ad-Awareでスキャンできたのはいいんですが・・・・

質問

スパイウェア対策としてad-Awareを使用しています。
先日スキャンを実行したところ、Bargain Buddyという
スパイウェアが見つかりました。

駆除をしよう思いましたが、勉強がてら下記サイトで
詳細を調べ、レジストリやapuc.dllなどを調べましたが
該当するものをレジストリ、apuc.dllとも見つけることが
できませんでした。

ad-Awareのスキャンとは信頼性があるものなのでしょうか？

何かご存知の方、ぜひご教授お願いします。

参照サイト：http://www.shareedge.com/spywareguide/product_show.php?id=463

回答No.3

yoshi-thk · ベストアンサー

Ad-AwareSEについては、１３日付で改めて「SE1R123」を配信してます。
ですから、新しい「SE1R123」をインストールしてみてください。

LAVASOFT News
SE1R123 13.09.2006 Is Now Available, New Definition file for Ad-Aware SE
http://www.lavasoftnews.com/cgi-bin/mojo/mojo.cgi?flavor=archive&list=dfnotify&id=20060913020538

それで何も検出されなければ、一時的なトラブルでしょう。
以前にも同じバージョンで翌日更新すると言うことが度々ありました。
信頼できないと考えているようですが、信頼できるプログラムですので、利用してください。

回答No.4

doki2

「Ad-aware SE」でどのような情報が検出されたのかわかりませんので、なんともいえませんが、「BargainBuddy」は非常に古くからあるアドウエアで、現在に至るまで、非常に沢山のバージョンがあります。

「APUC.DLL」を使っているケースの「HijackThis」での解析例をネットで検索してみました。

参考：HijackThisによるログの取得と、不正エントリの修正(fix)方法
http://www.higaitaisaku.com/hijackthis.html

1.「Windows 98 SE」で「C:\PROGRAM FILES\BARGAIN BUDDY\BIN2」フォルダが使われる例

O2 - BHO: Url Catcher - {CE31A1F7-3D90-4874-8FBE-A5D97F8BC8F1} - C:\PROGRAM FILES\BARGAIN BUDDY\BIN2\APUC.DLL
http://www.castlecops.com/p211059-malware_eZula_etc_HJT_log.html

2.「Windows 98SE」で「C:\WINDOWS\SYSTEM」フォルダが使われる例

O2 - BHO: Url Catcher - {CE31A1F7-3D90-4874-8FBE-A5D97F8BC8F1} - C:\WINDOWS\SYSTEM\APUC.DLL
http://www.higaitaisaku.com/kakolog/cbbs.cgi?mode=al2&namber=38996&rev=1&no=4&KLOG=12

3.「Windows ME」で「C:\WINDOWS\SYSTEM」フォルダが使われる例

O2 - BHO: Url Catcher - {CE31A1F7-3D90-4874-8FBE-A5D97F8BC8F1} - C:\WINDOWS\SYSTEM\APUC.DLL
http://www.geekstogo.com/forum/lofiversion/index.php/t2723.html

4.「Windows XP」で「C:\WINDOWS\System32」フォルダが使われる例
O2 - BHO: Url Catcher - {CE31A1F7-3D90-4874-8FBE-A5D97F8BC8F1} - C:\WINDOWS\System32\apuc.dll
http://www.castlecops.com/modules.php?name=Forums&file=viewtopic&t=68227&start=0&postdays=0&postorder=asc&highlight=

以上いずれも、「BHO」が使われていて、OSのバージョンや感染時期によってファイルの場所が微妙に異なっています。

一方シェアエッジさんの記事ですが、SpywareGuideの古い記事をそのまま翻訳されたようで、いくつか問題がありそうです。

http://www.spywareguide.com/spydet_463_bargainbuddy.html
http://www.shareedge.com/spywareguide/product_show.php?id=463

SpywareGuideといえば、SpywareInfo、Castlecops、Spywarewarrior、TomCoyote等と並んで、一時期、スパイウエア関連では有力な情報提供サイトだったんですが、ここ数年、あまり情報を聞くことがありません。

かなり以前の「BargainBuddy」の駆除情報が提供されているのではないかという疑問がわいてきます。

疑問、その１　

　「cd "%WinDir%\System"」

　少なくともWindows XP では"%WinDir%\System"へフォルダを移動しても何の意味もありません。

　「regsvr32」は"%WinDir%\System32"に保存されていますし、パスが通っているのでフォルダを移動する必要もありません。

　Windows98/SEでの操作を継承してしまった可能性があります。

疑問、その２　

　「regsvr32 /u "C:\Program Files\Bargain Buddy\bin2\apuc.dll"」

　前述のように、ほとんどの場合、BHOが使われていて、BHOの登録にはレジストリが使われます。

　「regsvr32 /u 」でも解除できないことはありませんが、いささか乱暴ではないかと思います。

　CLSIDを参照して下記レジストリ等を修正するのが正しいのではないかと思います。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{CLSID}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{CLSID}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{CLSID}

　「regsvr32 /u 」で「BargainBuddy」を駆除したのち、他のアンティスパイウエアソフトでスキャンすると、レジストリ情報が残っているのを見つけて「BargainBuddy」を検出してしまうと思います。

疑問、その３　

>「HKEY_LOCAL_MACHINE\\Software\Microsoft\Windows\CurrentVersion\Run は、Bargain Buddyによって参照されています。」

　ネットで検索したところ、このレジストリキーを使った例は見つかりませんでした。

　「BHO」では、このレジストリキーを使う必要がありませんので「BargainBuddy」の古いバージョンについての記事かもしれません。

　何か別のプログラムが呼び出されているのであれば、プログラム名を明記しないと「Bargain Buddyによって参照されています。」では意味がわかりません。

>ad-Awareのスキャンとは信頼性があるものなのでしょうか？

下記サイトでの評価を見てください。
http://www.download.com/3000-2144-10045910.html?part=69274&subj=dlpage&tag=button

Editor's rating：五つ星
Average user rating：四つ星超
Downloads 213,382,164

「Spybot S&D」と並んで、スパイウエアが問題視され始めた時期に、スパイウエア撲滅に立ち上がった先駆者的なソフトです。

シェアエッジさんのサイトはスパイウエア情報を日本語で提供してくれる、非常にありがたい、そして、貴重なサイトです。

しかし、今回の質問例のようにシェアエッジさんの記事を根拠に「Ad-aware SE」の検出結果に疑念を抱かれることがあるようでは問題です。

早急に、記事の撤回または修正が必要ではないかと思います。

なお、シェアエッジさんの情報提供元、SpywareGuide.comは２００５年春、FaceTime Communicationsという会社に買収されたそうです。

回答No.2

kontill

僕のPCも同じ症状で困っています。
いろんなサイトでBargain Buddyの駆除方法を探して試してみたのですが該当するレジストリやapuc.dllすら見つけることが出来ませんでした。
昨日ad-Awareのアップデートを行ってからこの症状になってしまったのでたぶんそのせいではないかと思っています。
解決はできませんが少しでも安心していただけたら、うれしいです。

回答No.1

lesson99

>Bargain Buddy

本当にこの名前ならシマンテックにも情報と駆除ツールがあります。

http://www.symantec.com/region/jp/avcenter/venc/data/jp-adware.bargainbuddy.html
Symantec Security Response - Adware.BargainBuddy

apuc.dll以外に「Bargains.exe」というファイルがあったらこれと見ていいでしょう。