Windows 10にSysinternalsのAutorunを入れて実行してみる

はじめに

• フォレンジックツール？の代表的なものといえる，Autorunsをインストールして，どういう情報を参照できるか把握する．

入手

• Sysinternalsのサイトから無料で入手可能．

-Autoruns for Windows v13.96

--https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns

• 検索して最初に出てくる日本語のサイトにあるリンクだとダウンロードできないので注意．（2020年5月22日現在）

• 今回利用したのは，このバージョン．

• 2019年リリースのv13.96．

ZIPを展開する

• ダウンロードしたファイルは次の通り．

• ファイルを展開する．

• 今回は，64bitマシンなので，Autoruns64.exeを実行する．

Autoruns64.exeを実行

• エクスプローラで開く．

• 初回のみ，ライセンス同意ダイアログ．

• いろいろなタブに情報が表示されていることが確認できる．

Everythingタブを確認

• Autorunsには多くの情報が表示されているが，デフォルトで表示されているEverythingタブを確認してみる．

• たとえば，タスクスケジューラで何が登録されているか確認できる．

差分比較

• autorunsを実行すると，現在の構成情報を収集しているが，この時の情報を保存する．

• FileメニューのSaveを選択．

• 現在の状態をBefore.arnとしてとして保存する．

• このあと，プログラムをインストールしたりOSアップデートを行いシステム構成に変化をつける．

• その状態から，以前保存したbefore.arnファイルと比較を行う．

• Compareを選択．　

• 変化点がないというエラーになる．

• autorunsは，実行する都度，情報を収集するので，情報が更新されてない．

• 今回の場合，再度autorunsを実行する．autorunsを再起動すると，構成情報が再度収集される．

• 変化のあったファイルが確認できた．

• この場合，Windowsの起動の際に自動的にプログラムが起動するよう設定してあることが確認できた．

VirusTotalとの連携

• 変化のあったファイルを，マルウェアかどうかチェックをする．

• ファイルを選択し，Check VirusToitalを選択．

• Webブラウザが開き，VirusTotalのサイトにアクセスされる．

Process Explorerとの連携

• 同じSysinternalsで提供されている，Process Explorerと連携させることができる．

• ただし，Process Explorerを予め起動しておく必要がある．

• 起動した状態．

• メニューからProcessExplorerを選択．

• 今回の場合，Runsに登録されているプログラムが起動していたので，プロセスの詳細情報を取得することができた．