化と誤検出した」と判断しました。
下の図はその仕組みです。

たとえるなら、引っ越し業者が古い家具を一斉に運び出しているところを、警備員が泥棒と勘違いして止めたような状況です。
大量のファイルを一気に削除・書き換える動きが、暗号化の動きと似て見えたのだと考えられます。

但し、Typeless がこの仕組みを使っていることを、公式情報で確認したわけではありません。
時刻の一致と、アプリが正常に動いていることを根拠にした判断です。

全体スキャンで見つかった別の6件

念のため、ウイルスバスターで全体スキャンを行いました。
約240万ファイルを調べるのに2時間ほどかかり、最終結果は「検出されたすべての脅威が解決されました」でした。
ただし途中で6件の脅威が見つかり、削除されていました。

スキャン結果画面とスキャンの詳細画面

スキャンの詳細画面で「ファイル」列の幅を右にドラッグして広げると、場所が読めるようになりました。
6件はすべて、Jドライブに保存していたバックアップの中にある、2017年の Windows Live メールのバックアップの受信トレイのメールでした。

当時届いたウイルス付きの迷惑メールが、そのまま保存されていたものと考えられます。
メールの添付ファイルは、開いて実行しない限り動きません。
保存されていただけなので、パソコンへの害はなく、今朝の警告とも無関係です。

但し、6件の脅威の名前までは確認していません。
また、削除されたことでバックアップの中身は元の状態から変わっています。
復元に使う予定のあるバックアップの場合は、何が消されたのかを確認しておくと安心です。

今回の教訓と注意点

今回の経験から、警告が出たときに見るべきポイントは、次の3つに整理できます。

1. 検出名を見る：「HEU_」で始まる名前は、一般に、ふるまいや特徴から怪しいと判断したものに付く名前です。誤検出の可能性もあるので、慌てずに確認します。
2. 場所を見る：Temp（一時フォルダ）は、インストールや更新の作業場所です。但し、本物のウイルスもよく使う場所なので、場所だけで安全とは判断できません。
3. 時刻を見る：アプリの更新時刻と一致すれば、誤検出の可能性が高まります。

そのほか、次の点にも注意してください。

• ログを「ファイルに出力」するときは、保存先をデスクトップに変更する。
• 一時フォルダ（Temp）を、ウイルスバスターの例外設定には登録しない。本物のウイルスも素通りしてしまい、警備に穴が空きます。
• 同じアプリが次に更新されるときも、同じ警告が出る可能性があります。その場合も、時刻の照合で判断できます。
• 判断に迷ったら、ネットは切ったまま、警告画面の「ヘルプの表示」からトレンドマイクロのサポートに相談する。

まとめ

ここまで、ウイルスバスターの「ランサムウェアを削除できません」という警告が、誤検出だったと突き止めるまでの手順を説明してきました。

重要なポイントは、慌ててファイルを開いたりせず、まずネットを切って被害の拡大を防ぐことです。
そのうえで、ログをCSVに出力し、検出名・場所・時刻の3点を手がかりに、当日更新されたアプリと照らし合わせます。

但し、時刻が一致するアプリが見つからない場合や、自分のファイルが開けなくなっている場合は、本物のランサムウェアの可能性があります。その場合は自己判断で進めず、セキュリティソフトのサポートに相談してください。

警告の意味と確認の手順を理解して取り組めば、本物の脅威か誤検出かを、落ち着いて見極められるでしょう。