Semplice - WinFixer 2005による脅迫は自作自演

WinFixer2005との遭遇

　どこかのブログより海外動画をみて楽しんでたらば、いきなり踏んでしまいまして。悲惨な体験となるところでした。

　WinFixer2005は今話題となっている、ユーザーのパソコンが何かの深刻なトラブルに遭遇していると誤解させ、怪しいソフトウェアの購入を強要するものだ。
　WinFixer 2005（アダルトサイト被害対策の部屋）（http://www.higaitaisaku.com/phpBB/viewtopic.php?t=757）にてunknown-user氏らが詳しい解説を掲載しているので、そのような話はこの場では譲る。

　とりあえず記念にキャプチャ。
　
　（*クリックで拡大）

　具体的には「警告 - スパイウェア　パソコンのエラーが発生しました」なる画像。チャカチャカした音楽。
　そして「注意：レジストリデータベースまたはファイルシステムに有り得るエラーによりご利用のパソコンは機能が悪くなってブロックになってしまうことがあります。で無料のすばやいスキャンを実施することができます。それでは、レジストリデータベースでのエラーを検出して修理するにはWinFixer2005をダウンロードしたいですか?。（推奨）」なるポップアップ。
　日本語変ですよ、これって。
　またディスプレイ右下に、妙な空白の小さいウィンドウが1つ。

　それでですね、実は一番の問題はですね。
　現在メイン機分解中だったため、アンチウイルスソフトも無く最新でもない状態のサブ機にて踏んでしまいました。
　ガビーン。。。。。自分がアホでした。

　気持ち悪いのでタスクマネージャのアプリケーションタブよりInternet Explorerを終了。
　OS再起動、F8キーを乱打。Windows拡張オプションメニューより「前回正常起動時の構成（正しく動作した最新の設定）」を選択。
　起動後にざっとチェックしましたが、問題は無いような。これで一安心なのですよ。
　インフラ管理者の独り言（はなずきん＠酒好テム管理者）にても全く同様の処置を行っていたのだが。これは正しい判断だったと、後になってシミジミと実感した。

＜2006年1月29日追記事項＞
　これらの作業は、ドライブバイダウンロード（Drive-by download）、つまりユーザーの許諾を得ず無断でインストールさせるテクニックを回避させる目的で行った。
　多くのスパイウェアやブラウザハイジャッカーは、このような経路にて無断インストールされる。

WinFixer広告掲載サイトにて再度遊んでみる

　先ほど踏んで別窓が開いたhttp://plsthx.com/のサイト中に表示されているWinFixer2005関連のスキャン広告や在宅ビジネス広告は、（http://media.fastclick.net/w/click.here?以下略）により表示されているようだ。またCookieでユーザーが広告を見たかどうかをチェックし、次回表示時には他の広告を、と。
　これにより表示される広告は、WinFixer関連だけではなく。FSS Japan KKによる在宅ビジネスのフラッシュ広告やまた家電製品などの広告も順繰りと表示された。
　悪質なマルウェアやインチキスパイウェアを販売してる業者の広告が、犯罪とは無縁の広告業者により宣伝されている事例の1つとして判断するべきなんだろうか。どうも自分には判断がつかない。

　テスト機準備。WindowsXP HomeEdition日本語版SP2で、IEの設定は中、Cookie[中-高]で有効、ポップアップ無効。インストール後に余計な事はしていないので、まずまずクリーンな状態である。
　キャプチャ画像よりhttp://plsthx.com/のURIを得て、それをIEのブラウザ欄に入力。

　
　
　さて、脅迫ダイアログの「OK」も「キャンセル」も押さずに、右上のクローズボックスを押して閉じたんですがね。
　いきなりスキャンが勝手に開始されたような画面になり大変驚く。同意などしていないのにな。
　
　（*クリックで拡大）

　この画面もクローズボックスで閉じると、「スキャンが未完了です」とのダイアログ。タスクバーにはhttp://jp.winfixer.com...と表示されている。
　
　これもクローズボックスより閉じる。するとまたしつこくダイアログが。
　
　これもクローズボックスより閉じる。いい加減飽きてくる。次は勝手に何かをダウンロードさせようとしているようだが、Ineternet Explorerによりブロックされたようだ。
　
　（*クリックで拡大）
　やっと終わった。。。。何ちゅうしつこさなんだろうか、これは。
　とりあえずこの時点では、WinFixer2005の感染は確認できなかった。
　しかし世間にはWindowsの脆弱性を利用し強制的にインストールする事例もあるようなので、「少なくとも今回このjp.winfixer.comでは」クローズボックス押しまくりで回避できたとしても、その他の事例では回避できるとは言い切れないだろう。

WinFixer2005はインチキなのか否か

オンラインスキャンの結果は事実なのか？

　毎度おなじみ、「限りなくクリーンな」WindowsXP SP2英語版を準備。
　Internet Explorerのセキュリティ設定はMedium、CookieはMedium High。

　広告のリンク先URIを利用。http://media.fastclick.net/w/（以下略）である。

　この「常識ではまずありえないほどクリーンなWindowsOS」であっても、「System Errors Found: 44」なのだ。次回またFileMonでログとりながらやったらば46
　面白いものだね。いずれにしてもFileMonのログでは、WinFixerによるオンラインスキャン？に見せかけたページにては、スパイウェアなどの有無はスキャンしていなかった（何をしたかったんだろうか、これは）。
　
　（*クリックで拡大）

＜2006年1月29日追記事項＞
　Macでもこのようなオンラインスキャン状画面が表示されたとの体験談があった。やはりこれは実際にスキャンなどは行っておらず、インチキだったような。

　踏んだのは、海外の掲示板にアクセスした時でした。突然、Windows XP のウィンドウ (もちろん偽物) が現れて、何やらスキャンするフリをしていましたが…。Mac で見てもリアリティがありませんね。鼻で笑ってしまいました。
WinFixer（小民日報）

　またスキャンするたびに検出数が異なるのがどうも釈然としなかったんですが。小民日報よりコメントにて後日談を紹介されました。

キャンセルか OK のボタンを押すと、スキャンのページにジャンプして、Flash アニメーション(偽スキャン)が始まります。
ちなみに、表示されるエラー数は ActionScript でランダムに発生させているようです。
WinFixer 再度（小民日報）

WinFixer2005をインストールする

　「限りなくクリーンな」WindowsXP SP2英語版を準備。
　Internet Explorerのキャッシュ、Cookie、履歴を削除。

　予め入手しておいたWinFixer2005FreeInstall.exeは、こんなものである。


　インストールしたらば、直後に勝手にスキャンが開始された。
　Report結果は不思議な内容となった。

　System Analysis Resultsより11 invalid items foundの内訳を見てみよう。
　

• Cookies (1 invalid intems found)
  
• Downloaded programs (1 invalid items found)
  
• Dupe files (1 invalid items found)
  
• Temporary files (8 invalid items found)
  

　消しても別に問題が無いファイルばかりのようだが。
　これがどのような脅威になるんだろうか。

　またスキャン前にCookieは削除したんだがな？と頭を捻りつつ確認したらばですね。「Cookie:username@winfixer.com/」ぢゃないですか。
　（インストール時に作成されたんだろうか？）
　と言いますかね。このWindowsXPにては、winfixer.com関連サイトはもとより、他のサイトも全くIEにて閲覧していないんですが
　どうやって作成されたのか知らないが、薄気味悪さを感じた。
　致命的エラーの1つとして検出されたこのクッキーはwinfixerの製造元のwinfixer.comによるものであり、インストール中・またはその直後のスキャン中にWinFixer2005により作成されたのは明らかだ。
　またその他検出されたファイルの一部、もである。
　*なお検出されたファイルの中には、こちらが削除しきれていなかったゴミもあった点は断りを入れておく。

　スキャン結果のダイアログ、「11 Severe Errors Detected」を眺めてみる。
　
　（*クリックで拡大）
　「The errors fond on your computer are very likely to create further problems if not fixed immediately, such as:」

1. lost documents and profile settings
   
2. physical data loss
   
3. system not starting up
   
4. system slowdowns, crashes and freezes
   

　つまりこれらの削除してもしなくても問題が無いファイルを何か危険なものとして誤解させ、これらを処理しなければ将来重篤な問題が生じると脅迫しているのだ。
　そして処理には、このソフトウェア購入のために金銭を支払わなければならない。39ドル95セントだ。

　
　（*クリックで拡大）
　Repairを押して表示される、このWinFix2005サイトにては、「Warning! 11 critical errors detected on your PC. 」、つまり「警告！11の致命的エラーがあなたのパソコンより発見されました」なのだそうだ。
　いや、何がどう致命的なのか、ちゃんと説明してもらいたい。
　これらのファイルはいずれも手動削除してもしなくても、別に問題は無いようなものばかりなのだ。

　これはFUDと呼ばれる極めて悪質なマーケティング手法であり、インチキスパイウェアソフト販売者がよく行う手口である。

2006年1月22日追試

　どうも微妙に満足できなかったので、昨日以上に「クリーンな環境」としてみた。
　検出されたDownloaded programsはWUWebControlClassと仮定し、IEのプロパティより削除。
　C:\Documents and Settings\username\Local Settings\Tempの中身も削除。

　以下のフォルダのdesktop.iniとindex.datを除く全てのものを削除（これらのフォルダは通常はフォルダオプションより設定したとしても表示されないので、スタートメニューからの「temp」検索結果より開く）
　C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5
　C:\Documents and Settings\Default User\Local Settings\Temporary Internet Files\Content.IE5
　C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5
　C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5
　C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5

　Temporary files、これはC:\WINDOWS\の*.tmpを含むのか？これも削除。その他の*.tmpファイルは存在しない。

　Cookieは全て削除してある。またテスト機よりwinfixer.comは、IEでもネスケでも過去1度も閲覧していない。
　またこのテスト機では、Internet ExplorerのPrivacy設定は「Block All Cookies」、つまりIEでブラウジングしたとしても、Cookieは作成されないだろう。

　7:46 AMよりインストール開始。7:47よりスキャンが開始される。
　。。。。。。。。しかしそれでもまた、こんな検出結果となった。
　
　この3つのTemporary files、どこの何なんだろうか。まだ見落としがあるのかな。

　やっぱりCookieは7:49 AM、つまりWinFixer2005によるスキャン中に作成されているようだ。
　Expires: 2/21/2006 7:49 AM
　Last Modified: 1/22/2006 7:49 AM
　Last Accessed: 1/22/2006 7:49 AM
　Last Checked 1/22/2006 7:49 AM

WinFixer2005の削除

　タスクトレイより、WinFixer2005を停止。
　コントロールパネルよりプログラムの追加と削除を開き、WinFixer2005をアンインストール、再起動。
　レジストリにかなり多量のゴミは残ったものの、一応アンインストールは成功した。

　＜2006年1月22日追記事項＞
　WinFixerの件　再調査中（てくてく糸巻き）によれば、修復が困難なタイプが存在するようだ。

　＜2006年12月21日追記事項＞
　他のマルウェアにより無断導入される事例が無いとは言い切れないため、WinFixerがいつの間にか導入されてしまったとの事例では、これのみをアンインストールすれば終わりとも言い切れないだろう。
　SpyBot S&DやAd-aware、また市販のアンチウイルスソフトウェアによるシステムのフルスキャンが必要だ。

大手アンチウイルスソフトメーカー等の対応

　大手がSpyAxeを検出対象としたのは100%インチキか否かではなく、マルウェアにより強制的にインストールされる事例を鑑みての対応であったように思われる（SpyAxeとZlob（Semplice）
　これに対し、今回のWinFixerを検出対象とする論拠はいささか弱いのだな、メーカーの情報では。

　WinFixer は、コンピューター上で誇張した脅威の報告を提示する可能性がある、セキュリティリスクです。
WinFixer（Symantec）

　購入バージョン、および試供版があります。
　このプログラムはセキュリティの脅威としてクッキーを表示します。
　これはいくつかの状況で本当ですが、それらを削除するために39.95ドルを費やす必要はありません。Internet Explorerでは、全く同じことを無料で行えます。
WinFixer（SpywareGuide）

　「不正プログラム」とは断定できないグレーゾーンのプログラムのため、本来はウイルス検出の対応は行いません。
ADW_FIXER.A（TrendMicro）

　このWinFixerはウイルスでもスパイウェアでもなく、従来の古いカテゴリではアドウェアになりそうなんだけど。
　自作自演でわざわざ検出対象ファイルを作成しそれを深刻なリスクであると報告した点で、明らかにインチキなBoguswareである。

Conclusion

• WinFixer2005を強制的にインストールさせようと試みる広告が存在した
  
• インストールさせようとするダイアログの表示数は異常なほど多く、また「OK」を押さなかった場合であってもしつこい勧誘より解放されなかった
  
• インストール後のスキャン結果は、IEのキャッシュ、ゴミ箱の中身、クッキーなど「どうでもいいもの」を「深刻なトラブル」であると表記し、解決のために金銭を求めた。
  
• IEの設定よりCookieをブロックしているにも関わらず、スキャン中にwinfixer.comのCookieが作成され、これを検出対象としていた。
  
• ベイトウェア(Baiteware)（下らない機能で金銭を要求するソフトウェア）と言うよりは、自作自演で検出対象となるファイルを作成し騒ぐ点で、WinFixer2005はBogus ware（インチキソフト）である。
  
• アンインストールは成功したが、多少の課題を残した
  

関連記事

　Bogus wareとRogue ware、インチキソフト
　FUD-恐怖(fear)・不安(uncertainty)・疑念(doubt)-悪質なマーケティング
　ランサムウェア（Ransomware）とFUD
　マルウェア（Malware）の定義（ウイルス・スパイウェア・アドウェア）
　マルウェア・ウイルスの感染実験
　スパイウェア（Spyware）対策と駆除
　スパイウェア（Spyware）の解説と定義、概論