Aｃtual Spy 2.8 について

質問

最近Aｃtual Spy 2.8がアンチスパイソフトで検出されます。
隔離した後フルスキャンしても何も検出されませんが、
次の日はまた検出されます。（再起動後かもしれません。）
場所は、
hkey_local_machine \microsoft\windows\currentversion\policies\explorer\run
です。

本体がどこにあるのか？又はどこかのサイトで貰うのか？
どの程度有害なのか教えて下さい。
よろしくお願いします。

回答No.8

doki2 · ベストアンサー

調べてみました・・・

最近、例のレジストリキーが偽アンティスパイウエアソフト等の「騙し商法」によく使われるようになっていることがわかりました。

Troj/Zlob-RJ
http://www.sophos.com/security/analyses/trojzlobrj.html

Trojan.Zlob.D
http://www.symantec.com/region/jp/avcenter/venc/data/jp-trojan.zlob.d.html

TROJ_ZLOB.ZQ
http://www.trendmicro.com.au/consumer/vinfo/encyclopedia.php?LYstr=VMAINDATA&vNav=2&VName=TROJ_ZLOB.ZQ

しかも、このキーは「HijackThis」では「O4」で検出されません。

「HijackThis」といえばスパイウエアの検出に世界中のフォーラムで使われているツールです。

「HijackThis」がスキャン対象にしていないキーを使う例が、今後、増えるものと思われます。

☆ソフォスのフォーラムで、現在進行中の例です。

http://www.sophos.com/security/analyses/trojzlobrj.html

Running Processで「Ztob」系のファイルが４つ検出されているんですが、回答者は気がついていないようです。

C:\WINDOWS\System32\ishost.exe
C:\WINDOWS\System32\isnotify.exe
C:\WINDOWS\System32\issearch.exe
C:\WINDOWS\System32\ismon.exe

☆Silent Runner　を使って検出した例です。

http://www.lavasoftsupport.com/index.php?showtopic=1237&pid=6457&mode=threaded&show=&st=&#entry6457

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\ {++}
"ishost.exe" = "ishost.exe" [null data]
"kernel32.dll" = "C:\WINDOWS\System32\isnotify.exe" [file not found]
"issearch.exe" = "issearch.exe" [null data]

☆このキーに登録されて悪用されるファイル

mssearchnet.exe
mscornet.exe
nvctrl.exe
dcomcfg.exe

☆Noahdfearさんのページにこのキーの悪用例のリストがあります。

http://noahdfear.geekstogo.com/keys.htm

ishost.exe
issearch.exe
kernel32.dll
kernel32.dll
notepad.exe
notepad2.exe
nvctrl.exe
paint.exe
wininet.dll
winlogon.exe

ということで、marmeeさんのおかげで私も少し賢くなりました。

ありがとうございました。

お礼

何度もお手数かけます。
いろいろ調べて下さってありがとうございます。

補足

リンク見たらこのキーに登録される悪質なものが結構あるんですね。
時々チェックしないといけませんね。
でもペストパトロールが毎回検出するので大丈夫かな。（空っぽでも検出するから・・・(^^)）
ただ悪意のあるものがあると、除外出来ませんね。