勝手に広告ツールがインストールされた時の対処方法　-HiJackThis-

突然意図しない広告がブラウザに表示されるようになる場合があります。
Amazon SerchとかHao123だとかがホーム画面になっていたり、
突然ブラウザの下からひょっこりと広告が出てきたりすると
マジでウザいです。

↓Hao123が勝手にホーム画面になった時。

そんなイラついた時に使えそうなツール。

HiJackThis

HijackThisは、トレンドマイクロで提供している無料ツール。
Windows系のコンピュータにおける、ウイルスやスパイウェア、そのほかの不正プログラム等により、システム設定が変更されていないかどうかを素早くスキャンし、確認することができる。
ただしこのツールは、変更されたレジストリキーやファイルシステム等をリストアップし、
それらが迷惑なプログラム等により行われたであろうという可能性の指摘はできるが、
その変更自体が不正活動であるかの判断まではできない。

ここからダウンロードできます。
http://sourceforge.net/projects/hjt/

使い方はしっかりと調査してから使うこと。

hijackthis及びアンインストール情報ツールを用いたログの取り方と貼り付け方法について
http://milksizegene.blog.fc2.com/blog-entry-40.html

スパイウェア対策 – HijackThisログ解析
http://homepage2.nifty.com/intel-404/internet/spyware/HijackThis/hijackthis-log.html

スパイウェア系被害で掲示板に助けを求める前に
http://www.oshiete-kun.net/archives/2006/12/hijackthishijackreader.html

以下は自分のメモ

■R0,R1,R2,R3 – IEスタートページ、サーチページ

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.co.jp/ 
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.google.co.jp/

IEを開らいた時に表示されるホームページ。例の場合はhttp://www.google.co.jp/と分かる。もしこのURLが設定した覚えのないURLなどの場合はFixし対処する。

■F0,F1,F2,F3 – INIファイルを自動読み込みするプログラム

F0 - system.ini: Shell=Explorer.exe Openme.exe 
F1 - win.ini: run=hpfsched

F0に表示されるファイルはスパイウェアの可能性が高く、害をもたらすプロセスとして考える。
F1の場合、害があるのか無害なのか判断しにくいため各サーチエンジンなどを使用しファイルを確認してからFixする。

■N1, N2, N3, N4 – Netscape又はMozillaでのスタート、サーチページ

N1 - Netscape 4: user_pref("browser.startup.homepage", "www.google.co.jp"); (C:\Program Files\Netscape\ユーザー\default\prefs.js) 
N2 - Netscape 6: user_pref("browser.startup.homepage", "http://www.google.co.jp"); (C:\Documents and Settings\ユーザー\Application Data\Mozilla\Profiles\defaulto9t1tfl.slt\prefs.js)

N1, N2, N3, は Netscape 4.x, 6, 7,
N4 は Mozilla

Netscap又はMozillaでのスタートページ詳細。Netscapeなどは比較的にセキュリティ面が高くハイジャックされることはないが設定した覚えがないURLなど表示される場合はFixする。

■O1 – Hostsファイル

O1 - Hosts: 216.177.73.139 www.google.co.jp 
O1 - Hosts: 216.177.73.139 www.msn.co.jp 
O1 - Hosts: 216.177.73.139 www.infoseek.co.jp 
O1 - Hosts: 216.177.73.139 www.goo.ne.jp 
O1 - Hosts file is located at C:\Windows\Help\hosts

hostsファイル内の詳細を表示する。上の例ではスパイウェアが各URLのIPアドレスを書き換えた事が見てとれる。これはIEなどのブラウザアドレスバーにhttp://www.google.co.jp/と入力したとしてもIPアドレスが変更されているため予想に反したパラサイトへアクセスしてしまう。
同じIPアドレスが続いている物はFixが必要になる。

■O2 – ブラウザ・ヘルップ・オブジェクト (BHO)

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Documents and Settings\All Users\Application Data\Real\RealPlayer\BrowserRecordPlugin\IE\rpbrowserrecordplugin.dll
O2 - BHO: ContentBlockerBrowserHelperObject - {5564CC73-EFA7-4CBF-918A-5CF7FBBFFF4F} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2013\IEExt\ContentBlocker\ie_content_blocker_plugin.dll
O2 - BHO: VirtualKeyboardBrowserHelperObject - {73455575-E40C-433C-9784-C78DC7761455} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2013\IEExt\VirtualKeyboard\ie_virtual_keyboard_plugin.dll
O2 - BHO: Safe Money Plugin - {9E6D0D23-3D72-4A94-AE1F-2D167624E3D9} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2013\IEExt\OnlineBanking\online_banking_bho.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: link filter bho - {E33CF602-D945-461A-83F0-819F76A199F8} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2013\IEExt\UrlAdvisor\klwtbbho.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

BHOとはブラウザ補助機能のことで、たびたびブラウザハイジャッカーなどのスパイウェアはBHOに現れる可能性が高い。

■O3 – IEツールバー

O3 - Toolbar: The翻訳インターネットV8 - {1EC1C113-F5D6-4CBF-94E2-3CEC44B399CF} - C:\Program Files\TTI_V8_LE\def_bar.dll 
O3 - Toolbar: &gooスティック - {C1724158-90ED-413D-AE2D-6360F0CAA755} - C:\PROGRA~1\goo\stick\goostk.dll 
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll 
O3 - Toolbar: &Yahoo!ツールバー - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\PROGRA~1\Yahoo!\COMPAN~1\Installs\YCOMP5~1.DLL

IEの上部に設置することが可能な各サーチエンジンが配布しているツールバーやポップアップブロックなどのプログラム。
ブラウザハイジャッカーなどのスパイウェアはBHOに現れる可能性が高い。
インストール覚えのないツールバーなどは確認しFixする。

■O4 – 自動起動プログラム（エントリ）

O4 - HKCU\..\RunOnce: [hao123Setting] C:\DOCUME~1\USER\LOCALS~1\Temp\bdgA51.exe http://jp.hao123.com/?tn=sft_pay_hp_01_hao123_jp
O4 - HKCU\..\RunOnce: [FlashPlayerUpdate] C:\WINDOWS\system32\Macromed\Flash\FlashUtil10k_Plugin.exe -update plugin

スパイウェアやマルウェアなどはPC起動時に自動的に起動するようなっているため
O4自動エントリ（PC起動時に同時起動するプログラム）のリストに表示される可能性が
高いので04欄を注意深く探す。怪しいエントリなど見つけた場合は各サーチエンジンにて確認しFixする。
↑はhao123が勝手にインストールされているのでFixする。

■O5 – コントロールパネルでのインターネットオプションロードの遮断

O5 - control.ini: inetcpl.cpl=no

O5が表示される場合、コントロールパネルを開くとロードされる control.ini の中の don’t load と表示され、Fixが必要。

■O6 – IEオプションの制限

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present

通常の場合、AdministratorにてIEオプションを制限されていない限りログとし表示されない。
その他にもSpybot S＆D の一オプション”Lock homepage from canges”による制限の場合にもログに表示される。

表示された場合はFix。

■O7 – レジストリエディタ制限

O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

レジストリエディタが制限されている場合O7に表示される。
通常Administratorによって制限、解除などの設定が出来るが、
スパイウェアによって制限されている物もあり設定覚えがないのにもかかわらず表示される場合はFix。

■O8 – IEでの右クリック

O8 - Extra context menu item: Google サイドウィキ... - res://C:\Program Files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_D183CA64F05FDD98.dll/cmsidewiki.html
O8 - Extra context menu item: Microsoft Excel にエクスポート(&X) - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: アンチバナーでブロック - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2013\ie_banner_deny.htm
O9 - Extra button: セキュリティキーボード - {0C4CC089-D306-440D-9772-464E226F6539} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2013\IEExt\VirtualKeyboard\ie_virtual_keyboard_plugin.dll

O8はIEでの右クリックメニューを表示します。不必要な物や覚えのない物はFix。

■O9 – IEツールメニューや各種ボタン追加

O9 - Extra button: セキュリティキーボード - {0C4CC089-D306-440D-9772-464E226F6539} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2013\IEExt\VirtualKeyboard\ie_virtual_keyboard_plugin.dll
O9 - Extra button: 危険サイト診断 - {CCF151D8-D089-449F-A5A4-D9909053F20F} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2013\IEExt\UrlAdvisor\klwtbbho.dll
O9 - Extra button: ThinkPad ソフトウェアの更新 - {D1A4DEBD-C2EE-449f-B9FB-E8409F9A0BC5} - C:\Program Files\ThinkPad\PkgMgr\\PkgMgr.exe

IEでのメニューや各種ボタンの詳細を表示する。不必要な物や覚えのない物はFix。

■O10 – Winsock ハイジャッカー

O10 - Hijacked Internet access by New.Net 
O10 - Broken Internet access because of LSP provider 'c:\progra~1\common~2\toolbar\cnmib.dll' missing 
O10 - Unknown file in Winsock LSP: c:\program files\newton knows\vmain.dll

スパイウェアの中にはWindowsに深くリンクしているLSP(Layered Service Provider)にアクセスしユーザーが送信しているデーターを盗み取る物もある。しかしHijackThisでそれらをFixする機能はなくログにて表示される場合はSpybotなどを使用し又は別のツールにて消去する。

■O11 – 詳細設定追加

O11 - Options group: [CommonName] CommonName

IEのツール > インターネットオプション > 詳細設定での追加があると表示される。
O11がログとして表示される場合はFixする。

■O12 – IEプラグイン

O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll 
O12 - Plugin for .PDF: C:\Program Files\Internet Explorer\PLUGINS\nppdf32.dll

IEに追加されているプラグインが表示。OnFlowが表示される場合はFixが必要。

■O13 – IE

O13 - DefaultPrefix: http://www.pixpox.com/cgi-bin/click.pl?url= 
O13 - WWW Prefix: http://prolivation.com/cgi-bin/r.cgi? 
O13 - WWW. Prefix: http://ehttp.cc/?

O13が表示される際は必ずFixする。

■O14 – Web設定時のURL

O14 - IERESET.INF: START_PAGE_URL=http://dynabook.com/assistpc/index_j.htm 
通常はPCメイカーのWeb又はISPのURLが表示されるが、
覚えのないURLが表示されている場合はFixする。

■O15 – IEの信頼済みサイト

O15 - ESC Trusted Zone: http://*.update.microsoft.com

IE設定の信頼済みサイト名を登録している場合、表示される。
登録覚えのないサイト名が表示される場合はFixする。

■O16 – ActiveX オブジェクト

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1238260705187
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1238260806750
O16 - DPF: {80B5FCA6-66CB-4342-9B62-F838A47ED7F6} (VBInfoOcx Control) - https://vbec.trendmicro.co.jp/cs/common/ocx/PCInfo.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

プロセス名又はURLに覚えがない場合はFixする。
URLが “dialer” や “casino” “free_plugin”など表示される場合は必ずFixする。

■O17 – Lop.comドメインハイジャック

O17 - HKLM\System\CCS\Services\VxD\MSTCP: Domain = aoldsl.net 
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = W21944.find-quick.com 
O17 - HKLM\Software\..\Telephony: DomainName = W21944.find-quick.com 
O17 - HKLM\System\CCS\Services\Tcpip\..\{D196AB38-4D1F-45C1-9108-46D367F19F7E}: Domain = W21944.find-quick.com 
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: SearchList = gla.ac.uk

Domein = の後(Domain = W21944.find-quick.com)がISP、ご使用のネットワーク又は覚えのない場合はFixする。

■O18 – 通信プロトコル(TCP/IP)ハイジャッカー

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL

O18 – Protocol:の後に “relatedlinks” や “cn” “ayb” と表示される場合はFixする。

■O19 – ユーザースタイルシート

O19 - User style sheet: c:\WINDOWS\Java\my.css

ユーザースタイルシートとはIEが起動と同時にスクリプトを読み込み、ブラウザに表示させる物。
ブラウザの起動が以前よりも遅くなった場合は注意が必要。

■O20 – AppInit_DLLs Registry value autorun

O20 - Winlogon Notify: Sebring - c:\WINDOWS\System32\LgNotify.dll 
O20 - AppInit_DLLs: C:\WINDOWS\System32\rtc.dll

PC起動時に実行されるスパイウェアやトロイの木馬が追加エントリするレジストリキーに値(HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows)が追加されている場合 O20が表示される。
又、数は少なくともNorton Clean SweepやBitdefenderをご使用の場合も表示される場合があるが、多くの場合はトロイの木馬又はブラウザハイジャッカースパイウェアによる物なので調べた上でFixする。

■O21 – ShellServiceObjectDelayLoad

O21 - SSODL - AUHOOK - {11566B38-955B-4549-930F-7B7482668782} - C:\WINDOWS\System\auhook.dll

通常、少数のWindowsコンポーネントが使用する自動起動エントリが表示される。
トロイの木馬やスパイウェアなどのハイジャッカーにはシステムディレクトリにコピーし、
自動実行するようShellServiceObjectDelayLoadにエントリする特徴があるので
O21にログに表示された場合は注意が必要。
サーチエンジなどで調べ、悪質なファイルを発見した場合は HijackThisにてFixする。
又、Fixと同時にログに表示してあるCLSID及びパス先のファイルを削除する必要がある。

■O22 – SharedTaskScheduler

O22 - SharedTaskScheduler: (no name) - {3F143C3A-1457-6CCA-03A7-7AA23B61E40F} - c:\windows\system32\mtwirl32.dll 
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\System32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\System32\browseui.dll

Windows2000,NT,XPのみexplorerによるCLSID自動起動エントリを使用した CWS.SmartfinderなどがO22にて表示される。
表示が確認された場合は各サーチエンジンで確認しSharedTaskSchedulerのレジストリキー値をFixする。

■O23 – NTサービス

O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Kaspersky Anti-Virus Service (AVP) - Kaspersky Lab ZAO - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2013\avp.exe
O23 - Service: Baidu Japanese IME Service_2.8.1.12 (BaiduJP_IME_Service_2.8.1.12) - Unknown owner - C:\Program Files\Baidu\IME\2.8.1.12\BaiduJPServ.exe
O23 - Service: Bwsvc - BUFFALO INC. - C:\Program Files\BUFFALO\Client Manager3\bwsvc.exe
O23 - Service: Google アップデート サービス (gupdate) (gupdate) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Google Update サービス (gupdatem) (gupdatem) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: IBM Rapid Restore Ultra Service - Unknown owner - C:\Program Files\IBM\IBM Rapid Restore Ultra\rrpcsb.exe
O23 - Service: ThinkPad PM Service (IBMPMSVC) - Lenovo - C:\WINDOWS\system32\ibmpmsvc.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: Mozilla Maintenance Service (MozillaMaintenance) - Mozilla Foundation - C:\Program Files\Mozilla Maintenance Service\maintenanceservice.exe
O23 - Service: IBM PSA Access Driver Control (PsaSrv) - Unknown owner - C:\WINDOWS\system32\PsaSrv.exe (file missing)
O23 - Service: QCONSVC - IBM Corp. - C:\WINDOWS\System32\QCONSVC.EXE
O23 - Service: Skype Updater (SkypeUpdate) - Skype Technologies - C:\Program Files\Skype\Updater\Updater.exe
O23 - Service: IBM KCU Service (TpKmpSVC) - Unknown owner - C:\WINDOWS\system32\TpKmpSVC.exe

WindowsNT,2000,XP起動時に自動実行されるバックグラウンドNTサービスがO23にて表示される。
悪質なプロセスを発見した場合はHaijckThisでのFix前にコントロールパネルからのプログラムの削除とレジストリエディタにてレジストリキーを消去する。

起動プロセスなどのログを表示するHijackThisは初心者の方には解析が難しく間違えてFixしてしまうとPCに大きな損害を与えてしまう可能性がある。

以上

勝手に広告ツールがインストールされた時の対処方法　-HiJackThis-

関連する投稿:

投稿者: kaz

コメントを残すコメントをキャンセル

関連する投稿:

投稿者: kaz

コメントを残す コメントをキャンセル

コメントを残すコメントをキャンセル