タスクマネージャーに表示されないWindowsのスタートアップアプリ──隠れた常駐プログラムの正体を暴く「Autoruns」

タスクマネージャーを開き、「スタートアップ」タブでいくつかのアプリを無効化して、ひとまず安心する。PCの起動を速くするための手軽な定番テクニックだ。しかし残念なお知らせがある。それは、地面の下に深く伸びる根を放置したまま、庭の表面の草むしりだけをするようなものだったのだ。

その「根」となる存在──RAMを食いつぶし、起動時間をガムのように引き延ばしている犯人たちは、おそらく一度も覗いたことのない場所に潜んでいる。彼らを見つけるには、別のアプローチが必要だ。その鍵となるのが、Microsoft純正のSysinternalsスイートに含まれる無料ツール「Autoruns」。一度これを使ってしまえば、もうタスクマネージャーのスタートアップ一覧を鵜呑みにはできなくなるだろう。

タスクマネージャーが見せているのは、実際の自動起動のごく一部

残りの正体を暴くのがAutoruns

タスクマネージャーの「スタートアップ」タブを、高級ホテルのロビーだと思ってほしい。清潔で整然としており、良い印象を与えるように設計されている。しかし、壁の裏にあるサービス通路での活動までは見えない。Microsoft自身のドキュメントによれば、Windowsには実に200以上の「Autostart Extensibility Points（ASEP／自動起動拡張ポイント）」が存在するという。レジストリキー、スケジュールタスク、サービス、シェル拡張、ブラウザヘルパーオブジェクト、Winlogon通知、AppInit DLL、Winsockプロバイダーなど、挙げればきりがない。タスクマネージャーが表面化しているのは、この氷山のごく一角にすぎない。

この盲点による実害は大きい。プログラムは、タスクマネージャーが監視している標準のRunレジストリキーを完全に回避し、代わりにログオン時に発火するスケジュールタスクへ自己を登録できる。あるいは、エクスプローラーを開くたびに読み込まれるシェル拡張かもしれない。さらには、ネットワークスタックに便乗するWinsockの階層型サービスプロバイダーもある。これらはどれもタスクマネージャーには表示されず、すべてがシステムの足を引っ張り得るのだ。

そこで活躍するのがAutorunsだ。インストール作業は不要で、ZIPファイルを展開し、「Autoruns64.exe」を右クリックして管理者として実行するだけ。この手順が重要なのは、昇格された権限がないと一部のASEPの場所が非表示のままになったり、エントリを変更できなかったりするためだ。

Autorunsはシステムのあらゆる隠れ場所を地図化する

再起動後も生き延びるために潜み込む場所

Autorunsを起動すると、その情報密度にコックピットに足を踏み入れたような感覚を覚えるかもしれない。画面上部には19個のカテゴリタブが並んでいる。Logon、Explorer、Internet Explorer、Scheduled Tasks、Services、Drivers、Codecsなど、それぞれが異なる隠れ場所を表している。

デフォルトで表示されるのは「Everything」タブ。その名の通り、システム上のすべての自動起動エントリが1つの長いリストに並び、おおよそWindowsが起動時に処理する順序と同じ並びになっている。一見すると圧倒されそうだが、Autorunsには内容を把握するための賢い仕掛けがいくつも用意されている。

最も役立つのが色分け機能だ。黄色でハイライトされたエントリは、参照先のファイルがすでに存在しないことを示す。つまり、アンインストールしても後片付けをしなかったプログラムの残骸だ。ピンクや赤は有効なデジタル署名を持たない項目で、即座に危険とは限らないものの、確認する価値がある。緑は2つのスキャン結果を比較した際に、前回以降に新しく追加されたエントリを示す。紫はタスクスケジューラ上の場所など、エントリの具体的なパスをハイライトする。

さらに便利な設定もある。「Options → Scan Options → Verify Code Signatures」を有効にすると、各エントリの暗号署名を発行元情報と照合してくれる。改ざんされたものや、正規ソフトになりすます怪しいプログラムを素早く見つけ出すのに役立つ。

Everythingタブから先に進むと、各カテゴリの意味が明確になってくる。主なカテゴリは以下の通りだ。

• Logon：おなじみの領域。Windowsのスタートアップフォルダ、Run、RunOnceレジストリキーが該当する。タスクマネージャーの表示範囲にほぼ相当するが、Autorunsはさらに踏み込み、各エントリの正確なレジストリパスとファイルの場所まで一覧表示する。
• Scheduled Tasks：ログオン時や起動時に発火するスケジュールタスクを登録するアプリがここに潜む。タスクマネージャーからは完全に不可視だ。クラウド同期サービスやアップデートマネージャーのほか、「数ヶ月前にアンインストールしたはずのソフト」がまだ毎朝起動している姿を目撃することもある。
• Services / Drivers：より低レベルな機構を明らかにする。自動起動するよう設定されたWindowsサービスと、デスクトップが表示される前に読み込まれるカーネルモードドライバーだ。慎重に扱うべき領域だが、起動の遅さの原因究明や、しつこいソフトウェア問題の追跡には絶大な威力を発揮する。
• Explorer：シェル拡張を可視化する。右クリックメニューやプレビューペインの機能としてソフトウェアがエクスプローラーに組み込む追加要素で、エクスプローラーを開くたびに読み込まれる。散らかったシステムでは、これが積もり積もって体感できるほどの性能低下につながる。
• Winsock Providers：比較的マイナーながら、最も示唆的なタブの一つ。ここを検出・除去できるツールが少ないため、マルウェアは歴史的にこの場所を好んできたという。Autorunsなら少なくとも無効化できるので、対処への足がかりを確保できる。

任意のエントリを右クリックすれば、背後のレジストリキーへの直接ジャンプ、ファイルの場所をエクスプローラーで開く操作、オンライン検索、VirusTotalへの送信による多段マルウェアスキャンなどが行える。アプリから離れる必要はない。

すべてを理解しなくても、Autorunsの恩恵は十分に受けられる

慌てずに、まずはフィルター

Autorunsで圧倒されないコツは、調査を始める前にリストを絞り込むことだ。「Options」メニューから「Hide Windows Entries」と「Hide Microsoft Entries」の両方を有効にしよう。検証済みのWindowsコンポーネントとMicrosoft署名入りソフトが除外され、サードパーティ製の項目だけが残る。リストは一気に扱いやすくなるはずだ。

ただし、最初に一度だけやっておきたいことがある。フィルターをオフにしたまま、Everythingタブをざっと眺めてみてほしい。サインインするたびにWindowsが舞台裏でどれほど多くの処理をさばいているのか、その規模感を実感できる。全体を確認したら、フィルターを戻し、本当に重要なエントリに集中すればいい。

見慣れない項目を見つけても、反射的に消去するのは避けたい。Autorunsは「元に戻せる判断」を基本に設計されている。チェックを外せばエントリは単に無効化されるだけで、削除はされない。再起動後に不具合が出たら、チェックを入れ直せばすぐに元通りだ。一方、エントリの完全な削除は取り返しがつかない。安全な進め方は、まず無効化して再起動し、重要な機能が依存していないことを確認してから削除することだ。

タスクマネージャーにできたのは、ほんの入口の掃除だけ

Autorunsは、数ヶ月に一度行う「システムの大掃除」のようなものだと捉えるといい。定期的に実行するか、居座りたそうな雰囲気のソフトをインストールしたタイミングで走らせよう。続けていけば、自分が目を離している間にPCが何をしているのか、驚くほど明晰な全体像が見えてくるはずだ。

Autoruns

OS： Windows
開発元： Microsoft（Sysinternals）
価格モデル： 無料

Autorunsは、Windowsシステムに自動起動するよう設定された全プログラムを、タスクマネージャーの表示範囲を遥かに超えて可視化するツール。隠れたスタートアップ項目の追跡、起動時間の遅さのトラブルシューティング、不要なソフトの常駐防止に役立つ。