【経過】怪しかったrundll32.exe

記稿.2016/03/02

　ウイルスセキュリティZEROの不正侵入対策の中に
　メッセージ画面を出すというのがあって、オフだったのでオンにしたところ‥

　rundll32.exeが目立ってネットアクセスを求めているのが見えるようになった。

　ググってみたところ、このDLL呼び出しくんは、
　通常は駐屯していないという情報を得た。
　‥つまりウイルス、マルウェアの振る舞い、ということになる。


＞　情報に、
＞　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runの項目
＞　rundll32.exe
＞　"C:\Users\ユーザー名\AppData\Roaming\K7Uninstall\K7InetChk.dll",K7OnUninstall
＞　を削れば良いだけとあった。


　起動時の駐屯記録（タスクバー）をリセットしてから再起動したところ
　素直なことに、Atok絡みのファイル名が再び重複した。（背乗りの様相に見える）
　よくよく考えてみると、Atokはサインインの画面の段階で既に立ち上がっているから
　バックグランドに居るわけがない。ということでこいつもマルウェアということになる。
　‥でも、起動時調整はできそうにないので、起動後に手動で落とすしかないようだ。

　まぁそうなると

　‥バックグランドに名を連ねているIMEファイルも怪しいことになるが
　まぁそこまでやらずとも
　いままでCPU使用率、常時５％ぐらいだったのが１％程度に落ち着いた様子。

　あと使用していないサウンドドライバー絡みの駐屯起動を停止したら
　メモリー使用率、常時1.1MBだったのが900MB前後に下がった。
　‥これはデカい。


＞　それにしても一体どれだけの引き出しを用意しているというのか？


　どう見たって、本体がGWXの中に潜んでいるご様子なので、
　キャンペーンが終わるまで、再インストールしても同じことのようだ。
　‥GWX Detectorがネットアクセスを要求してくるのは、どう考えたって怪しい。

　あと、目立つのは
　wermgr.exeのネットアクセスだが、判断に価する情報が無いのでよく分からない。