IPとかDNSとかアドレスの関係がおかしい

質問

IPとかDNSとかアドレスの関係がおかしい

マイクロソフトのサイトに全くアクセスできません。
DSNから弾かれた時と同じような症状です。
アドレスからIPを引いて直接アクセスしたところ、アクセスできてのでDNS周りのせいかと思います。
ついでに、オンラインウイルス関連のサイトにもアクセス出来なっていたので、
ウイルスの仕業とみなしました。

ところがhostsを開いた所、改竄されてる痕跡は見られませんでした。
以下コピー

----------------------------

# Copyright (c) 1993-1999 Microsoft Corp.
#
# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
#
# This file contains the mappings of IP addresses to host names. Each
# entry should be kept on an individual line. The IP address should
# be placed in the first column followed by the corresponding host name.
# The IP address and the host name should be separated by at least one
# space.
#
# Additionally, comments (such as these) may be inserted on individual
# lines or following the machine name denoted by a '#' symbol.
#
# For example:
#
# 102.54.94.97 rhino.acme.com # source server
# 38.25.63.10 x.acme.com # x client host

127.0.0.1 localhost

----------------------------------------

しょうがないので
65.55.12.249 www.microsoft.com
を手書きで加えましたが、マイクロソフトにアクセスできません。
(65.55.12.249はwww.microsoft.com)。

何か間違ってるのでしょうか？
それとも他に設定ファイルはあるのでしょうか？

とりあえず、原因くさいウイルスは消しておきましたが、
そもそも書き換えられた痕跡がないのでこれとは別の設定があるのでしょうか？

ついでに、PC内の設定を無視して、何が何でもDNSに問い合わせて接続させるような設定の仕方があったら教えてください。

回答No.6

John_Papa · ベストアンサー

接続障害が起きる時
http://www.systemexplorer.net/index.php
http://www.virustotal.com/index.html
に接続できますでしょうか？

接続できれば、SystemExplorerを使ってプロセス・モジュール・サービス・スタートアップなどの疑わしいファイルを片っ端からVirusTotalでチェックしてみることができます。
キャッシュ無効にしてネットが正常にアクセスできる場合は、プロセスに見つけ出す事はできなくても、モジュール・サービス・スタートアップはチェックできると思います。
SystemExplorerの日本語解説（およびダウンロード）は
http://www.gigafree.net/security/process/systemexplorer.html
ダウンロードはもちろん本家URLですが、ややわかりにくい。
http://www.systemexplorer.net/download.php
の中央「Download FREE Trial」ではなくその下の二つのテキストリンクです。
インストールして使用する常駐版とUSBメモリーなどから使える非常駐版です。

SystemExplorer起動してプロセスなどの一覧から、怪しいプロセスを右クリックし、プルダウンされるメニューの一番下「ファイルのチェック」にVirusTotal.comがありますから、それを選択すればアップロードして４０程のアンチウイルスソフトで検査してくれます。
例えば、Ano.5で紹介したTrojan-Downloader.Win32.Kido.aは次のリンクのように40全てのアンチウイルスソフトで検出されます。
http://www.virustotal.com/file-scan/report.html?id=5398f2579043a069206c0383d307bcb0
VirusTotalは、新種ウイルスがどのアンチウイルスソフトにも検出されない事があり、アンチウイルスソフトの誤検出も頻繁にありますので絶対確実なものではありませんが、一つのアンチウイルスソフトに頼り切るより検出力は上がります。
このソフトのせいか、最近時間帯によってVirusTotalで検査順番待ちになることが多くなっています。
SystemExplorerは細かいアップデートが頻繁にあり、アップデートのお知らせやアップデート作業が煩わしいのが欠点です。

アドバイスできそうな事は尽きました。
幸運をお祈りし、私からの最終回答とさせていただきます。

お礼

何度もありがとうございます。
いろいろと助かりました。

回答No.5

John_Papa

キャッシュが壊れてたんですね。
C:\>ipconfig /flushdns
と言うコマンドでクリアできます。
C:\>net stop dnscache
では、キャッシュそのものを停止させてしまいます。
再び有効にするには
C:\>net start dnscache
これで症状が復元するようであれば、dnsrslvr.dllに異常があるのかもしれません。
dnsrslvr.dllはSVCHOSTで起動されるサービスの一つです。
dnsrslvr.dllそのものがマルウェアというケースは探しても見つかりませんでした。

でもキャッシュ寿命は24時間、DNS登録が見つからないURLに関しては15分が標準設定だった筈です。
レジストリを変更されてるかもしれません。
次のレジストリをご確認ください。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters
(規定)　REZ_SZ　(値の設定なし)
ServiceDll　のEXPAND-SZ値はdfaultで　%SystemRoot%\System32\dnsrslvr.dll

標準設定では次のエントリーはありませんが、エントリーを製作してキャッシュ寿命(１秒単位)を変更できます。
MaxCacheTtl　　　　　のDWORD値がdefaultで　86,400
MaxNegativeCacheTtl　のDWORD値がdefaultで　900
参考URL：http://support.microsoft.com/kb/318803/ja
（レジストリの変更は最悪の場合システムクラッシュの危険が伴います。ご承知の上、変更は自己責任で行ってください。）

カスペルスキーのウイルス百科事典にdnsrslvr.dllをフックして特定サイトへのアクセスを遮断するマルウェアが登録されていました。
Trojan-Downloader.Win32.Kido.a
http://www.viruslistjp.com/viruses/encyclopedia/?virusid=21782844
おそらく、これと同じか、同機能のマルウェアなんでしょう。

また一つ勉強させていただきました。

お礼

本当に丁寧にありがとうございます。
本来、私がするはずの検索までしてもらって申し訳ないです。

> C:\>ipconfig /flushdns
> と言うコマンドでクリアできます。
ところが、キャッシュのシステムそのものを停止しないとDSNが正常に動作せずアクセスできないことを確認しました。

> 次のレジストリをご確認ください。
> HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters
> (規定)　REZ_SZ　(値の設定なし)
> ServiceDll　のEXPAND-SZ値はdfaultで　%SystemRoot%\System32\dnsrslvr.dll
おそらくデフォルトのままでした。

> MaxCacheTtl　　　　　のDWORD値がdefaultで　86,400
> MaxNegativeCacheTtl　のDWORD値がdefaultで　900
存在しませんでした。(存在しない状態でデフォルトの動作？)

URLより
> マルウェアは、システムがセーフモードで起動できないように、次のレジストリキーを削除します：
> [HKLM\System\CurrentControlSet\Control\SafeBoot]
存在しました。
SafeBoot → AlternateShell のみ入っています。値はcmd.exe
SafeBoot → \Minimal と \Network がキーとして入っていますが中身は規定値のみで空です。
デフォルトがどうなってるのかは分かりませんがたぶんOK？
セーフティモードの起動はしました。

> システムが再起動するときに自動的に起動されるように、マルウェアの実行ファイルがシステムレジストリへ追加されます：
> [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
> また、次のレジストリキー値を変更します：
> [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
> "<rnd>" = "rundll32.exe <実行ファイルのパス>"
入っていたのは ctfmon.exe のみ。デフォルト？

どうやら違うウイルスっぽい気がします。

WindowsXP-KB951748-x86-JPN.exe(DNSキャッシュの脆弱性をなんとかするらしい更新)
をしてみましたが無意味のようです。

dnsrslvr.dllの更新日時は一応見ましたが、ずっと更新されてないため違うと思いました。
(日時自体を書き換えられてたら知りませんが)。

一応マイクロソフトなどにアクセスできるようになったため、
ウイルスの検出などをしてみましたがそれらしい物はひっかかりませんでした。
(他の方法を取れば引っかかるかもしれませんが)。

とりあえず今はどこをおかしくされてるのかが気になります。

回答No.4

noname#120567

それはこのカテゴリーの適応外ですか？
>>いいえ、ウィスル関連の処理なので、その状況から質問されたほうが回答が得られやすいと思いました。カテゴリーのことは気にしなくてもよろしいかと思っています。

なお、回答時点で、該当PCでnslookup出来ていると思うことと、私のPCのhostsファイルを確認したところ、まるっきりの空であることからの回答でした。私の環境は、hostsファイル自体は、3個ありますが全部空状態です。（サーバーも立てていません。）ネットワーク接続のTCPIPアドレス設定は、すべて固定しています。

net stop dnscacheでwindowsのdnsキャッシュクリヤはIEにも影響ない部分かと思い、そう考えると、たしかにそれで復帰できたことが納得できますね。
役に当てなくすみませんです。

お礼

何度もありがとうございます。
IEと言うかこのPCのシステム自体(全部)のアドレス変換問題ですね。

回答No.3

John_Papa

TCP/IPの設定でDNSを指定できますが、通常は自動取得にするかルーターのIPにします。
直接指定する場合はプロバイダに指定されたDNSサーバーのIPを入力します。
ここを書き変えれば、犯人の都合の良いDNSサーバーを使わせる事ができます。
DNS設定は、無線LANルーターの方でもできますので、パスワードを変更してない有名無線ルータでDNSの書き換えをされてしまう事が2007年頃より指摘されています。

しかし、hostsに優先しませんので、ブラウザのアドオンに何か入っているかもしれませんね。

なお、OSが解りませんが、XPならIEの制限付きサイトに登録すれば標準で書き込まれる
%windows%\system32\Drivers\etc\hosts
だけでなく98との互換性の為、
%windows%\hosts
も参照します。
%windows%は通常C:\windowsです。
他にもWindows配下のディレクトリに置けたと記憶してますが何処だったか思い出せません。

お礼

詳しい情報ありがとうございます。
おかげでかなり解決に近づくことができました。

> OSが解りませんが
すみません。XPでした。

> 98との互換性の為、%windows%\hosts も参照します。
> 他にもWindows配下のディレクトリに置けたと記憶してますが何処だったか思い出せません。

hostsが複数存在するなんて知りませんでした。
ただ、%windows%\hosts この位置にhostsはなく、
windows標準の検索をしてもhostsは%windows%\system32\Drivers\etc\hosts でさえ検出されませんでした。
システムファイルだからだとは思いますが役に立たない検索です。

どうやらレジストリのHKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\DataBasePath
がhostsの位置を定義してるらしいので、書き換えられてないかチェックしてみましたが正常でした。

で、XPにはクライアントのDNSキャッシュとやらがあってアクセスを向上させているようです。
net stop dnscache
とコマンドするとキャッシュ機能の使用が止まるらしいのでやってみた所、今までアクセスできなかったサイトにアクセスできるようになりました。
きっとキャッシュ内容を書き換えられたんでしょう。
それにしても、hostsより単なるキャッシュの方が優先度高いだなんて…。

回答No.2

noname#120567

アドレスからIPを引いて直接アクセスしたところ、アクセスできて
>>これができるなら、DNSがちゃんと動いていますね。

ＤＮＳサーバーはプロバイザのものを使用していませんか？
マイクロソフトのものではないはずです。
HOSTSファイルは元に戻したほうがいいと思いますが。

ウィルス関連なので、ウィスル駆除した状況で、質問したほうがいいと思います。

お礼

> アドレスからIPを引いて直接アクセスしたところ、アクセスできて
> >>これができるなら、DNSがちゃんと動いていますね。

引いたのは違うPCからです。
例えばこのPCでIPを引く処理をプログラミングして動かしてみましたが何も戻り値を得られません。

> HOSTSファイルは元に戻したほうがいいと思いますが。
Hostsは現在存在自体が無視されてるようです。

>　ウィルス関連なので、ウィスル駆除した状況で、質問したほうがいいと思います。
アンチウイルス関連の接続が繋がらないので、駆逐できたか副次的な作用が残ってるのかの判断はおろか、
原因のウイルス名も分からない勢いですねー。
それはこのカテゴリーの適応外ですか？

回答No.1

beingpeace

http://www.atmarkit.co.jp/fnetwork/rensai/troutol07/03.html

ウイルス。スパイウェアが動いているので無理ですね。

PCリカバリか高性能のスパイウェア大佐おくソフトをインストールしてスキャンするか、高性能のウイルス対策ソフトをインストールしてスキャンするか、どれかになると思います。

お礼

自分での調査は難しいところがありますね。
リカバリーなどは最終手段に残しておこうと思います。