svchost.exeは不正な通信に使われることはないでしょうか？

質問

C:\Windows\system32にあるsvchost.exeについての質問です。

ファイアウォールの通信設定で、svchost.exeによる外向き通信のTCP80やTCP443を無条件に許可しても大丈夫なのか分からず困っています。
このプログラムによる通信は、ウイルスやハッカーなどによる不正な通信である可能性はないんでしょうか？
（何のサービスが動いているか突き止めたとしても、使っているファイアウォールにはサービスごとに通信設定する機能はないようです）

svchost.exeは不正な通信に使われることはないか？という点について、よろしくお願いします。

回答No.2

Ninetail · ベストアンサー

正規のsvchost.exeということであれば、問題さそうにも思えるのですが・・・。
　一個前に書き込んだレスのリンクに、これを偽装して活動するウイルス等があるという内容がありますが、別の場所に同じ名前の実行ファイルがあるのか、正規のsvchost.exeを利用して悪さしているのかは、クラックの技術に詳しくないので僕にはわかりません。

　ただ、http(80)、https(443)というポートはかなり一般的に使用されると思しきポートですし、通常は信頼しておくものだろうなぁとは予想します。
　あまりにも心配なら、ポートを監視し続けて、通信内容を吟味するしかないような・・・

　自分の場合は、ノートンで警告が出たときにポート指定で許可、不許可を設定しますので、接続先などを調べて、問題なさそうなら許可してます。
　今のところ、それで特に大きな問題には遭遇していないと思います。（裏では大変なことになってて気づいてないだけかもしれませんが）

　と答えましたが、自分はそれほどこの手の情報に詳しいわけではないので、以降は、詳しい方にバトンタッチしたいと思います。

お礼

ありがとうございました。

補足

なるほどありがとうございます。
確かにそのウイルスは気になりますね。偽装という表現なら恐らくパスが違うかと思うんですが、何か悪意のあるプログラムが正規のsvchost.exeを使用して通信する可能性はないか？という点が心配です。

私も今までsvchost.exeに関しては警告のたびに許可・不許可をする使い方をしていました。でもMicrosoft Updateでは接続先がどんどん変わるため、かなり不便に思っています。

もし他の方から、危険なケースもあるという内容の回答がつかなければ、おっしゃる通り80と443は開いておくことにしようかと思います。

回答No.3

okg00

http://blogs.technet.com/jpsecurity/archive/2008/11/28/3160741.aspx
http://itpro.nikkeibp.co.jp/article/USNEWS/20061108/252990/
http://blog.trendmicro.co.jp/archives/2184

未知の脆弱性が存在する事は否定できませんので、「完全に」信用する事は無理です。書き換えられる可能性もありますしね。

インターネットに接続する事自体がリスクなのです。リスクを下げる事はできますが、リスクを0にするならインターネットに接続しないぐらいしかありません。リスクとメリットはトレードオフの関係なのです。リスク管理さえキッチリしておけば、心配しすぎるのは杞憂というものかと。

あとは、通信する内容を精査するか、ゼロデイアタックへの対応を心がけるぐらいかと。

お礼

ありがとうございました。

補足

お返事遅れてしまいすいません。事例の情報ありがとうございます。
確かに未知の脆弱性という問題はありますね。

でも今のところは懸念しているようなタイプの危険はないようなので、80と443は開いておくことにしようかと思い至りました。

回答No.1

Ninetail

僕も同じ悩みを抱えていました。
　http://gigazine.net/index.php?/news/comments/20061009_svchost/
　このあたりが参考になるかと思います。

お礼

ありがとうございました。

補足

C:\Windows\system32\svchost.exeという正規のsvchost.exeが、不正な通信に利用される可能性はないかという点が知りたいです。
サービスが分かったとしても、使っているファイアウォールではsvchost.exeでまとめて設定することしかできないみたいなので。

このプログラムによるTCP80やTCP443の通信は必ず信用していいんでしょうか？
よろしくお願いします。