WindowsでMicrosoft Defenderを無効にするアプリからの保護方法

Microsoft Defenderアイコンの無効化サイン付きテック背景

最近、Defendnotというアプリが、サードパーティのアプリがWindowsの正当な機能を利用してMicrosoft Defenderを無効にする方法を示しました。このアプリは主に研究目的ですが、正当な機能が悪意あるプログラムによって悪用され、Windowsの保護が無効にされることに懸念を引き起こします。このガイドでは、アプリがこの脆弱性を利用するのからPCを守る方法を説明します。

アプリがMicrosoft Defenderを無効にする方法

Microsoft Defenderは、別の登録済みのアンチウイルスを検出すると、自動的にパッシブモードに入ります。これにより、競合を避けるためにスキャンと防御が停止されます。この機能は正当な製品のためのものですが、悪意のあるソフトウェアがMicrosoft Defenderを無効にすることもできます。

Defendnotは、文書化されていないNDA保護されたWindows Security Center APIを逆アセンブルすることでこれを悪用しています。信頼できるプロセスであるTaskmgr.exeにDLLを挿入し、偽のアンチウイルス名の下で自分を登録させ、Microsoft Defenderをオフラインにします。執筆時点では、Microsoft DefenderはDefendnotをトロイの木馬としてフラグ付けしていますが、同様の手口によってPCが脆弱なままである可能性があります。以下に自己防衛の方法をいくつか示します。

WindowsでのTamper Protectionを有効にする

Tamper Protectionは、Windowsのセキュリティ機能をサードパーティの変更から保護するための主な機能です。有効にすると、スクリプトやレジストリの編集がWindowsの主要なセキュリティ機能、特にMicrosoft Defenderの機能を変更するのを防ぎます。Windows Securityを使用して設定を編集できますが、外部からの改ざんはできません。

Microsoft Defenderを無効にする悪意のあるプログラムは、通常、Tamper Protectionを無効にすることに依存しています。それが有効であることを確認することは、PCを安全に保つための良い方法です。

以下は、Tamper Protectionが有効になっていることを確認する方法です：

Windows検索で「windows security」と検索し、Windows Securityアプリを開きます。

左のパネルでVirus & threat protectionをクリックし、次にVirus & threat protection settingsの下のManage settingsをクリックします。

Tamper Protectionが有効になっているWindowsセキュリティ設定

ここで、Tamper Protectionが有効になっていることを確認してください。

不明なアプリを管理者として実行しない

アンチウイルスとして自分を登録できるアプリは、どのような抜け穴を利用しても管理者権限を必要とします。これはDefendnotアプリにも当てはまり、Microsoft Defenderを無効にするにはUACプロンプトを承認する必要があります。管理者アクセスは、信頼できるアプリで、実際にシステムレベルで何かをする必要があるアプリにのみ与えるべきです。

ほとんどのアプリは、インストール時にのみ管理者アクセスを必要とし、その後は必要ありません。システム設定に関与する一部のアプリは、特定の機能を使用する際にのみ管理者アクセスを要求します。システム設定を変更しない不明なアプリが管理者アクセスを求める場合、そのプロンプトを拒否する方が良いでしょう。

Windowsの端末用UACプロンプト

さらに良いのは、標準アカウントに切り替えることです。管理者アカウントが感染した場合、Microsoft Defenderを無効にできる一方で、標準アカウントでは変更を確認するために管理者アカウントのパスワードが必要です。

別のアンチウイルスソフトウェアを使用する

別のアンチウイルスを検出するとセキュリティを無効にする動作は、Microsoft Defenderに特有のものです。Microsoft Defenderは組み込みのセキュリティシステムであるため、他のアンチウイルスプログラムのインストールを許可するために自らを無効にするように設定されています。しかし、サードパーティのアンチウイルスプログラムはこのルールに従わないため、2つのアンチウイルスプログラムが互いに衝突する可能性があることから、ユーザーが1つ以上のアンチウイルスをインストールしないことが期待されています。

すでにサードパーティのアンチウイルスソフトウェアを導入している場合、偽のアンチウイルスインストールはそれを無効にはせず、単に並行して動作します。幸いなことに、今日の無料のアンチウイルスプログラムは、Microsoft Defenderよりも強力な保護を提供しています。無料のアンチウイルスをインストールすれば、偽のアンチウイルスがそれを無効にする心配はありません。

信頼できないプログラムを使用しない、または少なくとも管理者アクセスを与えないという基本的なアドバイスは、そのような攻撃からあなたを守るでしょう。これらの保護方法に加え、Microsoftが最新のWindowsアップデートでこうした脆弱性を修正することがよくあるため、Windowsが最新であることを確認する必要があります。