Security on qwerty.work

【Windows10】無効化できないMicrosoft Defenderをサードパーティツールで強制的に無効化する

Thu, 18 Feb 2021 22:09:16 +0900

Windows10でどうやっても無効化できなかったMicrosoft Defenderを、なんとか無効化できた話。

2020年8月のアップデート以降、他社製のウィルスソフトがインストールされていないとWindows10のMicrosoft Defender（Windows Defender）の無効化は困難になっています。それをフリーソフトを使って無効化しました。

いきなり解決方法から知りたい方はこちらから見てください。

Windows Defenderを無効化したい訳

**『Windows Defenderが他のウィルスソフトとバッティングしているのではないか？！』**ということから始まったことなんですが、あるWindows10端末でやたらとネットワーク経由でエクセルやワードなどのファイルを開いたり、ローカルにコピーをしようとするとパソコンの動作が重たくなるといった症状に遭遇しました。

たまたま**『Windows10やOfficeのインストールをミスったかな？』と端末特有の不具合と思っていたのですが、他のスタッフが別メーカーの機種で同じ仕様のWindows10端末を作ったら見事に同じ症状**が出ました。

よって、何らかの原因があるのではないかと調べていくうちに**、『どうもウィルスバスターとWindows Defenderのリアルタイムスキャンのバッティング、またはウィルスバスターが怪しい』ということになりました。そこで、とりあえずMicrosoft Defender（Windows Defender）を無効化してみよう**と思った訳なんです。

ところが無効化できない！

実験的にウィルスバスターが入っていないMicrosoft Defenderが有効になっているPCで、Microsoft Defenderを無効化してみようと思ったのですが、一時的にリアルタイムスキャンを停止するこはできても、どうやっても完全な無効化はできませんでした。2020年8月のアップデート以降、他社製のウィルスソフトがインストールされていないとWindows10のMicrosoft Defender（Windows Defender）の無効化は困難になっているようです。

参考ページ

https://softantenna.com/wp/windows/windows-10-difficult-disable-windows-defender/ https://softantenna.com/wp/windows/windows-10-difficult-disable-windows-defender/

ちなみにWindows10 Pro v20H2(ビルド19042.804)のパソコンで試しました。

グループポリシーで無効化できなかった

ローカルグループポリシー（gpedit.msc）を起動して、以前のWindows10のバージョンではこれで無効化できるいう情報がネットにたくさん掲載されていましたので、以下の項目を有効化しました。ここを『有効』にすることで、Defenderが無効化される予定でした。しかし、再起動してもDefenderは無効になっておらず、設定は元の『未構成』に戻っていました。

［コンピューターの構成］-[管理用テンプレート]-[Windowsコンポーネント]-[Microsoft Defender ウィルス対策]-[Microsoft Defender ウィルス対策を無効にする]

レジストリでも無効化できなかった

以下のレジストリを登録すると、上記のグループポリシーを設定したことと同じことになるのですが、このレジストリを登録しても、再起動したら消えており、無効化できませんでした。

  キー
  HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsDefender


  値の名前
  DisableAntiSpyware


  タイプ
  RED_DWORD


  値のデータ
  1（無効）

以下の参考ページによると、このレジストリDisableAntiSpywareは2020年8月のアップデートから無効になってそうです。

参考ページ英語のページなので、翻訳して読んでください。

https://www.windowslatest.com/2020/08/19/microsoft-retires-disableantispyware-for-windows-defender/ https://www.windowslatest.com/2020/08/19/microsoft-retires-disableantispyware-for-windows-defender/

https://www.ghacks.net/2020/08/20/microsoft-makes-it-difficult-to-disable-windows-defender-on-windows-10/ https://www.ghacks.net/2020/08/20/microsoft-makes-it-difficult-to-disable-windows-defender-on-windows-10/

スタートアップの無効化もダメ

タスクマネージャーのスタートアップタブで、『Windows Security notifaction icon』を無効化しても、Defenderを無効化できませんでした。

サービスの無効化もできなかった

サービ**ス『Microsoft Defender Antivirus Service』**を停止し、スタートアップの無効化を試みましたが、メニューがグレーアウトされていて、停止すらできませんでした。

コマンドプロンプト（管理者）からnet stop WinDefendとsc stop WinDefendでコマンドによる停止もアクセス拒否でダメでした。

サードパーティのツールならできる？できた！

Defender Control

このフリーソフトを使えば無効化できました。再起動しても無効化を保持していました！

https://www.sordum.org/9480/defender-control-v1-7/ https://www.sordum.org/9480/defender-control-v1-7/

ダウンロードページ

https://www.sordum.org/downloads/?st-defender-control https://www.sordum.org/downloads/?st-defender-control

Defender Controlを起動して無効化ボタンを押すと、緑から赤に変わります。

↓

Windowsセキュリティの画面も変わり、PCを再起動してもDefenderがちゃんと無効化されたままになっていました。

↓

ConfigureDefender

これは試していません。

https://www.ghacks.net/2020/05/09/windows-defender-configuration-tool-configuredefender-3-0-0-0-released/ https://www.ghacks.net/2020/05/09/windows-defender-configuration-tool-configuredefender-3-0-0-0-released/

ダウンロードページ

https://github.com/AndyFul/ConfigureDefender https://github.com/AndyFul/ConfigureDefender

その他参考ページ

以下のページの方法では無効化できませんでしたが、こういう方法もあるのだなと参考にメモ。

https://freesoft.tvbok.com/win10/problems/windows-defender_turn_off.html#w02 https://freesoft.tvbok.com/win10/problems/windows-defender_turn_off.html#w02

改ざんで挿入されたPHPコードをDreamWeaverと正規表現で削除

Sun, 05 Mar 2017 18:43:58 +0900

ホームページのメンテをしていたら見覚えのないPHPのコードを発見。

$wp_salt,$wp_addfilter,$wp_saltと**$wp_が付く変数からしてWordPress絡みで改ざんされたっぽいです。一体どうやって改ざんするのかスゴイなと感心しながら、DreamWeaverで $wp_addfilter = create_function( **を検索してみました。

するとWordPressとは関係のない約130個のPHPファイルがヒットしました。

WordPressはたまにアップデートをするくらいで設置してからほとんど使うことはなく放置状態で、挿入されたコードの目的もよくわかりませんが、放置する訳にはいかないので削除することにしました。約130ファイルを手作業で削除することもできますが面倒なので、正規表現で削除することにしました。

ところが正規表現が超苦手で自力で条件を書くことができないのでヒントが無いか検索して以下のコードにたどり着いたのでメモ。たどり着くのに時間がかかったので手作業で削除したほうが早かったかもしれません…。

検索条件（正規表現）

以下の**"$md5 =** “と数回ある改行を含む一番最初の****という条件で改ざんコードを削除できました。

うまくいった検索条件

<\?php\r\n\$md5 \= \"(.*\r\n){0,10000}.*?\'\);\r\n\?>\r\n

もっと効率のいい条件があると思いますが、自分にはこの条件を作るのが精いっぱいで、これ以上の説明もうまくできません。

もともと参考にした条件

いろいろ検索して拾ってたき正規表現を使った検索条件です。これは複数回の改行を含むを全部検索対象にするものです。これを元に上記に変更しました。

<\?php(.*\r\n){0,10000}.*?\?>

検索および置換の実行

**「正規表現を使用」にチェックを入れて「すべて置換」**を押します。

実行した結果、以下のように約130ファイルから改ざんコードをスッキリ削除できました。

置き換え前

改ざんされて先頭行にPHPのコードが挿入されたもの。

置き換え後

挿入されていたコードをすっきり削除できました。

スクエニ名乗るフィッシングサイトに誘導するスパムメールが届いた。

Sat, 23 Apr 2016 22:08:23 +0900

ゲームしないのにautoinfo_jp＠account.square-enix.comというスクウェア・エニックスを名乗るメールアカウントから以下のメールが届いた。絶対に怪しいと思って、記載されているリンクにカーソルを合わせたところ、やはり記載のURLと違うアドレスが表示された。

【表示のリンク先】https://secure.square-enix.com/account/app/svc/Login?cont=account

【実際のジャンプ先】http://hiroba.dqx.jp.cxcsza.usa.cc/account/app/svc/login.html

最近のスパムメールは手が込んでるな。

これだけキレイにできてるとドラクエとかゲームしてる人はこのフィッシング詐欺に引っかかるかもしれませんね。

スクエニのアカウントを持ってる人が偽のログオン画面でログオンするとIDとパスワードを盗まれますので気を付けましょう。

スクエア・エニックスの注意喚起ページ

http://www.jp.square-enix.com/info/1308_attention.html