ハッキングで困っています。

Question

お世話になります。

７月から変質者にハッキングを繰り返されて困っています。そこで質問させていただきます。

windows10において、多くのサービスがありますが、この中において、blutooth ユーザーサポートサービス　caputure service、Gameとブロードキャストユーザーサービス、クリップボードユーザーサービス、connected Devices platform ユーザーサービス、　consentux credential enrollment manager user service 、device association broker 、divice picker デバイスフロー　、messaging service　、contact date 、print work flow 、udk user service

user date strage 、 user date access 、windows push notification user service　などをダブルクリックした中の、ログオンタブの設定がインストール初期からアカウントに選択され、それがLocal serviceやNet work service などではなく、空欄であるということは正常なのでしょうか。

以前、再インストールした後に、レジストリの変更を見ると、レジストリの書き換えられた跡が見つかり、他の部分もやられているのではないかと思っています。

Answer 1

プーアル茶様、nobuko c様　ご回答ありがとうございました。

攻撃を受けると、

（現在攻撃を受けるときは、大体初期化やインストール中なのですが、以前はある程度設定が終わってから攻撃を受けたこともありました）

起動時に不要なプログラムを読み込み、あるいは必要なプログラムを読み込まないらしく、起動が遅くなります。

ロゴマークの後に、黒い画面や青い画面になり、回転マークが出たり、お待ちくださいと出たりすることがあります。

また、インストール時に、途中で黒い画面に変わり、回転マークが出ます。

攻撃を受ける前は、すぐにパスワード画面に移行したのに、攻撃を受けるとひどく遅くなりました。

攻撃を受けると、パスワードが丸見え状態になります。以前、初期化後にパスワードを設定していた時に大量アクセスをされたり、サインインしたあと、突然PCのファンが騒音を発し、おかしいと思って電源を切り、再起動すると、ユーザー名のところが、パスワードに書き換えられていたこともありました。

インストール時におかしな症状が出て、インストール直後にはもう異常状態となっているため、ひょっとすると、windows10にはまだ穴があるのではないか、と思っています。完全ならインストール時や直後に異常が出るわけがないですから。

攻撃者は、有線も無線も使います。さらにusbポートも無線で侵入してきます。ルーターの電波はもとより、スマホ用の電波も使います。これは何度も実験して確かめました。

アンチウイルスソフトを試しましたが、検知されることはありませんでした。

後はお決まりのパターンで、ファイアウォールのログの停止、アンチウイルスソフトの停止、ネットの閲覧の妨害などがやられました。

どのような攻撃を受けたかを警告のため記録しておくと、

・ユーザー名をパスワードに書き換えられた。パスワード設定時にいきなり大量アクセスをやられた。

・サインインのときにPINやマイクロソフトアカウント、Ctrl + Alt + Delを使ってもアクセスを排除できない。

・レジストリの書き換えや削除。管理者権限が必要なHKEY_LOCAL_MACHINEでも簡単に書き換えてくる。・ファイアウォールのログ停止。ログへのアクセス制限。

・アンチウイルスソフトの停止。いくらアンチウイルスソフトでスキャンしても探知できない。

・サービスでのログオンのレジストリ書き換え。

・レジストリでtrustedinstallerを使う？

・ブートログを見ると、起動時に読み込まれていないものも。

・ファイルのディスク上のサイズを変えて、アクセスできないようにする。

・ブラウザの乗っ取り。検索ボタンが反応しない。

・以前windows10をインストールしようとしたところ、途中で止められた。

・PCに電源を入れるとすぐに反応してくる。昼夜問わず、携帯の電波は届くがwifiの電波が届かないはずの近くの山や地下でも関係なしに。　（反応があると、起動が遅くなり、黒い画面と回転マークなどへの移行が起きる。反応がないときは速やかにパスワード入力画面へ移行で　　きる。）

・PCのBIOS設定で、wlanやlanを止めても関係なしにアクセスしてくる。usbポートはキーボードやマウスの関係上、最低限は開けないとPC   

   が使えない。

・セーフモードを使うと、攻撃されてその後に元に戻すとPINや初期化すら使えない状態になる。

・ゲストアカウントの有効化

・ネット閲覧において、相手が好まないSNSサイトやwindows10の脆弱性情報などのサイトへのアクセスの妨害。

・クリーンインストールや初期化する度に攻撃を繰り返された。

・番外編で、家電でもリモコンが攻撃されたのか、異常な操作不能状態になり、放電してようやく回復。

いずれにせよ、これらはあくまでも結果であり、なぜ攻撃がインストール時、初期化時からできるのか、というのが問題だと思っています。

Answer 2

Takashi NISHIIE様　ご回答ありがとうございます。

現在使用しているPCは、HP Pavilion Elite HPE-450tで、Intel AMTとは関係ないかもしれません。

以前は、数台使っていたのですが、ことごとく攻撃を受けて対応にこのPCを使っている次第です。

遠隔操作にもいろいろあるのですね。驚き、かつ呆れました。

気持ちの悪いものですよ、身近な者ですらプライベートの情報を見られるのは抵抗があるのに、赤の他人がジロジロとのぞき込んで来るのは。

自分のPCだけでなく、家族のPCもお構いなしにのぞき込んでこんできます。おかげでPCの作業はストップしました。

現在コロナ騒ぎでリモートワークが増えていますが、こんな攻撃を受ければ仕事にならないと思います。

Answer 3

Takashi NISHIIE様　ご回答ありがとうございます。

私もDVDにおかしなものが入っていると困ると思いましたので、クラウドからの初期化、本体からの完全な初期化などを試してみましたが、初期化途中でおかしな症状が現れ、初期化直後には上記のような異常な状態になっていました。

７月から何十回もインストール、初期化を試してみて、その度に執拗に攻撃を受けました。以前は、windows７でサポートが切れてもアンチウイルスを入れておけばよい程度の認識だったのですが、今回攻撃を受けたことで、１０に変更しました。ところが、相手が執拗にインストールを妨害したり、インストールしようとしても途中で侵入プログラムを入れてくるため、インストールや初期化直後では異常なPCが出てきます。

攻撃を仕掛けてくる相手が販売者なら攻撃は限定的であり、ネットカフェなどで最新版をマイクロソフトのHPからダウンロードすれば済む話ですが、相手が匿名とはいえSNSでの旧知の人間達であり、近くのネットカフェや都内のネットカフェまで同じような症状が出たPCがあり、怖くてそのPCは使えませんでした。ちなみに、現在インストールしてみたDVDは、都内のネットカフェでMay 2020のisoをこの状況を知らない時に焼いたものです。東京やその周辺を見て、当方のPCだけでなく、他のPCに被害が出ているものがあることがわかり、今回のPCへの攻撃でどの程度のPCが攻撃を受け、この者たちがどの程度関与しているかは不明です。

Answer 4

mimizuku_999様　ご回答ありがとうございます。

・windowsは、初期状態から全くいじっていません。にもかかわらず、初期状態からこの状態にされてしまっています。

　攻撃からの防衛のためにやむなくレジストリなどを見ることになりました。以前はレジストリすらろくに見ることもなく、サービスも見る 

   ことはありませんでした。

   バックアップに関してですが、全くやっていません。ファイルなどはやむなく他のHDDに移動させる形になりました。

・ルーターを切り、ネットからの切断後のインストール、私も最初にそれを考えましたが、相手は関係なしに攻撃してきました。

　ひょっとすると、マイクロソフトからダウンロードしたisoのDVD作成時に、不正プログラムを入れられている可能性もありますが、クラウ

   ドからの初期化、本体の完全な個人設定排除の上での初期化でも同じ状態になりました。

・ルーターについては、色々な場所で設定をしてみましたが、どうもそこには相手の目がすでにあり、設定を見られてすぐ侵入されているよ

   うな感じなんですよね。今回プロバイダーさんに連絡したところ、ルーターを変えて頂きました。

　ログの取り方については、参考にさせて頂きます。以前、ルーターの中身を見たところ、ログは色々と出ていました。クリティカルとかも

　出ていましたが、いまいち見方がよくわかりませんでした。

　ファイウォールを全部閉じた上でルーターにつないでいるのですが、他の方のHPを見ると、ipフィルタやポートフィルタをかける方法が書

   いてあり、やったほうが良いかな、と思ってやりました。一応登録してみたのですが、別の項目に移動してから戻ると、ipフィルタが登録　したものが全部消されており、そこには、192.168.0.1という番号が書かれているだけでした。プロバイダーさんにお聞きしたところ、ルー

   ターは触らないほうが良いということでした。

 ・SNSサイトについては、以前ログインすると罵倒されたりしたため、他のアカウントも作りました。VPNを使ってアクセスしたこともあり　ました。ところが全部相手に筒抜けなんです。しまいには、ログインすらためらわれ、ログインせずに見る方法を選びました。ところが関　係なく、相手がこちらを認識してくるんです。ログインすらしていないのに、なんでわかるんだ、という感じでした。

Answer 5

空欄というのは、下記画像の事でしょうか。

オフラインでクリーンインストールを行なって確認してみてはどうでしょうか。

オフラインですと、アカウントのセットアップはローカルアカウントでの作成になります。

他の方も、アドバイスされていますが

一度、警視庁のサイバー犯罪対策課に電話で相談してみてはどうでしょうか。