Hostsファイルの変更による問題

質問

• ホストファイルを変更していると、ネット詐欺（ファーミング）の可能性があります。
• Windows Defenderで警告が表示され、再起動が必要になる問題が発生しています。
• 更新プログラムのインストール後に問題が発生し、解決方法がわかりません。

回答No.3

Niwatori-Sanpo

＞SettingsModifire:Win32/PossibleHostsFileHijack　　中

　そういえばオイラの WinXP-Prp SP3 マシンでも Windows Defenderが
昨夜同じようなメッセージを表示してきたので検出されたもの？を削除
したことを思い出しました。
　メインのセキュリティソフトは McAffeeですが、そのときに再起動は
要求されなかったなかったような気がします。
　しかしウィルスバスターの入っている Vista(A)SP1マシンで併用して
いる同じ Windows Defender では何も検知されませんでした。

　XPマシンの方では、念のために Spybot S&D の最新パターンで検索を
かけましたが、特に問題はなかったようです。

　因みに、リンクされていたマイクロソフト社の情報を機械翻訳すると
以下の如き文章になりました。
----------------------------------------------------------------
説明:
このプログラムは、望ましくない動作をする可能性があります。
file:
C:\WINDOWS\system32\drivers\etc\hosts

トロイです。
Win32.Qhost(Kaspersky)
Qhosts.apd(マカフィー)
要約
Win32/PossibleHostsFileHijackの検知は指標です、あなたのHOSTSファイルは悪意があるか、潜在的に望まれないソフトウェアによって修正されたかもしれません。
HOSTSファイルへの修正は、あるインターネット・ドメインへのアクセスを転送する場合があるか否定されます。
これは、コンピューターがあるウェブサイトへ接続するのを防ぐかもしれません。
徴候
下記のような状況はあなたのHOSTSファイルがあなたの同意なしで修正されたというサインかもしれません:
*あなたのコンピューターを安全にしておくのを支援するプログラムを提供するサイトのように、運転中であると信じる、あるウェブサイトにアクセスすることができません。
*あなたのブラウザは、適切で、入ったウェブ・アドレスを与えられるように見えないウェブサイトへ接続します。

分析
予防回復さらに次のように知られていたトロイです。
Win32.Qhost(Kaspersky)
Qhosts.apd(マカフィー)
要約
Win32/PossibleHostsFileHijackの検知は指標です、あなたのHOSTSファイルは悪意があるか、潜在的に望まれないソフトウェアによって修正されたかもしれません。
HOSTSファイルへの修正は、あるインターネット・ドメインへのアクセスを転送するか否定します。
これは、コンピューターがあるウェブサイトへ接続するのを防ぐかもしれません。
徴候
下記のような状況はあなたのHOSTSファイルがあなたの同意なしで修正されたというサインかもしれません:
*あなたのコンピューターを安全にしておくのを支援するプログラムを提供するサイトのようなオペレーション中であると信じる、あるウェブサイトにアクセスすることができません。
*あなたのブラウザーは、適切で、入ったウェブ・アドレスを与えられるように見えないウェブサイトへ接続します。
技術情報
Win32/PossibleHostsFileHijackは、HOSTSファイルが悪意があるか、潜在的に望まれないソフトウェアによって修正されたかもしれないことを示します。
HOSTSファイルは<システムフォルダ>￥ドライバ￥などに位置します
￥ホスト、あるいは使用されているウインドウズ・オペレーティング・システムに依存するウインドウズ・フォルダー中で。ローカルのHOSTSファイルは、IPアドレスへのウェブサイトURLのDNS解決を無視します。
悪意のあるソフトウェアは、DNSサーバーを回避し、かつ異なるIPアドレスへのURLを解決するためにHOSTSファイルへの修正を行なうかもしれません。
これは、あなたのコンピューターがあなたのコンピューターを安全にしておくのを支援するプログラムを提供するサイトのようなあるウェブサイトにアクセスするのを防ぐかもしれません。
----------------------------------------------------------------
　（↑フォルダ名までむりやり日本語にしているので結構笑える）

　結局、今回の件のホストファイル改変が安全なものなのか危険なもの
なのかは何とも言えないように読み取れるのですが、よく分かりません。

　トロイ(？)を削除した後の当該 hostsファイルをテキストエディタで
開いてみると、全ての行で「＃」記号のコメント行になっていました。
　ファイルの更新日時が古いので、初期設定のファイルに戻っているの
かも知れません。

　因みに、Vista マシンの方の hostsファイルは、最終行の…、
------------------------------
::1 localhost
------------------------------
という項目だけが有効になっているようです。

一般的には…、
------------------------------
127.0.0.1 localhost
------------------------------
という行だけは活かしているらしいのですが、有名な「アダルトサイト
被害対策の部屋」の某解説によると、hosts ファイルが存在しなくても
通常の PC の動作には問題がないということなので、我が Vista PC の
例がどういう意味になるのかよく分かりません。
　単なるダミーでは無いようです。

　さて、オイラの場合は深く考えもせず速攻で削除してしまいましたが
果たしてそれで良かったのどうかは謎です。
　まぁ、その XP マシンの挙動にも特に変な動きは見られないようだし
ローカルエリア接続の設定では DNSを手動設定でルータのIPに固定して
いるしということで、現在は様子見というところです。
　ひとつ気になることは、当該マシンにおいて LAN内に DNSサーバーを
立てるときに不具合が出るかも知れないということでしょうか。
　現在は運用していないので、検証するのはメンドいです。

　と言う訳で、質問者さんの場合、問題のスパイウェア対策ソフトたる
Windows Defender以外のセキュリティソフトが何なのか分からないので
何がアレなんですが、hosts ファイルを改変する何らかのプログラムが
常駐することに原因があるような気がします。

　一度 C:\WINDOWS\system32\drivers\etcの中にある hostsファイルを
メモ帳などのテキストエディタで開いてみては如何でしょう？
　自機の IPアドレスを指定する「127.0.0.1」以外が登録されていたら
ちょっとヤバいかも知れません。
　とりあえず、他社のオンラインスキャンによる検索をお勧めします。

　F-Secure オンラインスキャナ（Kasperskyと同じエンジンらしい）
http://www.f-secure.co.jp/v-descs/disinfestation.html

　Symantec Security Check（ノートン）
http://security.symantec.com/sscv6/home.asp?langid=jp&venid=sym&plfid=24&pkj=MIGJRWLPITSMJUIVFHP

　McAfee FreeScan
http://security.biglobe.ne.jp/mfs/McFreeScan.html?checkdate=2009125&version=2,2,0,5505

　Trend Micro 無料ウイルスチェック（ウィルスバスター）
http://www.trendflexsecurity.jp/security_solutions/housecall_free_scan.php?Homeclick=threat_onlinescan

Panda ActiveScan（スパイウェアの検出に強いらしい）
http://www.pandasoftware.jp/activescan/index.html

参考URL：

http://www.higaitaisaku.com/hosts.html

お礼

Niwatori-Sanpoさま、本当にありがとうございました。

結果、No6さまのご回答のとおりであったようで、なんとか解決に至りました。

Niwatori-Sanpoさまをはじめ、他のみなさまのご回答にどれ一つとして無駄・無意味な内容はありません。
すべてが為になり、勉強にもなりました。
感謝しております。

ただ、このサイトの規定上全員の方にいくらかでもポイントを分けることも不可で、
また感謝の意を形に示さずにはいかなく、だけども順番もできれば付けたくないということで、

結果として、解決に直に導いてくだされましたNo6さまへとポイントを付けさせていただきました。

本当に心からみなさまの善良な心遣いに感謝しております。
どうかご容赦いただけることを願います。

たった一日でこれだけの回答をいただき、
みなさまの暖かい心遣いに触れて、改めて私も今度は（自分の得意分野ででも）少しでも他の困ってる方の手助けが出来たらと、心に思う次第であります。

感謝、です。

補足

Niwatori-Sanpoさま、ご回答ありがとうございます。

ただ、私には載せていただいた、ＭＳ社の内容は少々難しすぎるところです。
Niwatori-Sanpoさまの、ご経験談のお話も同様に難しいです（情けないです、申し訳ありません）

＞Windows Defender以外のセキュリティソフトが何なのか分からないので
何がアレなんですが、

ごめんなさい、書き忘れました。
セキュリティソフトは「ウイルスセキュリティＺＥＲＯ］で、一応常時のアップデートは怠りありません。

＞一度 C:\WINDOWS\system32\drivers\etcの中にある hostsファイルを
メモ帳などのテキストエディタで開いてみては如何でしょう？

これは、（たぶん）できました。
以下に転写しますので、御覧いただきたく存じます（一番下に「127.0．0.1」は確認されますが、ごめんなさい、私にはサッパリです）

127.0.0.1 ininja
# Copyright (c) 1993-1999 Microsoft Corp.
#
# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
#
# This file contains the mappings of IP addresses to host names. Each
# entry should be kept on an individual line. The IP address should
# be placed in the first column followed by the corresponding host name.
# The IP address and the host name should be separated by at least one
# space.
#
# Additionally, comments (such as these) may be inserted on individual
# lines or following the machine name denoted by a '#' symbol.
#
# For example:
#
# 102.54.94.97 rhino.acme.com # source server
# 38.25.63.10 x.acme.com # x client host

127.0.0.1 localhost

よろしければ、ご見解いただけたらと願います。
どうぞ重ねて、よろしくお願いいたします。

参考ＵＲＬも拝見いたしました。
難しいですが勉強になります、と同時に不安にもなります。