昔、インシデント調査で有用なツールを教えてもらったことがあるので、時間を見つけて残していきたい。
まず最初はAutoruns
■特徴
・Windowsの起動時に自動的に実行するプログラムの一覧を表示可能
・Sysinternal Toolsに同梱
・autoruns.exe と autorunsc.exeの2つのファイルが存在し、
autoruns.exeはGUIのツール、
autorunsc.exeはコマンドラインツール
■主な利用方法
「マルウェアは自動起動設定をどこかに設定しているはず」という仮説をもとに、マルウェアファイルを探索する場合に活用
■画面レイアウト
■簡単なポイント
・ピンク色に色付けられたところをまずはチェックしていく感じ
・Publisherが空欄のファイルは怪しい率アップ
・フィルタ設定（Optionsメニューから設定）が可能
⇒Hide Microsoft Entries のチェックを外すことで、発行者が「Microsoft Corporation」になっているエントリも表示可能
・気になるレコードで右クリックし、[Jump to Image]をクリックすると、該当ファイルのパスに移動できます。
・tempフォルダ等一時保管用のフォルダにある実行ファイルは怪しい率アップ
■注意点
・Publisherの情報は編集可能であるため、偽造されている可能性も考慮に入れて使う必要がある
■入手
本記事投稿時点での最新版はここからも入手できます。
バックアップはこちら