Aｃtual Spy 2.8 について

Question

最近Aｃtual Spy 2.8がアンチスパイソフトで検出されます。
隔離した後フルスキャンしても何も検出されませんが、
次の日はまた検出されます。（再起動後かもしれません。）
場所は、
hkey_local_machine \microsoft\windows\currentversion\policies\explorer\run
です。

本体がどこにあるのか？又はどこかのサイトで貰うのか？
どの程度有害なのか教えて下さい。
よろしくお願いします。

doki2 · Accepted Answer

調べてみました・・・

最近、例のレジストリキーが偽アンティスパイウエアソフト等の「騙し商法」によく使われるようになっていることがわかりました。

Troj/Zlob-RJ 
http://www.sophos.com/security/analyses/trojzlobrj.html

Trojan.Zlob.D
http://www.symantec.com/region/jp/avcenter/venc/data/jp-trojan.zlob.d.html

TROJ_ZLOB.ZQ
http://www.trendmicro.com.au/consumer/vinfo/encyclopedia.php?LYstr=VMAINDATA&vNav=2&VName=TROJ_ZLOB.ZQ

しかも、このキーは「HijackThis」では「O4」で検出されません。

「HijackThis」といえばスパイウエアの検出に世界中のフォーラムで使われているツールです。

「HijackThis」がスキャン対象にしていないキーを使う例が、今後、増えるものと思われます。

☆ソフォスのフォーラムで、現在進行中の例です。

http://www.sophos.com/security/analyses/trojzlobrj.html

Running Processで「Ztob」系のファイルが４つ検出されているんですが、回答者は気がついていないようです。

C:\WINDOWS\System32\ishost.exe
C:\WINDOWS\System32\isnotify.exe
C:\WINDOWS\System32\issearch.exe
C:\WINDOWS\System32\ismon.exe

☆Silent Runner　を使って検出した例です。

http://www.lavasoftsupport.com/index.php?showtopic=1237&pid=6457&mode=threaded&show=&st=&#entry6457

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\ {++}
"ishost.exe" = "ishost.exe" [null data]
"kernel32.dll" = "C:\WINDOWS\System32\isnotify.exe" [file not found]
"issearch.exe" = "issearch.exe" [null data]

☆このキーに登録されて悪用されるファイル

mssearchnet.exe
mscornet.exe
nvctrl.exe
dcomcfg.exe

☆Noahdfearさんのページにこのキーの悪用例のリストがあります。

http://noahdfear.geekstogo.com/keys.htm

ishost.exe
issearch.exe
kernel32.dll
kernel32.dll
notepad.exe
notepad2.exe
nvctrl.exe
paint.exe
wininet.dll
winlogon.exe

ということで、marmeeさんのおかげで私も少し賢くなりました。

ありがとうございました。

sapoten · Answer

＃７です。なんでしょうねぇ～、、、

該当キーはあるけど、中身が無い(ように見える)。けど、毎回再起動後にキーが出来る。
となると、「値が隠蔽されている?」とか考えちゃいます。
「Aｃtual Spy 2.8 か、どうか」ではなく、「何かしら居るのかな?」などと。
「キーは残っているけど。で、他のキーに関しては、怪しいものは隠れているのか、または、他に怪しげなキーは作られないのか」とか疑問に思いつつ。

いっぺん、下記サイトで調査してもらっては?　「案ずるより産むが易し」かな、と。
http://www.higaitaisaku.com/index.html
超有名どころの掲示板、アダ被の「PCトラブル質問掲示板 」。
良く知りませんが、＃８様には向こうでも会えるかもです。
あっちの掲示板の過去ログをチラリと見て、雰囲気と手順を知っておいてください。

(すみませんが、＃７の「"1"にしても」は"0"に戻しといて下さい。または、削除でも良いと思います。削除して、また出来ているようなら、こっちに関係あるかもしれないですけど)

sapoten · Answer

何でしょうねぇ～^ ^; ＃５です。
ちなみに、その
"NoCDBurning"=dword:00000000
って、
"NoCDBurning"=dword:00000001
にしても、再起動後は、元に戻ってます?

(ちなみに、誤検出かどうかで言えば、そのキーだけで Aｃtual Spy 2.8　と判断したCAの検出結果は、宜しくないと思います。けれど、現状では、「じゃあ、なんで、このキーが毎回出来るわけ?」って答えが出て来てないんです^ ^; あと、＃５でも述べましたが、OSとPCの型番は今後も伏せておくのでしょうか? )

doki2 · Answer

試してみました。

例のレジストリキーを削除　＞　パソコンを再起動

例のレジストリキーはありませんでした。

下記、試して見てください。

１．インターネットの回線を切断。
２．ペストパトロールをアンインストール
３．例のレジストリキーを削除
４．パソコンを再起動

その結果、例のレジストリキーが現れなければペストパトロールがおかしいということになります。

これでも、例のレジストリキーが現れるようであれば、スタートアップに登録されている他のプログラムがこのキーを登録していることになります。

「Autoruns」を使って調べてみてください。

「Autoruns V 8.42」詳解
http://fine.tok2.com/home/heto2/0401Autoruns/mokuji.htm

sapoten · Answer

＃３です。

該当するものが何も無いことは、心配する事柄ではないと思います。

今日は該当キーを既に隔離(修正、または、削除)していらっしゃるのでしょうから、明日また見てください。
または「バックアップ機能」や「リカバリー機能」ようなものがあり、隔離したものを元に戻せるなら、それでも良いです。

該当キーを利用するのは、そのソフトだけではありませんが、CAはこのキーだけを理由に Aｃtual Spy 2.8 と判断しているのだと思います。
このキーを利用しているソフトが、「ほんとうに Aｃtual Spy 2.8 なのか?」、異なる場合は、「そのソフトは安全なものか?」を判断して下さい。

該当キーの「データ」に記されているファイル名が何か確認して下さい。
そのファイル名を元に、該当ファイルを探し、このファイルの存在するフォルダ名や、右クリックメニューの「プロパティ」→「バージョン情報」などから、判断して下さい。見に覚えのあるソフトなら、それだけで十分だと思います。
これだけでは不安な場合、そのソフトに常駐機能の「オン・オフ」があるなら、常駐をオフにして、該当キーをチェックしてみて下さい。

自身で判断できない場合は、該当キーをエクスポートし、「補足」欄などに貼り付けてください。
(エクスポートしたファイルの右クリックメニューから「編集」で開けます)
(これを元に調査してくれる回答者がいるかもしれませんが、OSやPCの型番を提示するなどの配慮はあるべきと思います)

安全なものであった場合は、「Aｃtual Spy 2.8」とする検出結果は誤検出と判断し、以後、同様の検出結果であれば気にする必要はないと思います。
検出されるレジストリキーが増えた場合は、都度チェックして下さい。

doki2 · Answer

＊長いレジストリキーの検索には下記のツールが便利です。

☆コピペで楽々　～レジストリジャンプ～

http://fine.tok2.com/home/heto2/0500MiniTool/0501RegJumper/001.htm

>hkey_local_machine \microsoft\windows\currentversion\policies\explorer\run

　正しくは下記のキーのことだろうと思います。
　HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer\run

　このキーにプログラムを登録してパソコンの起動時にプログラムを自動実行させることができますが、通常はこのキーでなく下記のキーが使われます。

　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

　レジストリエディターで下記のキーを開いて、プログラムが登録されているかどうか調べてみてください。

　おそらく何も書き込まれていないと思います。
　HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer\run

　多分、このキーを削除すればウィルス騒ぎは収まると思います。

☆念には念を入れて・・・
　
　レジストリエディターでこのキーを選択して右クリック、メニューの「エキスポート」を選択してデスクトップにでも保存しておいてしばらく様子を見てください。

　もし、異常があればバックアップしたレジストリファイルを右クリックして「結合」を選択すれば元通りになります。

☆内緒の話

　「HijackThis」に表示されない「Run」設定ということで少しばかり血が騒ぎました。

　さては「Rootkit」？？？　こうなると実際に「Actual Spy」をインストールして調べるしかありません。

　しかし、「BlackLight」「RootkitRevealer」「RootKit Hook Analyzer」で調べてもそれらしい形跡はありません。

　「Actual Spy」を弄り回しているうちに、メニューの「Settings」「Startup Option」で「Start at the system loading」にチェックを入れると例のキーが追加され、「application=C:\Program Files\ASMonitor\ASMonitor.exe」が登録されることがわかりました。

　ＣＡはこのキーを検出したようですが、トレンドマイクロ、シマンテックはこのキーへの登録に気がついていないようです。

　「HijackThis」でもRunning processesには表示されますが、「O4」には出てきません。

　「Autoruns」は、見事、このキーを検索して表示してくれます。

　さらに、「Actual Spy」で「Start at the system loading」のチェックをはずすと例のキーから、「application=C:\Program Files\ASMonitor\ASMonitor.exe」が削除され空のレジストリキーだけが残ることがわかりました。

☆「Actual Spy」

　「プログラムの追加と削除」できれいにアンインストールができます。使い方さえ間違わなければ行儀のいいプログラムだと思いました。

sapoten · Answer

何と言うソフトで検出されたか記されていませんが、CAのペストパトロールをお使いですか?

検出されたものは上記の一点ですか?
「隔離した後」ということは、ファイルも存在したということでしょうか?
最初にそれが検出されたときと、現在とでは、検出結果は異なりますか?

レジストリエディタが使えるのなら、該当キーをチェックして下さい。
使用したスパイウェア対策ソフトの名前が不明なので何とも言えませんが、対処法など記されていたのなら、それに従い、該当ファイルの削除等を行ってください。
CA以外のソフトウェアをご使用で、且つ、質問者様の使用しているメーカーのサイトに有用な情報がない場合、下記の「参考URL」を参考にして下さい。

参考URL：http://www3.ca.com/securityadvisor/pest/pest.aspx?id=453098665

hamahamachan · Answer

http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=SPYW%5FACTUAL%2EB&VSect=Sn
または
http://www.symantec.com/region/jp/avcenter/venc/data/spyware.actualspy.html

に出ているのがおっしゃっているActualSpyだと思います。ウイルスバスターやノートンのオンラインスキャンで、確認してください。それでもし検出されるなら、上記サイトを参考に処理してみてください。

でも、本当にインストールされていたならば、気持ち悪いのでリカバリがいいかと思います、私も。

junra · Answer

http://translation.infoseek.co.jp/?ac=Web&lng=en&submit=&selector=0&dsp=0&outer&web_translate_url=http%3A//www.soft32.com/download_26066.html
キーロガーですので入力情報がすべて筒抜けです。
機器本体の情報は把握されます、今も調べてたらダウンロードされそうになりました。
心配でしたらＯＳをインストールしなおしてきれいにされてはいかがですか

Aｃtual Spy 2.8 について

調べてみました・・・

この回答への補足

＃７です。

何でしょうねぇ～^ ^; ＃５です。

この回答への補足

試してみました。

この回答への補足

＃３です。

この回答への補足

＊長いレジストリキーの検索には下記のツールが便利です。

この回答への補足

何と言うソフトで検出されたか記されていませんが、CAのペストパトロールをお使いですか?

似たような質問が見つかりました

関連するカテゴリからQ&Aを探す

デイリーランキングこのカテゴリの人気デイリーQ&Aランキング

マンスリーランキングこのカテゴリの人気マンスリーQ&Aランキング