services and controller app

質問

Windows XP SP3にして約2週間くらいしてからインターネット使用中に再起動（強制リセットではない）を実行されました。
再起動後、ウイスルソフトが「services and controller appに接続許可しますか？」と求められました。
今までこのようなメッセージが出たことがないので、とりあえず許可しないにしましたが、これはスパイウェアか何かでしょうか？

回答No.3

kusa_mochi

>セキュリティーソフトが「外部からのアクセスがありました」と警告が出るようになりました。
>アドレスは「219.196.141.137」ここみたいなのですが、ここに接続しようとしているのでしょうか？
　その可能性は有るとも言えるし、無いとも言える。
　(そのIPアドレスはアサヒネットのプロパイダユーザーに割り振られているアドレスのようだ)
　それだけの情報では判断出来ないという事です。

　最初の質問にある「接続許可しますか」が、
　　インターネット→PC
　だったのか
　　PC→インターネット
　だったのかという情報や、
　　何処から(接続元)又は何処へ(接続先)接続しようとしていたのか
　や
　　どのポートを使って接続しようとしていたのか
　という情報が無いと、そのIPアドレスと関連が有るかどうかは判断出来ない。
　試行錯誤する手間を省きたい、ウィルス等の不安を払拭したいというのであれば、リカバリしてもう一度SP3を適用した方が良いです。

回答No.2

kusa_mochi

>「ユーザー:NT AUTHORITY\SYSTEM」このユーザーは何でしょうか？
　NT AUTHORITY\SYSTEM はサービスというOSの背後で黒子のように働いているプログラムが使っているアカウント権限です。
　具体的に言うと、コントロールパネルの管理ツールを開きその中のサービスというアイコンをクリックすると出てくるのがサービスの一覧で、それらが NT AUTHORITY\SYSTEM という権限で動いています。

>一応services and controller appの場所確認してみるとC:\windows\system32\services.exeになっていました。
>製造元も「Microsoft Corporationがプログラムの製造元です」と表記しています。
　そのファイル自体はマイクロソフトが提供しているちゃんとしたファイルでも、悪意のアルソフトウェアが外部と通信する為の「パシリ」として使われている可能性も存在します。
　(自分自身で外部にアクセスするとアシがつくので、最近はその様な間接的な手法を採っているソフトが多い)
　その様な悪意のあるソフトが既に侵入しているかは、セキュリティソフトでチェックするしかありません。
　既知のソフトであれば、必ずチェックに引っ掛かるので今インストールされているセキュリティソフト以外の会社のオンラインスキャンでチェックしてみることをお勧めします。

　【オンラインスキャンサイトの一覧】
　　http://cowscorpion.com/Outline/secu_on.html

>あと現象としましてはIEを複数ひらくとすぐに応答なしフリーズしてしまう症状が発生。
>動画サイトなど見ていると必ずIEがフリーズしてしまいます。
　こちらはレジストリに書かれているログの方とは別件かもしれない。
　複数開くと固まるということは、ブラウザのアドインやBHO(yahooツールバーのようにブラウザに組み込まれて動くソフト。Adwareとかもこの種類)の中に単一のファイルを指しているモノが存在するのかもしれません。
　一つのファイルを複数のプログラムから掴もうとすると、排他の関係で待たされるので。
　(OSに付随するちゃんとしたプログラムなら、その辺りは考慮されている筈なので悪意のあるプログラムである可能性が高いかも)
　一度、

　　・アドインを全て無効にしてみる
　　・YahooツールバーのようなBHOは全てアンインストールしてみる
　　・SpybotS&DやAdawareSE等でスパイウェアやアドウェアの類を検出＆駆除してみる

　を行なって、それでもブラウザを複数同時起動した際に同じように固まるのかを見てみましょう。

　【BHO（ブラウザ・ヘルパー・オブジェクト）について】
　　http://www.hippo.azimech.net/AtTheSpring/KnowledgeAboutBHO.html

オンラインスキャンでも疑わしいものが出てこない、アドインは全て無効にしBHOを全てアンインストールしSpybotで出てきたものを全て駆除しても、なおブラウザの複数同時起動で固まるならSP3のインストール時に何か障害が起きているのかも知れません。
バックアップを取って一度リカバリし、再度SP3を適用してみて下さい。

お礼

セキュリティーソフトが「外部からのアクセスがありました」と警告が出るようになりました。
アドレスは「219.196.141.137」ここみたいなのですが、ここに接続しようとしているのでしょうか？

回答No.1

kusa_mochi

マカフィーのサイトで「アクセス許可を設定して良いリスト」の中に services and controller app がある。

ファイアウォールの設定で、そのアプリケーション名とパス名を再度確認しマカフィーのサイトで書かれているものと同じなら、許可してあげてもいいと思う。

　http://www.sourcenext.info/mcafee/support/mpfverup0303_2.html

#パス名が違う場合は、マルウェアの可能性があるので再度調査の必要があります

お礼

コメントありがというございます。
一応services and controller appの場所確認してみるとC:\windows\system32\services.exeになっていました。
製造元も「Microsoft Corporationがプログラムの製造元です」と表記しています。
ただこの現象後イベントビューアを確認すると以下のメッセージがPCシャットダウン後必ず出るようになりました。

イベントの種類:警告
イベント ソース:Userenv
イベント ID:1524
クラス レジストリ ファイルをアンロードできません。
ほかのアプリケーションまたはサービスによって使用されています。
ファイルが使用されなくなった後にアンロードされます。

イベントの種類:警告
イベント ソース:Userenv
イベント ID:1517
ユーザー:NT AUTHORITY\SYSTEM
説明:
ログオフ時にアプリケーションまたはサービスがレジストリをまだ使用している間に、Windows はユーザー のレジストリを保存しました。
ユーザーのレジストリによって使用されたメモリは解放されていません。
レジストリは使用されなくなったときにアンロードされます。
ユーザー アカウントとしてサービスを実行していることが原因と考えられます。
LocalService または NetworkService アカウントでサービスを構成してみてください。

あと現象としましてはIEを複数ひらくとすぐに応答なしフリーズしてしまう症状が発生。
動画サイトなど見ていると必ずIEがフリーズしてしまいます。
「ユーザー:NT AUTHORITY\SYSTEM」このユーザーは何でしょうか？