EXCELを起動するとXPのインストーラが勝手に起動！

質問

スパイウェアに以前寄生され退治したのですが、思わぬところにダメージを受けていました。
EXCELを起動するとXPのインストーラが勝手に起動します。
どうしたらいいでしょうか？

現在分かる限りの情報です。
タスクマネージャで動きを確認しました。
msiexec.exeというのが通常は一つあり、ユーザー名はSYSTEMとなっています。しかし、EXCELを起動し、Windows XPのインストーラが起動するとmsiexec.exeが一つか二つ余分に増えてユーザー名はXXXXXX(プライバシー保護のためX表示)となっています。
CPUやメモリ使用の数値も一気に増えます。

回答No.11

heto2 · ベストアンサー

他の思いつくことといえば

C:\Program Files\Microsoft Office\Office\XLStart

このフォルダにあるファイルが何かやっている・・・
それくらいしか考えられません。

お礼

2004/08/10 16:10頃記述
#3の方のURLを参考にレジストリをいじってみました。
変更箇所は
HelpLanguage
UILanguage
WebLocale
のバイナリデータ値を0→1041へ。
1033,1041意外の番号 4F 00 6E 00 00 00 O.N...→OFFの値へ変更しました。
なぜ、この作業をしたかと正常なXPのPCと比較して見ると値が異なっていたからです。
みなさんのレジストリを確認していただきたいのですが、1033,1041以外の番号はないのではないでしょうか？1028,1029,1032,1042,1049,1055,1061,1062,1063,2052なんてこんなに番号あるんですか？正常なPCを見るとこんな番号なかったですが。
これらを変更しても、インストーラは起動しました。

補足

C:\Program Files\Microsoft Office\Office10\XLStart
はなかったですが
C:\Documents and Settings\XXXXXX\Application Data\Microsoft\Excel\XLStart
はありました。でも、何にも入ってないです。

回答No.12

heto2

よかったですね。おめでとうございます。

Excelが起動されると、XLStartフォルダにあるファイルを探しに行きます。
もしあれば、起動と同時にそのファイルを読み込み画面に表示します。

所が、XLStartフォルダが見つからないとなるとExcel自体が腰を抜かしてしまいます。

OfficeXPには、自動修復機能があって、必要なファイルやフォルダが無い場合インストーラが起動して、再インストールしようとします。

素直に、画面の指示に従って、操作すれば必要なファイルやフォルダをコピーして正常な状態に修復されていたと思います。

>EXCELを起動するとXPのインストーラが勝手に起動します。

多分、WindowsXPではなくOfficeXPのインストーラでしょう。

苦言提供
不用意に、ファイル、フォルダ、レジストリを触りすぎているように思います。

特にレジストリ編集には注意が必要なので下記熟読されることをお勧めします。

「矢吹拓也のいじくるレジストリ」
http://www.forest.impress.co.jp/article/ijikururegistry.html

参考URL：

http://www.forest.impress.co.jp/article/ijikururegistry.html

お礼

原因は自動修復機能だったのですね。では、インストーラがこれから起動した場合、単にウイルスだスパイウェアだじゃなく何らかのフォルダが欠けているということがあるのだと言う事を認識する事ができました。一つパソコンの知識が増えました。今まで本当にお世話になりました。ありがとうございました！！
＞Excelが起動されると、XLStartフォルダにあるファイ＞ルを探しに行きます。
＞もしあれば、起動と同時にそのファイルを読み込み画＞面に表示します。
実際に実験してみました。XLStartフォルダにテキストファイルを入れてEXCELを起動したら、heto2さんの言われた通りEXCELにテキストファイルの内容が起動と同時に自動に貼り付けられました。凄いですね。こんなことできるなんて。でも、ここのフォルダに何か入れて使う人結構いるんでしょうか？

＞多分、WindowsXPではなくOfficeXPのインストーラでしょう。
その通りです。最初誤解を与えてしまったようですいません。

レジストリについて参考URLを教えて頂いてありがとうございます。頑張って勉強してみます。

回答No.10

heto2

slrundll.exe
ありません。

Smart Link 56K Voice Modem　関連のファイルかもしれない。
http://drivermagic.co.nz/p/nph-detail.php?a=3158

しかしプロパティにメーカー名が無いのはおかしい。
欧米のフォーラムではこのファイルが起動されている例が幾つかあるが、スパイウエアという指摘は無い。

プロパティのパターン
実行ファイルであっても、プログラムの中に情報が無ければ空白になる。
プログラムを作成するプログラムによってプログラムのヘッダーの書き方が違うんでしょう。

adddrv.exeというのは、かなり古くからあるプログラムでその当時の表示形式を継承しているんでしょう。

いずれにせよ、このような調べ方では、時間が幾らあっても足りません。

私も、何をやっているのかわからなくなってきました。

ぼちぼちこの辺で・・・

お礼

04/08/13 2:40
heto2さんやりましたーーーーーーーーーーーーー！！！！！直りましたーーーーーーーー！！！是非この結果をheto2さんに伝えたいです！今まで本当にありがとうございました！！
heto2さんがこの文章を読んでくれたかどうか確認できたらこの質問を締め切ります。何か回答いただけたら確認できるので、最後に回答ください。
#11で
＞C:\Program Files\Microsoft Office\Office\XLStart

＞このフォルダにあるファイルが何かやっている・・・
＞それくらいしか考えられません。
これがキーポイントだったんです！！！！
このフォルダにあるファイルが何かやっているのではなく原因はこのフォルダがないということが原因だったんです。今、原因はここに99%ありと確信できます。なぜなら、何度と実験しても同じ結果なのですが、このフォルダを削除するとインストーラが起動しますが、このフォルダを作成すれば、インストーラは起動せず、正常にEXCELが使えるのです。
こんなたんなる空のフォルダが一つないだけで、インストーラが起動するなんて…。空のフォルダって意味を持つんですね。素人的な考えで行くとこのフォルダがない→完璧にインストールされていない→完璧にインストールしようとしてインストーラが起動する。という考え方でいいでしょうか？？？？heto2さんぜひぜひ実験してみてください。このフォルダを削除するとEXCELを起動したときにインストーラが起動しますので！！

補足

C:\WINDOWS\system32内にあるパソコンの形のアイコンのmsiexec.exeをフロッピー等にコピーしてバックアップしたあと、セーフモードでPCから完全に削除しました。すると、EXCELの起動に変化が見えました。
インストーラが起動し出すのですが、このexeファイルがないため、インストーラを起動できず、EXCEL.EXEから開けばインストーラの画面が一瞬出てなんとか応急処置的に使いやすくなりました。ただ、これはexeファイルがないだけなので、根本的な解決ではないです。
素人の勘で考えるとこの原因(Excelを起動するとインストーラも起動)はExcelとインストーラがなんらかのレジストリ情報によって結び付けられているのではないかと思うのですが、どうでしょうか？？
レジストリでmsiexec.exeを検索しましたが、特に役立つような原因は見つからずです。

回答No.9

heto2

実行ファイルの場合は「バージョン」情報があります。
ショートカットの場合は「ショートカット」情報があります。
その他のファイルの場合「全般」情報があります。
すでにこれだけでも「特に役に立つ情報」なのです。

「全般」情報にはファイルサイズと作成日等があります。
正規のファイルと比較してファイルサイズと作成日等が違っていれば偽のファイルの可能性があります。

私なら、(1)と(3)は削除します。
(1)拡張子が「EXE」で、「バージョン」情報がないというのはおかしい。
(3)システムファイルに「ショートカット」は必要ない

>みなさんの正常なPCには(1)と(3)はあるのでしょうか？
多分無いでしょう。

>これ見て考えろということは、CD-ROMがなくても再インストールできるということですか？
何らかの再インストール方法がマニュアルに書かれているはずです。
自作機や中古で無い限り、再インストール出来ないパソコンというのは考えられません。
誰も買う人がいないだろうし、販売店も恐ろしくて取り扱わないと思います。
そのうち、「使い捨てパソコン」でも出てくれば話は別ですが。

再インストールの方法は、メーカーにより、さらに、同じメーカーでも機種によって違います。
マニュアルをご覧になるか、販売店やメーカーに問い合わせてください。

お礼

今まで細かく付き合って頂いて本当にありがとうございます。CD-ROMなしで再インストールできるのですね。時間があったらマニュアルを読んで見ようと思います。
＞(1)拡張子が「EXE」で、「バージョン」情報がないというのはおかしい。
heto2さんの言われる通り，exeファイルを見るとほとんどのものにバージョン情報があります。今のところ手作業で一つ一つ地道に見ていった結果、
C:\WINDOWS内に一つslrundll.exeというのだけバージョン情報がないのがありました。これも怪しそうですかね～。heto2さん、他のみなさんのPCにはslrundll.exeはありますか？
あと変なのがありました！何が変かというと
exeファイルのタブに出てくるパターンが変なのです。
ほとんどの普通のexeファイルと思われるもののプロパティには
「全般」、「バージョン情報」、「互換性」、「概要」
がありますよね！でも、例えば
C:\WINDOWS\system32内のadddrv.exeのプロパティは
「全般」、「プログラム」、「フォント」、「メモリ」、「画面」、「その他」、「互換性」、「概要」なのです。他にもこのようなexeファイルが数個存在しています。

補足

C:\WINDOWS\system32内にある他のファイルと比べてやけに新しい作成・更新日時を持つショートカット
msimergn作成・更新2004年8月4日、3:56:38アクセス2004年8月7日、23:55:02
msimeset作成・更新2004年8月4日、3:56:52アクセス2004年8月7日、23:55:02
msimekey作成・更新2004年8月6日、15:02:29アクセス2004年8月7日、23:55:02
adddrv作成・更新2004年8月7日、23:46:00アクセス2004年8月7日、23:46:00
kb16作成・更新2004年8月7日、23:50:09アクセス2004年8月7日、23:50:09

前に書いたおなじみ
msiexec.exe（青い淵中は白のアイコン）作成・更新2004年8月6日、14:48:32アクセス2004年8月8日、0:06:26
msiexec（MS-DOSのアイコンショートカット）作成・更新2004年8月6日、14:48:55アクセス2004年8月8日、0:06:25
これらの中でアクセスはプロパティを確認した毎に変化します。

ちなみに，C:\WINDOWS\system32内にあるパソコンの形のアイコンのmsiexec.exeは
作成日時2003年1月22日、12:55:28
更新日時2002年8月31日、21:00:00
だんだん分かってきました。アクセスは書いても意味ないようですね！プロパティを確認した時刻が表示されてるだけっぽい？ですね。

回答No.8

heto2

svchost.exeプロセスとは？
http://www.atmarkit.co.jp/fwin2k/win2ktips/400svchost/svchost.html
ネットワーク管理のため、複数起動されます。

>(1)青い淵で中が白いアイコン
>(2)パソコンの形をしたアイコン
>(3)MS-DOSのような模様のアイコン（ショートカット）

(2)は正規のファイルでしょう
WindowsXPには自動修復機能があります。
デスクトップへ移動したあと自動的にインストールされたものと思います。
(1)と(3)はそれぞれプロパティを調べてください。
通常ユーザーがこのプログラムを実行することは無いのでショートカットは必要ありません。

クリーンインストール
購入当初の状態に再セットアップすることです。
パソコンのマニュアルを参照してください。

>Office XPをCD-ROMからインストールする手段はできないです。
パソコンのマニュアルを参照してください。

>officeのアップデート
これはプログラムが更新されたときに最新の状態にすることです。

>msiexec.exeって削除したらどうなりますか？
多分、修復機能が働いて再インストールされるでしょう。
全てのアプリケーションではありませんが、多数のアプリケーションがインストール、アンインストールのときに使います。
大事なものです。
しかし、偽者が入っている可能性があります。
プロパティを調べて判断してください。

補足

04/08/06 22:50頃記述。
＞(1)と(3)はそれぞれプロパティを調べてください。
プロパティを調べてもバージョン情報などの情報はなく特に役に立つ情報はないと思われます。
みなさんの正常なPCには(1)と(3)はあるのでしょうか？
できたら検索で調べていただけるとありがたいです。

＞パソコンのマニュアルを参照してください。
これ見て考えろということは、CD-ROMがなくても再インストールできるということですか？

＞修復機能が働いて再インストールされるでしょう。
修復機能なるものがあるのですね！知りませんでした。

回答No.7

heto2

★xwkfpycy、msiexec.exe、AZIP32.DLL
これらは検索履歴でしょう。
正確には下記のフォルダにあったものと思います。
HKEY_CURRENT_USER\Software\Microsoft\Search Assistant\ACMru\4桁の数字

このデータの場合、大した問題は発生しませんが、充分な情報無しに、レジストリを直接触るのは危険ですので慎重に対応された方がいいと思います。
事前にバックアップされたのはいいことですが、場合によってはバックアップを元に戻せないこともあり得ます。

お礼

04/08/06 18:22頃記述。
ありがとうございます。
>これらは検索履歴でしょう。
じゃあいちお予想はあってたのですね。

＞バックアップを元に戻せないこともあり得ます。
そんなこともあるのですね。

msiexec.exeがPC内に今三つあります。
(1)青い淵で中が白いアイコン
(2)パソコンの形をしたアイコン
(3)MS-DOSのような模様のアイコン（ショートカット）
この中で(2)はC:\WINDOWS\system32\msiexec.exeとして入っています。
あとの(1)と(3)も(2)と同じ場所へ移せばいいですか？？

回答No.6

heto2

★Excel関連のトラブル
Excelを一旦アンインストールして、再インストールしてみてください。

★xwkfpycy
スパイウエアが入っています。

★AZIP32.DLL
これもスパイウエアでしょうね。

★msiexec.exe
Search Assistantの中にこんなものが入るはずが無いんですが。

★デスクトップに移動されたmsiexec.exe
正規のファイルであれば
C:\WINDOWS\system32\msiexec.exeになります。

>マカフィー・フリースキャン
>なんか登録しないとできないんですよね…？

トレンドマイクロはスパイウエアに弱いので、マカフィーをお奨めしたんですが、気が進まないようなので止めておきましょう。

色々面倒な作業をするよりクリーンインストールしたほうが速いような気がします。

お礼

回答ありがとうございます。
>色々面倒な作業をするよりクリーンインストールしたほうが速いような気がします。
クリーンインストールって何ですか？

Office XPをCD-ROMからインストールする手段はできないです。WORDやEXCELなどは最初から入っていたので。マイクロソフトのページにofficeのアップデートのようなものがあるのですが、これとかやるといいのでしょうか？

msiexec.exeって削除したらどうなりますか？やっぱマイクロソフトのものなので大事なものですか？

補足

04/08/06 18:30頃記述。
追加情報です。
タスクマネージャのプロセスにsvchost.exeが５つあります。
みなさんのPCにも５個ありますか？？

回答No.5

heto2

☆C:\RECYCLERフォルダ

これはゴミ箱です。
ゴミ箱を空にするとこれらの項目は検出されなくなります。

☆ウィルス汚染

二種類のウィルスがあり三つのファイルが検出されています。

★TROJ_SMALL.KQ
http://www.trendmicro.co.jp/vinfo/virusencyclo/de
fault5.asp?VName=TROJ_SMALL.KQ

C:\WINDOWS\msopt.dll

★TROJ_DELF.AR
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=TROJ_DELF.AR

C:\Documents and Settings\XXXXXXX\Local Settings\Temp\Installer2.exe
C:\WINDOWS\UnstSA2.exe

☆ファイルの削除
タスクマネージャのプロセス画面で三つのプロパティの実行を停止させた後エキスプローラで三つのファイルを削除

☆レジストリ設定の削除

危険な作業ですので、レジストリのバックアップを作成します。
１．レジストリをエディター起動
２．メニューの「ファイル」「エクスポート」で適当な場所に保存してください。
（結構時間がかかります。）

TROJ_SMALL.KQについてはレジストリエディターで下記の「サブキー」を削除してください。（ルートキーや途中のキーを削除しないように）

HKEY_CLASSES_ROOT>icoo
HKEY_CLASSES_ROOT>CLSID>{4A8DADD4-5A25-4d41-8599-CB7458766220}
HKEY_CLASSES_ROOT>CLSID>{B9D90B27-AD4A-413a-88CB-3E6DDC10DC2D}
HKEY_CLASSES_ROOT>Protocols>Handler>icoo
HKEY_CURRENT_USER>Software>Adverts
HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Explorer>Browser Helper Objects>{B9D90B27-AD4A-413a-88CB-3E6DDC10DC2D}

TROJ_SMALL.KQについては、「HijackThis」を使って下記の行を選択、チェックを入れて「Fix checked」してください。

O4 - HKLM\..\Run:で始まる行で下記を含むもの
C:\WINDOWS\system32\\RUNDLL.EXE

★紛らわしいファイルの削除

このウィルスは次のようなファイルをインストールするようです。
もし残っていれば削除してください。
C:\WINDOWS\system32\AZIP32.DLL
C:\WINDOWS\system32\RUNDLL.DLL
C:\WINDOWS\system32\RUNDLL.EXE
C:\WINDOWS\system32\RUNDLL32.DLL

次のファイルはWindows正規のファイルです。
間違って削除しないように注意してください。

C:\WINDOWS\system32\rundll32.exe

復元ポイントの削除

パソコンを再起動して、正常に動作するのを確認できたら復元ポイントを削除してください。

Windows XP のシステムの復元機能を有効/無効にする方法
http://service1.symantec.com/SUPPORT/INTER/tsgeninfojapanesekb.nsf/jdocid/20020407222052953
http://support.microsoft.com/default.aspx?scid=kb;ja;263455

これらもExcelと関係があるのかどうか？
一度マカフィを試してください。
マカフィー・フリースキャン
http://jp.mcafee.com/root/mfs/default.asp?cid=9992

お礼

ご丁寧に回答ありがとうございます。
＞☆C:\RECYCLERフォルダ
＞これはゴミ箱です。
＞ゴミ箱を空にするとこれらの項目は検出されなくなります。
ゴミ箱だったのですね！

>☆レジストリ設定の削除
以降の行に出てくるものはすべてありませんでした。
すいません！msiexec.exeの青い淵で中は白のアイコンの正しい場所を教えてください！デスクトップに移動させてあとで戻そうと思ってたけど位置を忘れてしましました…。

＞一度マカフィを試してください。
＞マカフィー・フリースキャン
なんか登録しないとできないんですよね…？

補足

レジストリエディタで
Search Assistantの中に
xwkfpycy, msiexec.exe, AZIP32.DLL等怪しいものがあったのでエクスポートしてから削除しました。
素人の感なんですが，でも，これってファイルの検索をしたときに入れたキーワードがここに入ってくるだけだったりして…？？？

これまでの作業（トロイのファイル，レジストリ）をとりあえず一通りやってみましたが、インストーラは起動してしまいました。

追加情報です。
(1)EXCELのショートカットからEXCEL起動→インストーラの起動で邪魔されてEXCELは100%開けない。
(2)C:\Program Files\Microsoft Office\Office10のところにあるEXCEL.EXEを直接ダブルクリックで起動→インストーラを３回ほどキャンセルしてインストーラを無くせば，いちおEXCELは開く。普通に使える。でも他のアプリケーションにEXCELのグラフなどをコピーするとまたインストーラが起動してうざい。

回答No.4

heto2

☆シマンテック・オンラインスキャン

C:\WINDOWS\fizezmd.exe
C:\WINDOWS\lsn.exe

Trojanであればファイルを削除すればいいはずです。
「ウィルスに感染」であれば正規のファイルに不正なコードが追加されていると解釈されます。
その場合、不正なコードを除去する作業（駆除）が必要ですが、一般ユーザーではその作業は出来ませんのでウィルスソフトを使う必要があります。

いずれもウィルス情報が見つかりません。
ファイルのプロパティを調べて判断するしかないと思います。
バージョン情報を見て必要がなさそうなら削除です。

☆私なら・・・

下手に削除すると支障が出る可能性があります。
シマンテックの情報がはっきりしない場合そのままにしておきます。

C:\WINDOWS\lsn.exe
http://www.cku.ac.jp/abe/Sub11.htm
会計関係で使われているファイルであれば削除するとアプリケーションが正常に動作しなくなります。

いずれも、EXCELのマクロウィルスとは関係ないようです。

お礼

回答ありがとうございます。
プロパティを確認。
バージョン情報があるのは
Installer2.exe
UnstSA2.exe
の二つだけでどちらとも
会社名：Kalptaru Infotech Ltd.
言語：英語 (米国)
となっています。
ちなみに、それら二つをゴミ箱へ移動してもインストーラは起動しました。

補足

>いずれも、EXCELのマクロウィルスとは関係ないようです。
そのようですね。その二つのファイルをとりあえずゴミ箱へ移動させてEXCELを起動させましたが、インストーラも起動しました。ゴミ箱に移動しても空にしないと削除したことにならずトロイの木馬の影響力は残ってしまうのでしょうか？？

追加情報です。
トレンドマイクロ・オンラインスキャンの結果
ウイルスTROJ_DELF.AR駆除可能いいえファイルC:\Documents and Settings\XXXXXXX\Local Settings\Temp\Installer2.exe
ウイルスTROJ_AGENT.AE駆除可能いいえファイルC:\RECYCLER\S-1-5-21-3053764106-81842575-141928986-1005\Dc1.exe
ウイルスTROJ_AGENT.AE駆除可能いいえファイルC:\RECYCLER\S-1-5-21-3053764106-81842575-141928986-1005\Dc2.exe
ウイルスTROJ_SMALL.KQ駆除可能いいえファイルC:\WINDOWS\msopt.dll
ウイルスTROJ_DELF.AR駆除可能いいえファイルC:\WINDOWS\UnstSA2.exe

という5つのものが検出されました。
削除した方がいいですか？

回答No.3

Lum999

Excelのバージョンが判りませんが、Office2000で こんなサポート技術情報もあります。

[OFF2000] アプリケーションを起動するたびに Windows インストーラが表示される
http://support.microsoft.com/default.aspx?scid=kb;ja;265194&Product=xlw2kINT

参考URL：

http://support.microsoft.com/default.aspx?scid=kb;ja;265194&Product=xlw2kINT

お礼

04/08/05 18:55頃記述
回答ありがとうございます。
ExcelのバージョンはOffice XPです。
少しのことでもどんどん回答して頂きたいです。
現在、補足およびお礼の欄が満タンで新しい情報を書けない状況ですm(__)m

補足

URL見ました。そこには

原因
これらのメッセージは、レジストリ内の HKEY_CURRENT_USER\Software\Microsoft\Office\9.0\Common\LanguageResources キーに、以下の DWORD 値のいずれか (またはすべて) がない場合に、表示されることがあります。
UILanguage
HelpLanguage
InstallLanguage

というのがあります。
僕の場合Office XPなのでこれを参考にして
HKEY_CURRENT_USER\Software\Microsoft\Office\10.0\Common\LanguageResources キー
を見てみました。
そしたら、
UILanguage
HelpLanguage
InstallLanguage
はすべてありました。

回答No.2

heto2

マクロウィルスの影響かも・・・

msiexec.exeはマイクロソフトの正規のプログラムのはずです。（Windowsインストーラー）

このプログラムがプロセスに常駐というのはわかりません。

下記でウィルススキャンしてみてください。

シマンテック・オンラインスキャン
http://security1.norton.com/ssc/vc_about.asp?langid=jp&venid=sym&plfid=20&pkj=PZMCWOBWYSHSFVIGMKI

トレンドマイクロ・オンラインスキャン
http://www.trendmicro.co.jp/hcall/index.asp

マカフィー・フリースキャン
http://jp.mcafee.com/root/mfs/default.asp?cid=9992

お礼

2004/8/5/15:04頃
回答ありがとうございます。
msiexec.exeは常駐ではありませんでした。
動作を詳しく調査すると、
(1)EXCELを起動する前は常駐となっていない。
(2)EXCELを起動し、Office XPのインストーラが起動するとそのときプロセスにユーザー名SYSTEMとXXXXXXの二つのmsiexec.exeが出現。
(3)キャンセルでインストーラが消えた後プロセスにユーザー名SYSTEMのmsiexec.exeが常駐。
という動作でした。

補足

>このプログラムがプロセスに常駐というのはわかりません。
みなさんのPCには常駐とはなっていないのですか？