Autoruns の使い方

０１．概要

０２．ダウンロード

０３．使用方法

０４．擬似的クリーンリストの作成方法

§１．概要

AutorunsはOS起動時やユーザログオン時に自動起動するアプリケーションと、その起動場所の全てをリストアップするプログラムです。
リストアップされたプログラムの自動起動の一時停止や削除が可能です。

  • ログオンってどうしてこんなに時間がかかるの？
  • システムトレイのアイコン、あれ一体何なの？
  • 自動起動を停止したいけど、どうしたらいいの？
  • ログオン時に発生するエラー。あれ何なの？

Autorunsはこのような問題を解決するのにも有効なツールです。そして、何よりもマルウェア（ウィルス、スパイウェア等）の削除に有効なツールなの です。

マルウェアはプログラムです。プログラムである以上実行されなければ機能を果たしません。この点は普通のプログラムもマルウェアも一緒です。そこで、マル ウェアはOS起動時やユーザログオン時に自動起動されるように複数のスタートアップエントリを作成しています。スタートアップエントリの作成場所はレジス トリであったりスタートアップフォルダであったりと様々です。
マルウェアが何処にスタートアップエントリを作ろうとAutorunsは自動起動を発生させる全てのエントリをリストアップします。

§２．ダウンロード

製造元のSysInternalsよりどうぞ。英文です。
下の方に"Download Autoruns and Autorunsc (*** KB)"というリンクがありますので、これをクリックするとダウンロードが開始されます
http://www.sysinternals.com/Utilities/Autoruns.html

インストールの必要はありません。ダウンロードしたファイルをダブルクリックするとAutorunsが起動します。

§３．使用方法

Autorunsはマルウエアであろうと正常なプログラムであろうと関係なく、全ての自動起動エントリをリストアップします。マルウェアの自動起動エント リを発見するにはリストアップされた全てのエントリについて、個々に検証する必要があります。 その後、マルウェアの自動起動エントリとマルウェア本体を削除することになります。
実際にAutorunsを起動させて見ると明らかなのですが、Autorunsがリストアップする自動起動エントリは、かなりの数に上ります。全てのエン トリの検証は大変です。そこで、マルウェアの自動起動エントリを含まないリスト（以降、擬似的クリーンリスト）を作成し、このリストと現在のリスト（マル ウェアの自動起動エントリを含む可能性のあるリスト）を比較し、増えているものだけを検証するという手法を用いることにします。

擬似的クリーンリストの作成方法は、§４．擬似的クリーンリス トの作成方法を参照してください。

以下は、Autorunsによるリストの作成方法です。

（Step_1）　C:\Autoruns フォルダを作成し、このフォルダに　Autoruns　をダウンロード。もしくは、ダウンロードしてある　Aurtorans　をこのフォルダに移動。
（Step_2）　セーフモードで再起動。
  • ・マルウェアを起動させないために必ずセーフモードで起動します。
  • ・多くのマルウェアはマルウェアが起動されるためのキーを監視しています。もしも削除されるような状態があれば、自動的にスター トアップキーを変更して、削除されることを妨害します。
  • ・マルウェアが削除を妨害するために設けた防御をかいくぐるためにセーフモードで起動します。
（Step_3）　C:\Autoruns\Autoruns.exe をダブルクリックして起動。
起動するとAutorunsは直ちに自動起動エントリの作成にかかります。

上図類似の画面になります。
以下はタブの説明です（上図の赤の囲みの部分）。

  • Logon　：　このエント リは、現在のユーザ、全てのユーザ、RunRegistryKey、標準アプリケーション起動場所などの標準的自動起動位置のスキャン結果を表示していま す。
  • Explorer　：　Explorer シェルエクステンション、ブラウザヘルパーオブジェクト、Explorerツールバー、アクティブなセットアップ実行、シェル実行のフックを閲覧するに は、このタブを選択します。
  • Internet Explorer　：　こ のエントリは、ブラウザヘルパーオブジェクト、インターネットエクスプローラのツールバーと拡張を示している。
  • Services　：　シス テムをブートしたとき、自動的に起動するために設定されている全てのWindowsサービスを表示しています。
  • Scheduled Tasks　：　タ スクスケジューラはブートやログオンの開始を設定します。
  • AppInit DLLs　：　こ のタブはアプリケーション初期化DLLとして登録されているDLLを示しています。
  • Boot Execute　：　ブー トプロセスの間の早期に稼働するネイティブのイメージ(Windowsイメージに対して)。
  • Image Hijacks　：　自 動起動を準備しているイメージ・ファイル実行オプションとコマンド。
  • Winlogon Notifications　：　ロ グオン時にWinlogon警告を登録しているDLLを示します。
  • Winsock Providers　：　登 録されているWinsockプロトコル表示します（Winsockサービスプロバイダを含む）。しばしば、マルウェアはそれ自身をWinsockサービス プロバイダとして登録します。その理由はそれらを削除するツールが殆ど無いためです。Autorunsはこれらをアンインストールできます。しかし、一時 停止にすることは出来ません。

（Step_4）　

赤の囲みが"Ready"になればスキャン終了です。
上図類似の画面で、日本語フォントを変更したい場合は"Font"をクリックします。何を選択すればいいのか解らない場合は　system　を選択してお いてください。
設定は
  • # Hide Signed Microsoft Entries
  • # Verify Code Signatures
にチェックがついていることを確認してください。
（Step_5）　リストに目を通し、削除したいファ イルを探します。ファイル名は"Image Path"列の下に表示されています。マルウェアは複数の始動エントリを作成するのが一般的です。同じファイルに関連付けられているエントリが一つ以上あ るかもしれません。
多くのマルウェアは公式のマイクロソフトのファイルと同じファイル名を使用することによって偽装します。そこで、マルウェアを削除するためにはマルウェア が偽装したファイルはどれなのか？？　マルウェアが存在しているフォルダはどれなのか？？　を明確にする必要があります。
この情報を得るために BleepingComputerが提供するスタートアップデータベース（英 文）、あるいはリストアップされたファイル名等をGoogleで検索してください。Autoruns.exeが表示したリストのファイルのうち擬似的ク リーンリストに存在しないものを一つ一つ検証してください。

コンテキストメニューの説明
検証するための情報の収集やエントリポイントに移動するにはコンテキストニューを利用すると便利です

  • ・リストアップされたエントリを選択し、右クリックするとコンテキストメニューが表示されます。
  • ・Jump to ; 起動エントリにジャンプします。例えば、起動エントリがレジストリであれば、レジストリエディタが起動し、選択しているエントリの起動場所が表示されま す。
  • ・Google ; 選択したエントリに関するGoogleの検索結果が表示されます。
  • ・Properties ; 選択したエントリのプロパティが表示されます。
  • ・Process Explorer ; SysInternalの提供するプロセスエクスプローラをインストールしておく必要があります。ファイルを起動しているDLL等の情報が表示されます。
    http://www.sysinternals.com/Utilities/ProcessExplorer.html
（Step_6）　削除する前に表示されているリスト を .txt 形式で保存します。
  • ・メニューの "File" から "Save as" をクリックし適当な名前を付けて保存します。
（Step_7）　マルウェアに関連付けられたエント リを発見したら削除します。
  • ・削除したいエントリの上で右クリックしDelete選択すれば、このスタートアップエントリはレジストリから削除されます。
  • ・上記操作でレジストリのエントリは削除されますのでマルウェアが開始されることはなくなりますが、マルウェアのファイルは残っ ています。（Step_8）に進みマルウェア本体を削除します
（Step_8）マルウェア本体の削除
  • ・隠しファイルの設定になっている場合が有りますから、下のリンクにしたがって全てのファイルを表示する設定に変更します。
    http://www-6.ibm.com/jp/domino04/pc/support/Sylphd02.nsf/jtechinfo/SYJ0-0295AD6
  • ・削除したいファイルの名前と場所はAutorunsの"ImagePath"列に表示されています。保存したテキストファイル で確認しつつ、マイコンピュータかExplorerから削除したいファイルに辿り着き削除します。マイコンピュータから検索を用いても辿り着けます。
  • ・複数のマルウェアのエントリが発見された場合は、Step_8とStep_9の操作を各エントリについて繰り返します。
（Step_10）　マルウェアのエントリとマルウェ ア本体のファイルの削除が終了したら、通常モードで再起動。以上で終了です。

§４．擬似的クリーンリストの作成方法

もしもリカバリできるのであれば、以下の操作を行ってください。
  • ・Autorunsをフロッピーディスクにコピー
  • ・PCを完全に終了
  • ・インターネット接続を切断（回線のコードを抜いてください）
  • ・リカバリ
  • ・直ちにセーフモードで起動
  • ・Autorunsをハードディスクにコピー
  • ・Autorunsを起動
  • ・"§３．使用方法"に従って自動起動エントリのリストを作成
  • ・インターネットに接続出来るようにする
  • ・WindowsUpDate等各種パッチをダウンロードしインストールします
  • ・セーフモードで起動
  • ・Autorunsを起動
  • ・"§３．使用方法"に従って自動起動エントリのリストを作成
  • ・パッチを当てた後で増えているエントリについて検証
  • ・マルウェアがあれば削除。マルウェア削除後の自動起動エントリリストを"擬似的クリーンリスト"として保存

リカバリ出来ない場合は以下に従ってください。

（Step_1）　ウィルス、トロイ、ワーム、ブラウ ザハイジャッカ、アドウェア、スパイウェア等の削除ツールは何でもいいわけではありません。以下のプログラムを使用します。

もしも、InternetExplorerでダウンロードできないのであれば、Opera（Web ブラウザ）をダウンロード・インストールした後これらのサイトにアクセスしてダウンロードしてください。

Windows XP/2000/2003　ユーザは必ず管理者権限（administrator）でログインした後、以下の操作を行ってください。

Norton等、アンチウィルスソフトを既に利用しているのであれば、Avastのダウンロードは必要ありません。利用しているアンチウィルスソフトを アップデートしてプログラム・定義ファイルとも最新のものにしてください。

ウィルス、ブラウザハイジャッカ及び類似のプログラムはシステムを害することを目的としています。これらのプログラムはアクティブであるときだけシステム を害することが出来ます。ところが、Windowsはアクティブであるプログラムの削除を許してくれません。そこで最初にすべきことは、これら悪意あるプ ログラムを停止させることです。そのための手法はタスクマネージャから停止させる。あるいはシステムをセーフモードで起動させることです。

マルウェア削除の操作に入る前に、すべきことが二つあります。
（１）システムの復元を無効化すること。
（２）上記アプリケーションをプログラム・定義ファイル共最新の状態にすること。これを行わないと最新の脅威を検出・削除できません。上記プログラムの大 部分のものは自動アップデートの機能を有しています。

解凍したHijackThisは、C:\HijackThis フォルダを作成し、このフォルダの下に移動させます。

上記アプリケーションは機能の重なり合うものがあります。それぞれ特徴がありますので、その特徴をよく理解してご利用ください。

システムをクリーンアップするための操作に入ります。

（Step_2）　Windows ME/XP　の方はシステムの復元を無効にします。
（Step_3）　セーフモードで起動します。通常は メーカーロゴ画面で"CTRL"キー、または"F8"キーを連打します。
（Step_4）　出来ればファイアーウォールをイン ストールしてください。
（Step_5）　以下の順にスキャンしてください。 Bazooka＞CWShredder＞Ad-aware＞Spybot s&d＞a-squaredFree　検出されたマルウェアは全て削除します。
（Step_6）　SpywareBlasterを実 行し、システムを防御します。
（Step_7）　通常モードで再起動。
（Step_8）　Avast（もしくは使用中のアン チウィルスソフト）でウィルススキャンします。検出されたマルウェアは全てChestへ。
（Step_9）Windows Updateを実行。セキュリティパッチは全てあてます。XPの方はSP2へアップデートします。
（Step_10）　HijackThis.exe　 を実行。
ここではHijackThisのO1セクションに見知らぬHostsファイルのエントリが無いかチェックします。
もしも、O1 - Hosts:193.***.***.***.** ???????.???.com　等リストアップされていれば、HijackThisからFixします。
  • ・開いている全てのアプリケーションを閉じて、HijackThis.exeをダブルクリックして起動。
  • ・表示画面から"Do a system scan and save a logfile"をクリックします。
  • ・スキャンが終了するとログファイルの表示場所を尋ねてきます。OKクリックしてください。HijackThis.exeのある フォルダにhijackthis.logと言うファイルが作成されています。
  • ・リストアップされた、O1 - Hostsのエントリにチェックを入れ"Fix"ボタンをクリックしてください。
（Step_11）　使用しているアンチウィルスソフ ト以外のオンラインスキャンを実行します。マルウェアが検出されれば検出リストに基づき手動削除します。

オンライン・ウィルススキャン・サイト一覧

（Step_12）　以下のサイトにアクセスし、スパ イウェア等のオンラインスキャンを行います。マルウェアが発見された場合は駆除してください。

スパイウェア オンライン・スキャン

（Step_13）　Windowsをセーフモードで 起動しAutorunsを実行しクリーンな自動起動エントリを採取します。

以上で"擬似的クリーンリスト"の作成終了です。