セキュリティ on qwerty.work

【Windows10】無効化できないMicrosoft Defenderをサードパーティツールで強制的に無効化する

Thu, 18 Feb 2021 22:09:16 +0900

Windows10でどうやっても無効化できなかったMicrosoft Defenderを、なんとか無効化できた話。

2020年8月のアップデート以降、他社製のウィルスソフトがインストールされていないとWindows10のMicrosoft Defender（Windows Defender）の無効化は困難になっています。それをフリーソフトを使って無効化しました。

いきなり解決方法から知りたい方はこちらから見てください。

Windows Defenderを無効化したい訳

**『Windows Defenderが他のウィルスソフトとバッティングしているのではないか？！』**ということから始まったことなんですが、あるWindows10端末でやたらとネットワーク経由でエクセルやワードなどのファイルを開いたり、ローカルにコピーをしようとするとパソコンの動作が重たくなるといった症状に遭遇しました。

たまたま**『Windows10やOfficeのインストールをミスったかな？』と端末特有の不具合と思っていたのですが、他のスタッフが別メーカーの機種で同じ仕様のWindows10端末を作ったら見事に同じ症状**が出ました。

よって、何らかの原因があるのではないかと調べていくうちに**、『どうもウィルスバスターとWindows Defenderのリアルタイムスキャンのバッティング、またはウィルスバスターが怪しい』ということになりました。そこで、とりあえずMicrosoft Defender（Windows Defender）を無効化してみよう**と思った訳なんです。

ところが無効化できない！

実験的にウィルスバスターが入っていないMicrosoft Defenderが有効になっているPCで、Microsoft Defenderを無効化してみようと思ったのですが、一時的にリアルタイムスキャンを停止するこはできても、どうやっても完全な無効化はできませんでした。2020年8月のアップデート以降、他社製のウィルスソフトがインストールされていないとWindows10のMicrosoft Defender（Windows Defender）の無効化は困難になっているようです。

参考ページ

https://softantenna.com/wp/windows/windows-10-difficult-disable-windows-defender/ https://softantenna.com/wp/windows/windows-10-difficult-disable-windows-defender/

ちなみにWindows10 Pro v20H2(ビルド19042.804)のパソコンで試しました。

グループポリシーで無効化できなかった

ローカルグループポリシー（gpedit.msc）を起動して、以前のWindows10のバージョンではこれで無効化できるいう情報がネットにたくさん掲載されていましたので、以下の項目を有効化しました。ここを『有効』にすることで、Defenderが無効化される予定でした。しかし、再起動してもDefenderは無効になっておらず、設定は元の『未構成』に戻っていました。

［コンピューターの構成］-[管理用テンプレート]-[Windowsコンポーネント]-[Microsoft Defender ウィルス対策]-[Microsoft Defender ウィルス対策を無効にする]

レジストリでも無効化できなかった

以下のレジストリを登録すると、上記のグループポリシーを設定したことと同じことになるのですが、このレジストリを登録しても、再起動したら消えており、無効化できませんでした。

  キー
  HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsDefender


  値の名前
  DisableAntiSpyware


  タイプ
  RED_DWORD


  値のデータ
  1（無効）

以下の参考ページによると、このレジストリDisableAntiSpywareは2020年8月のアップデートから無効になってそうです。

参考ページ英語のページなので、翻訳して読んでください。

https://www.windowslatest.com/2020/08/19/microsoft-retires-disableantispyware-for-windows-defender/ https://www.windowslatest.com/2020/08/19/microsoft-retires-disableantispyware-for-windows-defender/

https://www.ghacks.net/2020/08/20/microsoft-makes-it-difficult-to-disable-windows-defender-on-windows-10/ https://www.ghacks.net/2020/08/20/microsoft-makes-it-difficult-to-disable-windows-defender-on-windows-10/

スタートアップの無効化もダメ

タスクマネージャーのスタートアップタブで、『Windows Security notifaction icon』を無効化しても、Defenderを無効化できませんでした。

サービスの無効化もできなかった

サービ**ス『Microsoft Defender Antivirus Service』**を停止し、スタートアップの無効化を試みましたが、メニューがグレーアウトされていて、停止すらできませんでした。

コマンドプロンプト（管理者）からnet stop WinDefendとsc stop WinDefendでコマンドによる停止もアクセス拒否でダメでした。

サードパーティのツールならできる？できた！

Defender Control

このフリーソフトを使えば無効化できました。再起動しても無効化を保持していました！

https://www.sordum.org/9480/defender-control-v1-7/ https://www.sordum.org/9480/defender-control-v1-7/

ダウンロードページ

https://www.sordum.org/downloads/?st-defender-control https://www.sordum.org/downloads/?st-defender-control

Defender Controlを起動して無効化ボタンを押すと、緑から赤に変わります。

↓

Windowsセキュリティの画面も変わり、PCを再起動してもDefenderがちゃんと無効化されたままになっていました。

↓

ConfigureDefender

これは試していません。

https://www.ghacks.net/2020/05/09/windows-defender-configuration-tool-configuredefender-3-0-0-0-released/ https://www.ghacks.net/2020/05/09/windows-defender-configuration-tool-configuredefender-3-0-0-0-released/

ダウンロードページ

https://github.com/AndyFul/ConfigureDefender https://github.com/AndyFul/ConfigureDefender

その他参考ページ

以下のページの方法では無効化できませんでしたが、こういう方法もあるのだなと参考にメモ。

https://freesoft.tvbok.com/win10/problems/windows-defender_turn_off.html#w02 https://freesoft.tvbok.com/win10/problems/windows-defender_turn_off.html#w02

メール内にあるepl.paypal-communication.comは本物？偽物？かを調べてみた

Sun, 13 Sep 2020 21:58:59 +0900

結論かいうと、この怪しさ満載のメールは本物でした。

発端はPayPalからのプレゼントメール

ペイパルから**『おめでとうございます〇〇様！1000円の特別クーポンをプレゼントいたします』**という以下の怪しいメールが届きました。応募した覚えもないのに1000円クーポンが届くなんてめちゃくちゃ怪しいです。

最近は楽天市場やアマゾン、Appleなどを語ったフィッシングメールが毎日届くため、その類でペイパルのフィシングメールかな？と思いました。フィッシングメールを手動で処理するのが面倒なので、いつも迷惑メールやブラックリストに登録して、次回からは自動的に破棄するようにルールを登録しています。今回もその登録をしておこうと思ったのですが、でも**ちょっと待てよ？本物かも？**と思いました。

メールに自分の名前が表示されている事が気になる

メールのタイトルや文章に〇〇様と自分の名前が入っていました。通常、メールアドレスが流出したり、収集されたりして迷惑メールが届くというのは考えられますが、**個人名までセットで漏れるか！？**ということです。しかも、私の苗字は珍しい苗字なので、**ひょっとしたら本物のメールかも？**と思いました。

仮にこのメールが偽物だったとしたら、どこから名前とメールアドレスがセットで漏れたのか？ということになる訳ですが、ペイパルを名前を語っているメールなので、もしペイパルから漏れたということであれば大問題な訳で、あのPayPalがそんなことしたら世間では大騒ぎになっているはずなんです。つい最近のドコモ口座や、ちょっと前のセブンペイみたいに。ところが、そんな騒ぎは起こっていません。そういうこともあり本物のメールかもしれないということで調べることにしました。

そもそもepl.paypal-communication.comというドメインが怪しい

そもそもメールの怪しさを醸し出しているのが以下のことです。

差出人がPayPal.comではなく、epl.paypal-communication.com（←クリックしても大丈夫です）であること。
epl.paypal-communication.comを開くと『400』とだけしか表示されないこと。
メール内にあるリンク全てがhttps://epl.paypal-communication.com/T/v4000001748215a2dac56ca9f4bbe5cfc0/19955280088f43760000021ef3a0bcc4/19955280-088f-4376-84ec-ef3b7b974c6b?dU=v0G4RBKTXg2GtDSXU69hUjn6ZGPAo1dkaYなど、あきらかに違うページにジャンプされるかのようなURLになっていること。（ちなみにこのリンクは本物のPayPal.comが開きました。）

ちなみに**『400』**のステータスはBadRequestのエラーを表しているかと思われます。何らかのクラインアントのエラーでサーバーが処理できない状態です。そう考えるとhttps://epl.paypal-communication.com/T/v4000001748215a2dac56ca9f4bbe5cfc0/19955280088f43760000021ef3a0bcc4/19955280-088f-4376-84ec-ef3b7b974c6b?dU=v0G4RBKTXg2GtDSXU69hUjn6ZGPAo1dkaYのようなパラーメータを処理するだけに使われているサーバーなのかもしれません。よってパラメータ無しでアクセスすると400エラーになるのかもしれません。

ここまでを見ると、怪しい偽物のメールにしてはものすごく手が込んでいるメールですね。

本物か見極めるために行ったこと

このメールが偽物かどうか、以下のことを調べてみました。

メールアドレスの詐称があるか確認

メールのソースを開いてみました。フィッシングメールの多くはほとんどのケースで差出人のメールアドレスを詐称していて、表示しているアドレスと、実際に返信するときのアドレスは全く別のドメインであったりしますが、今回のメールは差出人が PayPal@mail.PayPal.comで、返信先がbounce@mail.PayPal.comとなっていて、PayPal.com以外のドメインあは見当たりませんでした。

ちなみにiPhoneでメールアドレスが詐称されていないか見たとき。

偽物のメールだど、この経過で本物とはまったく別物のドメインが現れますが、今回は現れませんでした。よってメルはPayPalが送信したメールというのは間違いなさそうです。

epl.paypal-communication.comの証明書を確認

https://epl.paypal-communication.comをChromeで開いたとき、電子証明書の発行者がどうなっているの確認してみました。アドレスバーの鍵のマークをクリックしてみたところ、**『発行先:PayPal, Inc. [US]』**となっていました。

上記の証明書（有効）をクリックして証明書のプロパティも開いてみました。タブをそれぞれ開いてみたところ、すべてに**『epl.paypal-communication.com』**の文字がありました。

電子証明書についても特に怪しいところは見当たりませんでした。

ドメインの持ち主を確認

最後に、paypal-communication.comというドメインが本当に**PayPalが持ち主なのか？も調べてみました。DOMAINTOOLSのWhois Lookupで持ち主を調べたところ、所有者はPayPal Inc.**となっていました。

https://whois.domaintools.com/paypal-communication.com https://whois.domaintools.com/paypal-communication.com

本物でした。

もう間違いないですね。

メールアドレスの詐称なし
paypal-communication.comのドメイン所有者はPayPal
epl.paypal-communication.comで使われていた電子証明書の発行者もPayPal

ここまで調べて怪しいところがまったく見当たりませんでしたので、今回のメールは本物でした。

クーポンをゲット！

本物のメールで間違いないということがわかりましたので、クーポンをゲットしてみました。

1.メールの『今すぐクーポンを使用する』をクリック

2.ブラウザに表示された画面の「クーポンを保存する」をクリック

PayPalにログインしてからクリックしました。

3.『クーポンがウォレットに保存されました。』と表示されます。

4.『ウォレット』のページを見ると追加されていた

5.追加されたクーポンをクリックすると詳細を確認できました。

最後に

そもそもオフィシャルなメールなのに、本家とは別のドメインをメール内のリンクに使用しているというのが疑問です。フィッシングメールと思いますよね。今回は本物のメールでしたが、似たようなフィッシングメールには皆さまもお気を付けください。

改ざんで挿入されたPHPコードをDreamWeaverと正規表現で削除

Sun, 05 Mar 2017 18:43:58 +0900

ホームページのメンテをしていたら見覚えのないPHPのコードを発見。

$wp_salt,$wp_addfilter,$wp_saltと**$wp_が付く変数からしてWordPress絡みで改ざんされたっぽいです。一体どうやって改ざんするのかスゴイなと感心しながら、DreamWeaverで $wp_addfilter = create_function( **を検索してみました。

するとWordPressとは関係のない約130個のPHPファイルがヒットしました。

WordPressはたまにアップデートをするくらいで設置してからほとんど使うことはなく放置状態で、挿入されたコードの目的もよくわかりませんが、放置する訳にはいかないので削除することにしました。約130ファイルを手作業で削除することもできますが面倒なので、正規表現で削除することにしました。

ところが正規表現が超苦手で自力で条件を書くことができないのでヒントが無いか検索して以下のコードにたどり着いたのでメモ。たどり着くのに時間がかかったので手作業で削除したほうが早かったかもしれません…。

検索条件（正規表現）

以下の**"$md5 =** “と数回ある改行を含む一番最初の****という条件で改ざんコードを削除できました。

うまくいった検索条件

<\?php\r\n\$md5 \= \"(.*\r\n){0,10000}.*?\'\);\r\n\?>\r\n

もっと効率のいい条件があると思いますが、自分にはこの条件を作るのが精いっぱいで、これ以上の説明もうまくできません。

もともと参考にした条件

いろいろ検索して拾ってたき正規表現を使った検索条件です。これは複数回の改行を含むを全部検索対象にするものです。これを元に上記に変更しました。

<\?php(.*\r\n){0,10000}.*?\?>

検索および置換の実行

**「正規表現を使用」にチェックを入れて「すべて置換」**を押します。

実行した結果、以下のように約130ファイルから改ざんコードをスッキリ削除できました。

置き換え前

改ざんされて先頭行にPHPのコードが挿入されたもの。

置き換え後

挿入されていたコードをすっきり削除できました。

Malicious Software Removal Toolは悪意のあるソフトウェアの削除ツールだった。

Mon, 27 Feb 2017 20:41:23 +0900

Windows 10を起動したらMicrsoft Windows Malicious Software Removal Toolを実行していいかとUACが出た。発行元がMicrosoft Windowsにはなっているけどなんか怪しいので、とりあえず**「いいえ」**にしてみた。

スタートアップに登録があったので、当然起動の度にUACの画面が出ます。

マイクロソフトの名を語る新手のスパイウェアかアドウェアか、それとも別のマルウェアかな？とウィルスだと嫌だなということで検索したら、ちゃんとした悪意のあるソフトウェアの削除ツールでした。

https://support.microsoft.com/ja-jp/help/890830/the-microsoft-windows-malicious-software-removal-tool-helps-remove-specific,-prevalent-malicious-software-from-computers-that-are-running-supported-versions-of-windows https://support.microsoft.com/ja-jp/help/890830/the-microsoft-windows-malicious-software-removal-tool-helps-remove-specific,-prevalent-malicious-software-from-computers-that-are-running-supported-versions-of-windows

https://www.microsoft.com/ja-jp/download/malicious-software-removal-tool-details.aspx https://www.microsoft.com/ja-jp/download/malicious-software-removal-tool-details.aspx

ということで、**「はい」を押して実行したら「悪意のあるソフトウェアを削除しました」**とアクションセンターの通知が出たので通知をクリックしたら以下の画面が出ました。

一体何がいたのかな？と詳細を見るとトロイの木馬がいたみたいでそれが削除されたようです。

これ以降はスタートアップから消えており、今のところ起動時に表示されることはありません。

しかし、ウィルスバスターが入っているのにトロイの木馬を検出できていないほど役に立っていないのが残念です。

SSL/TLSサーバ証明書チェックツール・安全性評価サイトまとめ

Sun, 05 Feb 2017 16:00:13 +0900

SSL/TLS化したWEBサーバーにサーバ証明書が正しくインストールされているかチェックできるサイトのメモ。

https://sstool.cybertrust.ne.jp/support_tool/index01.php https://sstool.cybertrust.ne.jp/support_tool/index01.php

https://www.cman.jp/network/support/ssl.html https://www.cman.jp/network/support/ssl.html

http://comodo.jp/navi/sslchecker http://comodo.jp/navi/sslchecker

https://www.ssllabs.com/ssltest/ https://www.ssllabs.com/ssltest/

https://cryptoreport.websecurity.symantec.com/checker/ https://cryptoreport.websecurity.symantec.com/checker/

https://www.wormly.com/test_ssl/ https://www.wormly.com/test_ssl/

https://www.sslshopper.com/ssl-checker.html https://www.sslshopper.com/ssl-checker.html

https://www.networking4all.com/en/support/tools/site+check/ https://www.networking4all.com/en/support/tools/site+check/

https://www.digicert.com/help/ https://www.digicert.com/help/

https://www.geocerts.com/ssl_checker https://www.geocerts.com/ssl_checker

SSLサイトのWEBサーバーのクオリティーを評価してくれるサイト「ssllabs.com」

Thu, 02 Feb 2017 19:52:25 +0900

TSLおよびSSLでHTTPS化したWEBサイトのサーバーをテストしてくれるサイトssllabs.comのメモ。

HTTP（非SSL）サイトからSSL化したHTTPSサイトにしたとき、どのくらいのレベルのサイトになったか気になるところ。どんな基準で何を評価するのか全然分かりませんが、WEBサーバーを評価してくれます。

https://www.ssllabs.com/ssltest/を開いて、測定したいサイトのドメインを入力してSubmitボタンを押すだけ。

すると測定に何分かかかり、「ABC…」で評価が出ます。当ブログサイトはフリーで使えるCDNのCloudFlareを使って常時SSL化しているんですが**「A+」**が出ました。評価の内容はよくわかってませんが、とりあえず安心です。

ということで、SSL化の際は是非、利用してみてください。

https://www.ssllabs.com/ssltest/ https://www.ssllabs.com/ssltest/

ハードディスクのローレベルフォーマットができるWindowsのコマンド「DISKPART」

Thu, 29 Sep 2016 22:42:43 +0900

DISKPARTでハードディスクの中身をきれいさっぱり消す

廃棄ディスクの情報漏えい防止や、中古で購入したハードディスクやSSDの中身を完全に消去したいときがありますが、そのようなときはWindows標準の機能**「DISKPART」**が使えます。DISKPARTはディスクの管理のコマンドライン版みたいなもので、Windowsのどのバージョンでも使えます。

DISKPARTはコマンドプロンプトからコマンドで操作します。今回はDISKPARTのコマンドを使用して記憶領域全域にオール0を書き込んでデータをきれいさっぱり消す方法を見つけたので簡単にメモ。

情報漏えい対策に効果抜群！clean all実行で復元できない状態にできる

DISKPARTのclean allというコマンドを使うのですが、セキュアイレースと同じか違うのかよくわかりませんが、完全に情報を復元できないようにHDDやSSDに**物理フォーマット（Low Level Format）**をかけてボリュームとパーテーションもろとも跡形もなくすべて消してくれます。記憶領域のすべてを0で上書きするので、仮に復元ソフトを使用しても元データは復元できません。HDDを新品で購入したときのように、ディスクを初期化しないと使えない状態にしてくれます。ドライブを廃棄するときの情報漏えい対策に効果抜群です。

SDカードやUSBメモリにも使えます。

DISKPARTの使い方

DISKPARTはコマンドプロンプトを起動し、diskpartと打ってEnterを押して使います。

まず中身を消去したいドライブ番号を確認

DISKPART> list disk

ローレベルフォーマットをかけたいディスクを選択（指定）

ここを間違うとうっかり大事なデータが入ったドライブを消してしますので、よく対象のドライブかどうか確認してください。ドライブ指定のコマンドの書き方いくつかあります。以下のどれでもOKです。例えばドライブ番号が0の場合は以下のようになります。

DISKPART> select disk=0

DISKPART> select disk 0

DISKPART> sel disk 0

消去実行

以下のコマンドを実行すると、何の画面遷移や進捗状態の表示もなしにディスクのアクセスランプが激しく点滅し、で記憶領域全域に00を書き込んでくれます。HDDやSSDの容量が大きいと消去に時間がかかります。

DISKPART> clean all

簡易的な消去であれば秒殺で終わるcleanというコマンドもありますが、ボリュームやパーテーション情報のみを削除し、元データは上書きされないので情報漏えい対策とには向きません。

コマンドプロンプトのカーソルが点滅し、コマンドが入力ができるようになったらそれが完了の合図です。

その他の機能や参考ページ

DISKPARTはダイナミックディスクをベーシックディスクに変換することもできます。その方法は以下のページを参考にしてください。

ダイナミックディスクをベーシックディスクに変換するコマンド

DISKPARTの参考ページ

https://docs.microsoft.com/ja-jp/windows-server/administration/windows-commands/diskpart https://docs.microsoft.com/ja-jp/windows-server/administration/windows-commands/diskpart

情報漏えい対策が目的ならCipherというコマンドもあり

情報漏えい防止が目的で元データを復元できないようにするための他の手段として、Cipher /w:というコマンドもあります。これもWindows標準のコマンドで、指定したパーテーションに 0x00, 0xFF,乱数の順に元データの上に3回上書きしてくれるコマンドです。仮にEドライブを対象にした場合の使い方は以下のようになります。これも記憶容量が大きいと時間がかかります。

cipher /w:e:

ちなみにCipherは暗証や暗号とかの意味があり「サイファー」と読むようです。実行時はパーテーションに作業用としてEFSTMPWPというフォルダが作成され空フォルダとして残ります。残したくない場合は作業後に手動で削除することが必要です。

スクエニ名乗るフィッシングサイトに誘導するスパムメールが届いた。

Sat, 23 Apr 2016 22:08:23 +0900

ゲームしないのにautoinfo_jp＠account.square-enix.comというスクウェア・エニックスを名乗るメールアカウントから以下のメールが届いた。絶対に怪しいと思って、記載されているリンクにカーソルを合わせたところ、やはり記載のURLと違うアドレスが表示された。

【表示のリンク先】https://secure.square-enix.com/account/app/svc/Login?cont=account

【実際のジャンプ先】http://hiroba.dqx.jp.cxcsza.usa.cc/account/app/svc/login.html

最近のスパムメールは手が込んでるな。

これだけキレイにできてるとドラクエとかゲームしてる人はこのフィッシング詐欺に引っかかるかもしれませんね。

スクエニのアカウントを持ってる人が偽のログオン画面でログオンするとIDとパスワードを盗まれますので気を付けましょう。

スクエア・エニックスの注意喚起ページ

http://www.jp.square-enix.com/info/1308_attention.html

対処方法「このサイトはコンピュータに損害を与える可能性があります。」

Thu, 24 May 2012 21:14:48 +0900

あるサイトをあるキーワードでGoogle検索すると「このサイトはコンピュータに損害を与える可能性があります。」との注意文が検索結果に表示されているのでどうにかして欲しいと僕に相談の連絡が入りました。

検索の結果をクリックすると以下の文章。

警告- このウェブサイトにアクセスすると、コンピュータに損害が生じる可能性があります。

検索のヒント: 前のページに戻って、他の検索結果を選んでください。

別のキーワードで検索してみてください。または、ご自身の責任のもとで http://www.*****.com/ にアクセスできます。

見つかった問題の詳細については、Google が提供するこのサイトのセーフブラウジング診断ページをご覧ください。

不正なオンラインソフトウェアから保護する方法については、StopBadware.org をご覧ください。

サイトの管理者である場合は、Google のウェブマスター ツールを使用して、サイトの再審査を依頼できます。審査プロセスの詳細については、Google のウェブマスター ヘルプ センターをご覧ください。

文章中の「セーフブラウジング診断ページ（http://www.google.com/safebrowsing/diagnostic?site=http://www.*****.com/&hl=ja）をクリックすると以下の文章が現れた。

セーフブラウジング

診断ページ: http://www.*****.com/

http://www.*****.com/ の現在の状況

疑わしいサイトとして認識されています。このウェブサイトにアクセスするとコンピュータに損害を与える可能性があります。

過去 90 日間に、このサイトの一部で不審な動きが 3 回検出されています。

Google がこのサイトを巡回したときの状況

このサイトで過去 90 日間に Google がテストした 6 ページのうち 6 ページで、ユーザーの同意なしに不正なソフトウェアがダウンロードされ、インストールされていたことが判明しました。Google が最後にこのサイトを巡回したのは 2012-05-24 で、このサイトで不審なコンテンツが最後に検出されたのは 2012-05-24 です。このサイトは 1 個のネットワーク（AS2514 (INFOSPHERE) など）でホストされていたことが判明しました。

不正なソフトの感染を広げる媒介をしていたかどうか

過去 90 日間に http://www.*****.com/ が他サイトへの感染媒体となっていた形跡はありません。

サイトで不正なソフトウェアをホストしていたかどうか

いいえ、このサイトでは過去 90 日間に不正なソフトウェアのホスティングは検出されていません。

原因

第三者が正当なサイトに不正なコードを追加したことが原因で、警告メッセージが表示される可能性があります。

次のステップ:

前のページに戻ってください。
このウェブサイトの所有者の場合は、Google ウェブマスターツールを使用してサイトの審査をリクエストできます。審査手続きの詳細については、Google ウェブマスター   ヘルプセンターをご覧ください。

いろいろ検索してみると、原因は「ウィルス感染」によるサイトの改ざんでした！

どうやらパソコンの脆弱性をついて、ウィルスに感染したパソコンからサイトのFTPアカウントとパスワードを盗み出したり、サイトに攻撃をしかけたりして、不正なコードを書き込んでいくようです。

調査方法

サイトがウィルスに感染していたり、不正なコードが書き込まれていないか「gredでチェック」で検査したいURLを入力すると調べることができます。

実際に検索すると以下のように、改ざん（感染）しまくっていました。

対処方法

まず、FTPのパスワードが漏洩している可能性があるので、ウィルスに感染していないパソコンでパスワードを変更。

ウィルス感染で改ざんされた疑いのある該当のファイルを開いてみると、なんかおかしなコードがありました。（おかしなコードのみを抜粋して掲載しています。）

この部分を削除して再検査をしてみると「安全です」になりました。

ただ、検索結果には依然と「このサイトはコンピュータに損害を与える可能性があります。」と警告が出たままになっているので、Google ウェブマスターツールに審査リクエストをする必要があります。