セキュリティ on qwerty.work

【Windows10】無効化できないMicrosoft Defenderをサードパーティツールで強制的に無効化する

Thu, 18 Feb 2021 22:09:16 +0900

Windows10でどうやっても無効化できなかったMicrosoft Defenderを、なんとか無効化できた話。

2020年8月のアップデート以降、他社製のウィルスソフトがインストールされていないとWindows10のMicrosoft Defender（Windows Defender）の無効化は困難になっています。それをフリーソフトを使って無効化しました。

いきなり解決方法から知りたい方はこちらから見てください。

Windows Defenderを無効化したい訳

**『Windows Defenderが他のウィルスソフトとバッティングしているのではないか？！』**ということから始まったことなんですが、あるWindows10端末でやたらとネットワーク経由でエクセルやワードなどのファイルを開いたり、ローカルにコピーをしようとするとパソコンの動作が重たくなるといった症状に遭遇しました。

たまたま**『Windows10やOfficeのインストールをミスったかな？』と端末特有の不具合と思っていたのですが、他のスタッフが別メーカーの機種で同じ仕様のWindows10端末を作ったら見事に同じ症状**が出ました。

よって、何らかの原因があるのではないかと調べていくうちに**、『どうもウィルスバスターとWindows Defenderのリアルタイムスキャンのバッティング、またはウィルスバスターが怪しい』ということになりました。そこで、とりあえずMicrosoft Defender（Windows Defender）を無効化してみよう**と思った訳なんです。

ところが無効化できない！

実験的にウィルスバスターが入っていないMicrosoft Defenderが有効になっているPCで、Microsoft Defenderを無効化してみようと思ったのですが、一時的にリアルタイムスキャンを停止するこはできても、どうやっても完全な無効化はできませんでした。2020年8月のアップデート以降、他社製のウィルスソフトがインストールされていないとWindows10のMicrosoft Defender（Windows Defender）の無効化は困難になっているようです。

参考ページ

https://softantenna.com/wp/windows/windows-10-difficult-disable-windows-defender/ https://softantenna.com/wp/windows/windows-10-difficult-disable-windows-defender/

ちなみにWindows10 Pro v20H2(ビルド19042.804)のパソコンで試しました。

グループポリシーで無効化できなかった

ローカルグループポリシー（gpedit.msc）を起動して、以前のWindows10のバージョンではこれで無効化できるいう情報がネットにたくさん掲載されていましたので、以下の項目を有効化しました。ここを『有効』にすることで、Defenderが無効化される予定でした。しかし、再起動してもDefenderは無効になっておらず、設定は元の『未構成』に戻っていました。

［コンピューターの構成］-[管理用テンプレート]-[Windowsコンポーネント]-[Microsoft Defender ウィルス対策]-[Microsoft Defender ウィルス対策を無効にする]

レジストリでも無効化できなかった

以下のレジストリを登録すると、上記のグループポリシーを設定したことと同じことになるのですが、このレジストリを登録しても、再起動したら消えており、無効化できませんでした。

  キー
  HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsDefender


  値の名前
  DisableAntiSpyware


  タイプ
  RED_DWORD


  値のデータ
  1（無効）

以下の参考ページによると、このレジストリDisableAntiSpywareは2020年8月のアップデートから無効になってそうです。

参考ページ英語のページなので、翻訳して読んでください。

https://www.windowslatest.com/2020/08/19/microsoft-retires-disableantispyware-for-windows-defender/ https://www.windowslatest.com/2020/08/19/microsoft-retires-disableantispyware-for-windows-defender/

https://www.ghacks.net/2020/08/20/microsoft-makes-it-difficult-to-disable-windows-defender-on-windows-10/ https://www.ghacks.net/2020/08/20/microsoft-makes-it-difficult-to-disable-windows-defender-on-windows-10/

スタートアップの無効化もダメ

タスクマネージャーのスタートアップタブで、『Windows Security notifaction icon』を無効化しても、Defenderを無効化できませんでした。

サービスの無効化もできなかった

サービ**ス『Microsoft Defender Antivirus Service』**を停止し、スタートアップの無効化を試みましたが、メニューがグレーアウトされていて、停止すらできませんでした。

コマンドプロンプト（管理者）からnet stop WinDefendとsc stop WinDefendでコマンドによる停止もアクセス拒否でダメでした。

サードパーティのツールならできる？できた！

Defender Control

このフリーソフトを使えば無効化できました。再起動しても無効化を保持していました！

https://www.sordum.org/9480/defender-control-v1-7/ https://www.sordum.org/9480/defender-control-v1-7/

ダウンロードページ

https://www.sordum.org/downloads/?st-defender-control https://www.sordum.org/downloads/?st-defender-control

Defender Controlを起動して無効化ボタンを押すと、緑から赤に変わります。

↓

Windowsセキュリティの画面も変わり、PCを再起動してもDefenderがちゃんと無効化されたままになっていました。

↓

ConfigureDefender

これは試していません。

https://www.ghacks.net/2020/05/09/windows-defender-configuration-tool-configuredefender-3-0-0-0-released/ https://www.ghacks.net/2020/05/09/windows-defender-configuration-tool-configuredefender-3-0-0-0-released/

ダウンロードページ

https://github.com/AndyFul/ConfigureDefender https://github.com/AndyFul/ConfigureDefender

その他参考ページ

以下のページの方法では無効化できませんでしたが、こういう方法もあるのだなと参考にメモ。

https://freesoft.tvbok.com/win10/problems/windows-defender_turn_off.html#w02 https://freesoft.tvbok.com/win10/problems/windows-defender_turn_off.html#w02

エクセル、ワード、パワーポイントの「プライベートネットワーク上にある信頼できる場所を許可する」のレジストリ

Sat, 29 Sep 2018 10:53:14 +0900

エクセル、ワード、パワーポイントの「プライベートネットワーク上にある信頼できる場所を許可する」のレジストリのメモ。

Office 2013（15.0）のExcel、Word、PowerPoint を例にしていますが、Office 2016（16.0）、Office 2010（14.0）でも使える方法です。

以下の画面の部分のチェックボックスをON/OFFをレジストリで設定

この画面は [ファイル]-[オプション]-[セキュリティセンター]-[セキュリティセンターの設定]-[信頼できる場所] から開けます。

このチェックボックスをONにしても、対象の場所にプライベートネットワーク上の共有フォルダの場所が追加されていないと意味がないので、別途場所（パス）の追加が必要です。

エクセル（Excel)

ワード（Word)

パワーポイント（PowerPoint)

レジストリ

エクセル（Excel)

キー HKEY_CURRENT_USER\Software\Microsoft\Office\15.0\Excel\Security\Trusted Locations

  値の名前
  AllowNetworkLocations


  種類
  REG_DWORD


  値のデータ
  0 → チェックなしの状態（デフォルト）

    1 → チェックありの状態

※一度も設定したことがない場合、このキーは存在していません。

ワード（Word)

  キー      HKEY_CURRENT_USER\Software\Microsoft\Office\15.0\Word\Security\Trusted Locations


  値の名前
  AllowNetworkLocations


  種類
  REG_DWORD


  値のデータ
  0 → チェックなしの状態（デフォルト）

    1 → チェックありの状態

※一度も設定したことがない場合、このキーは存在していません。

パワーポイント（PowerPoint)

  キー      HKEY_CURRENT_USER\Software\Microsoft\Office\15.0\PowerPoint\Security\Trusted Locations


  値の名前
  AllowNetworkLocations


  種類
  REG_DWORD


  値のデータ
  0 → チェックなしの状態（デフォルト）

    1 → チェックありの状態

※一度も設定したことがない場合、このキーは存在していません。

バッチファイル

このレジストリを登録するバッチファイルの例です。エクセル・ワード・パワーポイント全部の「プライベートネットワーク上にある信頼できる場所を許可する」のチェックをONにします。

@echo off<br><br>
reg add "HKEY_CURRENT_USER\Software\Microsoft\Office\15.0\Excel\Security\Trusted Locations" /v "DisableInternetFilesInPV" /t REG_DWORD /d "1" /f<br>
reg add "HKEY_CURRENT_USER\Software\Microsoft\Office\15.0\Word\Security\Trusted Locations" /v "DisableUnsafeLocationsInPV" /t REG_DWORD /d "1" /f<br>
reg add "HKEY_CURRENT_USER\Software\Microsoft\Office\15.0\PowerPoint\Security\Trusted Locations" /v "DisableAttachmentsInPV" /t REG_DWORD /d "1" /f<br><br>
pause<br>
exit

バッチファイルを実行した後、レジストリは以下のようになっているはずです。

パワーポイント（PowerPoint）の保護ビュー（保護されたビュー）を有効・無効にするレジストリ

Fri, 28 Sep 2018 16:25:01 +0900

ネットワーク上の共有フォルダからパワーポイント（PowerPoint）のファイルを開くと出てくる「編集を有効にする」というボタンがうっとうしいので、これが出ないようにするためのレジストリのメモ。

Word 2013（15.0）を例にしていますが、Word 2016（16.0）、Word 2010（14.0）でも使える方法です。

以下のパワーポイント（PowerPoint）のオプション画面で設定する部分のレジストリです。

この画面は [ファイル]-[オプション]-[セキュリティセンター]-[セキュリティセンターの設定]-[保護ビュー] から開けます。

レジストリ

インターネットから取得したファイルに対して、保護ビューを有効にする

キー HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\15.0\PowerPoint\Security\ProtectedView

  値の名前
  DisableInternetFilesInPV


  種類
  REG_DWORD


  値のデータ
  0 → 有効（チェックありの状態・デフォルト）

    1 → 無効（チェックなしの状態）

※一度も設定したことがない場合、このキーは存在していません。

安全でない可能性のある場所のファイルに対して、保護ビューを有効にする

キー HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\15.0\PowerPoint\Security\ProtectedView

値の名前
DisableUnsafeLocationsInPV


種類
REG_DWORD


値のデータ
0 → 有効（チェックありの状態・デフォルト）

  1 → 無効（チェックなしの状態）

※一度も設定したことがない場合、このキーは存在していません。

Outlookの添付ファイルに対して、保護されたビューを有効にする

キー
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\15.0\PowerPoint\Security\ProtectedView


値の名前
DisableAttachmentsInPV


種類
REG_DWORD


値のデータ
0 → 有効（チェックありの状態・デフォルト）

  1 → 無効（チェックなしの状態）

※一度も設定したことがない場合、このキーは存在していません。

バッチファイル

このレジストリを登録するバッチファイルの例です。3つあるすべての保護ビューを無効（チェックなしの状態）にします。有効にしたい場合は “1” の部分を “0” に変更してください。

@echo off<br>
set REGROOT=HKEY_CURRENT_USER\Software\Microsoft\Office\15.0\PowerPoint\Security\ProtectedView<br><br>reg add "%REGROOT%" /v "DisableInternetFilesInPV" /t REG_DWORD /d "1" /f
reg add "%REGROOT%" /v "DisableUnsafeLocationsInPV" /t REG_DWORD /d "1" /f
reg add "%REGROOT%" /v "DisableAttachmentsInPV" /t REG_DWORD /d "1" /f<br><br>pause<br>exit

バッチファイルを実行した後、レジストリは以下のようになっているはずです。

他のアプリケーションも同様に設定したいとき

エクセル（Excel)、ワード（Word）も同様のレジストリで設定できます。

ワード（Word）の保護ビュー（保護されたビュー）を有効・無効にするレジストリ

Fri, 28 Sep 2018 15:59:09 +0900

ネットワーク上の共有フォルダからワード（Word)のファイルを開くと出てくる「編集を有効にする」というボタンがうっとうしいので、これが出ないようにするためのレジストリのメモ。

Word 2013（15.0）を例にしていますが、Word 2016（16.0）、Word 2010（14.0）でも使える方法です。

以下のワード（Word)のオプション画面で設定する部分のレジストリです。

この画面は [ファイル]-[オプション]-[セキュリティセンター]-[セキュリティセンターの設定]-[保護ビュー] から開けます。

レジストリ

インターネットから取得したファイルに対して、保護ビューを有効にする

キー HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\15.0\Word\Security\ProtectedView

  値の名前
  DisableInternetFilesInPV


  種類
  REG_DWORD


  値のデータ
  0 → 有効（チェックありの状態・デフォルト）

    1 → 無効（チェックなしの状態）

※一度も設定したことがない場合、このキーは存在していません。

安全でない可能性のある場所のファイルに対して、保護ビューを有効にする

キー HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\15.0\Word\Security\ProtectedView

値の名前
DisableUnsafeLocationsInPV


種類
REG_DWORD


値のデータ
0 → 有効（チェックありの状態・デフォルト）

  1 → 無効（チェックなしの状態）

※一度も設定したことがない場合、このキーは存在していません。

Outlookの添付ファイルに対して、保護されたビューを有効にする

キー
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\15.0\Word\Security\ProtectedView


値の名前
DisableAttachmentsInPV


種類
REG_DWORD


値のデータ
0 → 有効（チェックありの状態・デフォルト）

  1 → 無効（チェックなしの状態）

※一度も設定したことがない場合、このキーは存在していません。

バッチファイル

@echo off<br>
set REGROOT=HKEY_CURRENT_USER\Software\Microsoft\Office\15.0\Word\Security\ProtectedView<br><br>reg add "%REGROOT%" /v "DisableInternetFilesInPV" /t REG_DWORD /d "1" /f
reg add "%REGROOT%" /v "DisableUnsafeLocationsInPV" /t REG_DWORD /d "1" /f
reg add "%REGROOT%" /v "DisableAttachmentsInPV" /t REG_DWORD /d "1" /f<br><br>pause<br>exit

バッチファイルを実行した後、レジストリは以下のようになっているはずです。

他のアプリケーションも同様に設定したいとき

エクセル（Excel)、パワーポイント（PowerPoint）も同様のレジストリで設定できます。

エクセル（Excel）の保護ビュー（保護されたビュー）を有効・無効にするレジストリ

Fri, 28 Sep 2018 09:13:50 +0900

ネットワーク上の共有フォルダからエクセル（Excel)のファイルを開くと出てくる「編集を有効にする」というボタンがうっとうしいので、これが出ないようにするためのレジストリのメモ。

Excel 2013（15.0）を例にしていますが、Excel 2016（16.0）、Excel 2010（14.0）でも使える方法です。

以下のエクセル（Excel)のオプション画面で設定する部分のレジストリです。

この画面は [ファイル]-[オプション]-[セキュリティセンター]-[セキュリティセンターの設定]-[保護ビュー] から開けます。

レジストリ

インターネットから取得したファイルに対して、保護ビューを有効にする

キー HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\15.0\Excel\Security\ProtectedView

  値の名前
  DisableInternetFilesInPV


  種類
  REG_DWORD


  値のデータ
  0 → 有効（チェックありの状態・デフォルト）

    1 → 無効（チェックなしの状態）

※一度も設定したことがない場合、このキーは存在していません。

安全でない可能性のある場所のファイルに対して、保護ビューを有効にする

キー HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\15.0\Excel\Security\ProtectedView

値の名前
DisableUnsafeLocationsInPV


種類
REG_DWORD


値のデータ
0 → 有効（チェックありの状態・デフォルト）

  1 → 無効（チェックなしの状態）

※一度も設定したことがない場合、このキーは存在していません。

Outlookの添付ファイルに対して、保護されたビューを有効にする

キー
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\15.0\Excel\Security\ProtectedView


値の名前
DisableAttachmentsInPV


種類
REG_DWORD


値のデータ
0 → 有効（チェックありの状態・デフォルト）

  1 → 無効（チェックなしの状態）

※一度も設定したことがない場合、このキーは存在していません。

バッチファイル

@echo off<br>
set REGROOT=HKEY_CURRENT_USER\Software\Microsoft\Office\15.0\Excel\Security\ProtectedView<br><br>reg add "%REGROOT%" /v "DisableInternetFilesInPV" /t REG_DWORD /d "1" /f
reg add "%REGROOT%" /v "DisableUnsafeLocationsInPV" /t REG_DWORD /d "1" /f
reg add "%REGROOT%" /v "DisableAttachmentsInPV" /t REG_DWORD /d "1" /f<br><br>pause<br>exit

バッチファイルを実行した後、レジストリは以下のようになっているはずです。

他のアプリケーションも同様に設定したいとき

ワード（Word）、パワーポイント（PowerPoint)も同様のレジストリで設定できます。

解決！リモートデスクトップが「原因はCredSSP暗号化オラクルの修復で...」で接続できないとき

Mon, 28 May 2018 20:45:08 +0900

突然リモートデスクトップができなくなった

2018年5月の月例ロールアップ適用後のWindows10のクライアントからWindows7のPCにリモートデスクトップによる接続ができなくなりました。接続しようとすると以下のエラーが表示されるようになりました。

リモートデスクトップ接続

認証エラーが発生しました。

要求された関数はサポートされていません

リモートコンピューター: 192.168.0.111

原因は CredSSP 暗号化オラクルの修復である可能性があります。

詳細については、https://go.microsoft.com/fwlink/?linkid=866660 を参照してください

原因はWindows Updateのパッチ

操作する側（クラインアント）PCと、操作される側（サーバー）で適用しているパッチの状況により、セキュリティレベルが異なることが原因でした。

今回は症状が発生した状況は、クライアントPC（Windows10)は現在最新の2018年05月の月例ロールアップが適用されていて、操作される側のPC(Windows7)はインターネットに接続していない為、Windows Updateによる更新プログラムの適用はほぼ行われていない状態でした。以下の表のケース４に該当していました。

   
  接続元クライアント

    （操作する側）
  接続先サーバー

  （操作される側）
  接続可否




  ケース１
  2018年3月更新プログラム

  未適用

  2018年3月更新プログラム

未適用接続可能

  ケース２
  2018年3月更新プログラム

適用済み 2018年3月更新プログラム

  未適用
  接続可能


  ケース３
  2018年3月更新プログラム

適用済み 2018年3月更新プログラム

適用済み接続可能

  ケース４
  2018年5月更新プログラム

    適用済み
  2018年3月更新プログラム

    未適用
  接続不可


  ケース５
  2018年5月更新プログラム

    適用済み
  2018年3月更新プログラム

  適用済み
  接続可能


  ケース６
  2018年5月更新プログラム

    適用済み
  2018年5月更新プログラム

    適用済み
  接続可能

詳細については以下のマイクロソフトのページを参考にしてください。

https://blogs.technet.microsoft.com/askcorejp/2018/05/02/2018-05-rollup-credssp-rdp/ https://blogs.technet.microsoft.com/askcorejp/2018/05/02/2018-05-rollup-credssp-rdp/

レジストリやポリシーでセキュリティレベルを下げることで回避する方法もあるようですが、月例ロールアップを適用することをお勧めします。

パッチ適用で解決できた

操作される側（Windows7)に2018年5月の月例パッチを適用することで無事接続できるようになりました。 Window 10/8.1/7のパッチのダウンロード先は以下のページにまとめていますので、参考にしてください。

その他参考

https://qiita.com/fjtter/items/be213ff906b17809bf92 https://qiita.com/fjtter/items/be213ff906b17809bf92

改ざんで挿入されたPHPコードをDreamWeaverと正規表現で削除

Sun, 05 Mar 2017 18:43:58 +0900

ホームページのメンテをしていたら見覚えのないPHPのコードを発見。

$wp_salt,$wp_addfilter,$wp_saltと**$wp_が付く変数からしてWordPress絡みで改ざんされたっぽいです。一体どうやって改ざんするのかスゴイなと感心しながら、DreamWeaverで $wp_addfilter = create_function( **を検索してみました。

するとWordPressとは関係のない約130個のPHPファイルがヒットしました。

WordPressはたまにアップデートをするくらいで設置してからほとんど使うことはなく放置状態で、挿入されたコードの目的もよくわかりませんが、放置する訳にはいかないので削除することにしました。約130ファイルを手作業で削除することもできますが面倒なので、正規表現で削除することにしました。

ところが正規表現が超苦手で自力で条件を書くことができないのでヒントが無いか検索して以下のコードにたどり着いたのでメモ。たどり着くのに時間がかかったので手作業で削除したほうが早かったかもしれません…。

検索条件（正規表現）

以下の**"$md5 =** “と数回ある改行を含む一番最初の****という条件で改ざんコードを削除できました。

うまくいった検索条件

<\?php\r\n\$md5 \= \"(.*\r\n){0,10000}.*?\'\);\r\n\?>\r\n

もっと効率のいい条件があると思いますが、自分にはこの条件を作るのが精いっぱいで、これ以上の説明もうまくできません。

もともと参考にした条件

いろいろ検索して拾ってたき正規表現を使った検索条件です。これは複数回の改行を含むを全部検索対象にするものです。これを元に上記に変更しました。

<\?php(.*\r\n){0,10000}.*?\?>

検索および置換の実行

**「正規表現を使用」にチェックを入れて「すべて置換」**を押します。

実行した結果、以下のように約130ファイルから改ざんコードをスッキリ削除できました。

置き換え前

改ざんされて先頭行にPHPのコードが挿入されたもの。

置き換え後

挿入されていたコードをすっきり削除できました。

スクエニ名乗るフィッシングサイトに誘導するスパムメールが届いた。

Sat, 23 Apr 2016 22:08:23 +0900

ゲームしないのにautoinfo_jp＠account.square-enix.comというスクウェア・エニックスを名乗るメールアカウントから以下のメールが届いた。絶対に怪しいと思って、記載されているリンクにカーソルを合わせたところ、やはり記載のURLと違うアドレスが表示された。

【表示のリンク先】https://secure.square-enix.com/account/app/svc/Login?cont=account

【実際のジャンプ先】http://hiroba.dqx.jp.cxcsza.usa.cc/account/app/svc/login.html

最近のスパムメールは手が込んでるな。

これだけキレイにできてるとドラクエとかゲームしてる人はこのフィッシング詐欺に引っかかるかもしれませんね。

スクエニのアカウントを持ってる人が偽のログオン画面でログオンするとIDとパスワードを盗まれますので気を付けましょう。

スクエア・エニックスの注意喚起ページ

http://www.jp.square-enix.com/info/1308_attention.html