今月のWindowsアップデートがあっさり通った。..ということは、それこそネットに繋いでも、概ね見聞のみの利用者にとって他のWindowsサービスの通信許可はほぼ無用であることが判明。ブラウザーがIEに、チャットに、TV電話に、データドライブとして双方向通信なんて使い方の人はまぁそういうわけにも行かないと思うが、とりあえず怪しいと思ったら、許可を与えずに塞いだままでも良さげある。ATOKユーザーデータマネージャー(ATOK28IB.EXE)の三重重複が発生。InstallerがCPU使用率50%を示す。Installer共々気持ち悪いので、モグラ叩きするが、ゾンビ復活しまくる。何気に、ATOK28IB.EXEのファイル状況を確認したところCドライブ内に、一つしか検索ヒットしない結果を経た。..つまり、今回のアップデートでその辺りのOSの穴がふさがったのだと思われる。(是は評価できそうだが..)OS側がファイルとして検出しないのなら、木馬とて利用のしようがない。結果的に、Windowsのインストールサービスの挙動はなんだったのだろうか?除去ディフェンスか?それとも攻撃ディフェンスか?木馬の足掻きだったのか?..その辺ちっとも分からんぞ。それにしても「テレメトリ関連のKBファイルはやっぱり当てといた方が良いのかな?」..当てといた方が、良いような気がするのだがとりあえず、来月のアップデートまで様子見である。アップデートの度に、木馬の振る舞いらしき挙動が続くなら、当てておいても同じだ。それで起きないとしたら、意味のあるパッチということになる。【経過】怪しかったrundll32.exe記稿.2016/03/02ウイルスセキュリティZEROの不正侵入対策の中にメッセージ画面を出すというのがあって、オフだったのでオンにしたところ..rundll32.exeが目立ってネットアクセスを求めているのが見えるようになった。通常は駐屯していないという情報を得た。..つまりウイルス、マルウェアの振る舞い、ということになる。削れば良いだけとあった。起動時の駐屯記録(タスクバー)をリセットしてから再起動したところ素直なことに、Atok絡みのファイル名が再び重複した。(背乗りの様相に見える)よくよく考えてみると、Atokはサインインの画面の段階で既に立ち上がっているからバックグランドに居るわけがない。いうことでこいつもマルウェアということになる。..でも、起動時調整はできそうにないので、起動後に手動で落とすしかないようだ。なると..バックグランドに名を連ねているIMEファイルも怪しいことになるがまぁそこまでやらずともいままでCPU使用率、常時5%ぐらいだったのが1%程度に落ち着いた様子。あと使用していないサウンドドライバー絡みの駐屯起動を停止したらメモリー使用率、常時1.1MBだったのが900MB前後に下がった。それにしても一体どれだけの引き出しを用意しているというのか?どう見たって、本体がGWXの中に潜んでいるご様子なので、キャンペーンが終わるまで、再インストールしても同じことのようだ。Detectorがネットアクセスを要求してくるのは、どう考えたって怪しい。あと、目立つのはwermgr.exeのネットアクセスだが、判断に価する情報が無いのでよく分からない。CPU使用率が、大幅に上昇するばかりになった。Cドライブへのアクセスが頻繁になった。書いているのやら..読んでいるのやら..いつまで経ってもそれに終わりが見えない様子に根負けしWindowsサービスのホストプロセスだけ通信許可を解放した。(ホストプロセス周りにRundll32というのが2つもあるのだが、そいつは不許可にしてある)アクセスにはきっと表通りと裏通りがあるはずだと思ったものの..それから後で、外部からの攻撃を受けた。俺はウイルスセキュリティZEROを使っているがとあるアンチウイルスで検索した結果、libglesv2.dllがウイルスだとの指摘があった。(アプリのシンボルマークは覚えているのだが、その出来すぎに怪しさを覚え即行削除し記録せず。)(今から考えると控えておけばよかった..確かブルーカラーの楯..ってどこにでもあるし)で、そのibglesv2.dllを削っていると何がどうなるかというとホーム画面を開く度にエラー窓が音を鳴らして立ち上がる。..俺が立ち上げていないのに、勝手にそれが発生するなんてのは、間違いなく攻撃されたのだ。libglesv2.dllの存在それよりもウイルスセキュリティZEROは、もはやファイアーオールとして失格ということになる。タスクバー上のカラーに色の変化は起こりません。これじゃ、赤チンにもなりませんね。信号が手動に回せるというのは、それはそれでこちらから通信遮断すればいいということです。試し打ちの攻撃でしょう。そのカラクリは、あちらがどうこうできるという中身にありません。ウインドウズがエラーを吐いちゃうんですからね。仮に本格的な攻撃を受けたとしても、ケーブルを抜けばとりあえずは凌げます。(そのぐらい、躊躇せずにやりますよ)でも、今のところそこまでの感じはありません。理由からしても見当たりません。..あったとしたら、そりゃケーブル会社の検討から考えるしかない。..それと、ブログからログを拾われるほどの標的という妄想がビンゴなら..ブログサイトも変更するしかないでしょ。アドレスの変更をすればいいだけだけど。(そのぐらい、躊躇せずにやりますよ。検索のヒット率なんかどうでもいいですから)(それならそれで、却ってブログを一つにまとめるのに好都合と諦めがつきます)..それでも攻撃される感覚に特定のリズムを感じるならそれこそ、当方の記事伝いにやってくる読者またはSeesaaのどちらかに悪意を持った存在がという事を想定せざるを得ないということになりますが..単に木馬への定期巡回チェックかと。こないだの再起動時に何かをインストールされたという件ですがどうもAtok周りの乗っ取り工作だったようです。数として、それと同じ量のおかしなファイルがありました。Identityが停止していた。思えばデフラグツールには、再起動時の作業の登録をOS側に連絡できる..という手法がある。圧縮フォルダーの実際はZipファイルである。検索に引っかからないと見つけることができない。ファイル名が同一だと検索に引っかかるけど、まったく違っているとほぼ認識不能に置かれる。..本体がそこに位置しては、見た目ではまったく認知不能。(まさに土遁の術)仮に、exeファイルの下に、ツリーにして隠せるとしたらまったく確認できない。(どのアンチウイルスだって、そんなんではお手上げせざるを得ないだろう。Telemetryが気になってググったらテレメトリ関連のKBファイルが二つほどパッチしてあるのを知った。KB3080149が該当していた)そこで削除してみたところ、いつの間にか復活していたKB3035583を削除した時には再起動を促されなかったのに、KB3075249の時には再起動を要求してきた。..とりあえず保留して削除作業を続けたところそれじゃ再起動するかと入った途端に「自動更新のダウンロードとインストールを選択する」にしてあるにもかかわらず得体の知れない何かを断りもなくインストールし始めた。二回目の再起動時に何かをインストールし始め、..合計で10を越す何かがインストールされた。インストール内容を一覧から確認しても、本日付けでインストールされたパッチは見当たらない。思うに、Windows8.1Update1以前の分岐上の改善ファイルだとしても怪しすぎる。インストールしないで放置しておくと重要から消えたりするからな。「また木馬の引っ越しなのか..」とも思ったが、その時は得に異常は感じられなかった。それでも、翌日になって、駐屯設定にしてあったEmEditorの挙動がおかしくなった。考えてみれば、普通に起動してもタスクバーには登録されないので起動時の立ち上げを不可にした。(駐屯許可のような足跡を逐一消すのに再起動をする必要があるのは実に手間である:参考)起動後、即行でタスクマネージャーを立ち上げてアプリの振る舞いを見ていたら..Atokの挙動がひたすらに怪しい。削除したのが正常復活した..インストールし直すしかなさそうだ。..こうなると、タスクマネージャーに足跡が残ってしまう更新しないアプリはもはや避けるしかない。根本的な問題として、Microsoft系の通信許可が一体どれ程必要かを確認せざるを得ないということで、マイクロソフト関連の通信を全不許可にして使用してみることにした。..アップデートが難なく通ったら、塞いでしまっても問題ないことになる。..OSを再インストールする前に、最優先で確認しておくべきでもある。記稿.2016/02/22AdobeARM.exeが不気味に思えてきてアクロバットリーダーも合わせて全部消しちまった。..だってこいつは、更新されてもいないしインストール項目にも無いのにずっと起動してんだぜ。最近気になっているのはATOKユーザーデータマネージャーの挙動である。同じファイル名のそれがずらりと4〜5個も起動中になるので気持ち悪い。(タスクマネージャーから消せる段階にあるが、どれが本物か見分けられないので再起動..)これはなんなんだ。最近のウイルスは、削除しても再インストールしないと削除できないアプリ宜しくにも再インストール絡みの設定を織り込んで生き残ろうと、とてもしぶとい。..削除できたつもりでも、再起動から復活してくる。それの絡みなんじゃないかと思われる。脆弱性を抱えるアプリを一度に攻撃するんじゃなくてストックとして素知らぬふりをしているだけで、実は、全部いつでも刺せる状態に居るようだ。..もはや駐屯型アプリを余裕こいてなんか利用できねぇっす。駐屯型アプリの登録状況もアンチウイルスで監視できるようにと思う所だが..どうせ赤チンだからな、多くを期待するだけ無駄というものか。..再インストールも秒読み段階かな。【ウイルス】突然のホームグループアイコンは怪しい記稿.2016/02/18OSアップデートなんかするとたまにデスクトップ画面にホームグループのアイコンが現れたりする。本日、エロいサイトをクリックした後に発疹した。これは明らかに攻撃だと思う。裏路地には入らない方が身の為かも知れないな。