「遠隔操作するマルウエアを使ったクラッカーによる冤罪事件、徐々に手口が明らかに」記事へのコメント

UACさん仕事してください

[Anonymous Coward]

よくわからんのですけど、Vista/7でUACを有効にしていても、HKEY_LOCAL_MACHINE以下でなければ特に警告無くレジストリを書き換えられちゃうんですかね？
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run なんてところ、勝手に書き換えられて嬉しい状況が浮かばないんですが…

Re:UACさん仕事してください

[Meth610 (31617)]

User権限でもレジストリは普通に書き換えられますね。.regファイルをダブルクリックしての結合もOK

> HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
このキーにはアクセス許可のところで変更禁止を設定しています。Admin無しでできるのかは知りませんが。
#その代わり、いろんなインストーラーが途中でエラー吐いて停止するようになりました

Re:UACさん仕事してください

[Anonymous Coward]

元ACです。参考になります。
ちなみに、MSのこんな記事を見つけました。
レジストリ キーの変更を監視する方法はありますか [microsoft.com]

Scripting Guy さん、よろしくお願いします。スクリプトを使用して、レジストリ キーへの変更を監視できますか。HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run キーが変更されるたびに通知を受け取りたいのです。

なんか、PowerShellのスクリプトあたりで変更を監視しておくのもよさげですね。

Re:

[Anonymous Coward]

＞.regファイルをダブルクリックしての結合もOK
関連付けを変更していなければregedit起動のための昇格プロンプトが出るはずだが

Re:UACさん仕事してください

[Meth610 (31617)]

>昇格プロンプトが出るはずだが
試してみるといいです。私も話を聞いたときは半信半疑でしたが、実際に成功しているので。

会社のパソコン（当然User権限）で [HKEY_CURRENT_USER\Software\]
以下を書き換える.regファイルを実行し、問題無く設定が変わりました。
環境はXPでしたが、7でもできるようです。

Re:

[Anonymous Coward]

HKEY_CURRENT_USER以下は現在ログインしているユーザーの情報を持つ場所なのだから、ログインユーザーで書き込めて当然でしょう。