レジストリから Microsoft Edge／Google Chrome のポリシーを削除しても、数時間後に同じ値が戻ってくる――この現象は「ブラウザーや Windows が自動で復元している」のではなく、タスク スケジューラ経由で動く不正スクリプトが書き戻している可能性が高い事例です。本稿では、実際に報告された KondSerp_OptimizerV2 というタスクが ExtensionInstallForcelist を強制復活させていたケースをもとに、原因の見極め方、FRST（Farbar Recovery Scan Tool）を用いた除去手順、再発予防までを具体的に解説します。
現象の概要とポイント
レジストリの以下のパスを手動で削除し、再起動しても、2〜4 時間ほどで同内容が復活するという問い合わせが増えています。
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\EdgeHKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\Edge- （Chrome の場合）
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome／HKEY_CURRENT_USER\SOFTWARE\Policies\Google\Chrome
復活する値の多くは ExtensionInstallForcelist（拡張機能の強制配布）で、ブラウザー内部の edge://policy や chrome://policy で「管理ポリシー」として表示されます。
「Windows／Edge の仕様」ではなく“外部書き戻し”が原因のことが多い
企業管理（GPO／MDM）やクラウドポリシーで構成されている場合を除けば、エンドユーザー環境でポリシーが自動再生性するのは不自然です。実例では、タスク スケジューラに登録された「KondSerp_OptimizerV2」が定期的に C:\Windows\System32\KondSerp_Optimizer.ps1 を起動し、Edge／Chrome のポリシー値を再投入していました。
原因の正体：KondSerp 系スクリプトによるポリシー再投入
KondSerp は広告系マルウェアの系統で、ブラウザー拡張機能の強制配布・検索ハイジャック・広告差し替えなどを目的に、ポリシーやスタートアップ、サービス、タスク スケジューラを利用して持続化します。今回のケースでは PowerShell スクリプト（KondSerp_Optimizer.ps1）が数時間おきに起動し、以下を行っていました。
- Edge／Chrome の
ExtensionInstallForcelistに特定の拡張 ID と配布先 URL を追加 - レジストリ キーが欠落していると新規作成、既存なら上書き
- タイミングをずらすためのランダム遅延（タスク設定）
企業ポリシー／MDM との切り分け
| 想定パターン | 主な兆候 | 確認ポイント | 対処の方向性 |
|---|---|---|---|
| GPO／MDM による正規管理 | 社内 PC、他の端末でも同一ポリシー | 会社の IT 管理者／設定プロファイル | 勝手に削除せず管理者へ相談 |
| ローカルでの正規設定 | 手動設定と整合、タスク書き戻しなし | イベントログや gpresult | 必要に応じ見直し |
| 不正スクリプトによる書き戻し | 数時間周期で再投入 | タスク スケジューラ／不明な PS1 | スクリプト・タスクを除去、ポリシー清掃 |
迅速に行う自己診断チェックリスト
- ブラウザー側の表示：
edge://policyまたはchrome://policyを開き、ExtensionInstallForcelistの項目と拡張 ID を控える。 - タスク スケジューラ：「KondSerp」「Optimizer」「Serp」などの文字列を含むタスクがないか探す。
- ファイルの所在：
C:\Windows\System32\KondSerp_Optimizer.ps1の有無と作成日時・デジタル署名。 - レジストリ：
Policies\Microsoft\Edge／Policies\Google\ChromeのExtensionInstallForcelist。
コマンドでの確認（上級者向け）
管理者権限の Windows ターミナル／PowerShell で実行します。
# タスクに "KondSerp" を含むものを抽出
Get-ScheduledTask | Where-Object {$_.TaskName -match 'KondSerp|Optimizer'} |
Select-Object TaskName, State, TaskPath
# フル参照（詳細）
schtasks /Query /FO LIST /V | findstr /I "KondSerp Optimizer Serp"
# 代表的なポリシー キーの確認（Edge）
Get-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Edge" |
Select-Object ExtensionInstallForcelist
# Chrome の場合
Get-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Google\Chrome" |
Select-Object ExtensionInstallForcelist FRST（Farbar Recovery Scan Tool）による特定
FRST は、システムのタスク／サービス／レジストリ／スタートアップなど広範をスキャンし、FRST.txt と Addition.txt に詳細を出力します。今回の事例では、以下の痕跡がログに現れました。
- タスク：名前が
KondSerp_OptimizerV2、アクションにpowershell.exe -ExecutionPolicy Bypass -File C:\Windows\System32\KondSerp_Optimizer.ps1の記載。 - ファイル：
C:\Windows\System32\KondSerp_Optimizer.ps1の存在。 - レジストリ：Edge／Chrome の
ExtensionInstallForcelistに未知の拡張 ID が列挙。
ログを根拠に、FRST の Fix 機能で「タスク削除」「不正ファイル隔離」「不要ポリシー値の削除」を一括で行うのがもっとも確実です。
除去手順（FRST Fix）
- 準備：FRST 実行ファイル（通常は
FRST64.exe）と同じフォルダーにFixlist.txtを配置します。Fixlist は 信頼できる指示に基づいて作成してください（誤記は正常ファイルの削除につながります）。 - 実行：FRST を管理者として起動し、Fix をクリック。処理中は操作せず、必要に応じて自動再起動に従います。
- 期待される動作：
- タスク スケジューラから KondSerp_OptimizerV2 を削除
KondSerp_Optimizer.ps1および関連ファイルの隔離／削除- Edge／Chrome の不要ポリシー値（
ExtensionInstallForcelistなど）の削除 - 後述の確認手順が実施できる状態に復旧
- 確認：Windows 起動後、Edge／Chrome を開き
edge://policy／chrome://policyを更新。数時間放置しても再出現しないかを観察します。
Fixlist に盛り込むべき論点（ガイド）
以下は実行用ではない概念的な例です。実際に使用する Fixlist は、取得した FRST ログの内容に厳密に合わせて作成してください。
- 該当タスクの削除：タスク名・パスがログと一致していることを確認。
- PowerShell スクリプト等の隔離：配置ディレクトリ（例：
System32／Tasks下の関連ファイル）。 - レジストリのクリーンアップ：Edge／Chrome の
ExtensionInstallForcelist、関連する強制拡張の ID／URL。 - 一時領域の清掃：タスクが落とすワークファイル（ユーザープロファイル下の疑わしいフォルダー）。
# これは概念サンプルです。実運用の Fixlist.txt として使用しないでください。
# - Task: "KondSerp_OptimizerV2" を削除
# - C:\Windows\System32\KondSerp_Optimizer.ps1 を隔離
# - Edge/Chrome の ExtensionInstallForcelist を初期化
# - 関連するスタートアップ/レジストリ残骸を削除
重要：Fixlist を自己流で作ると、復旧困難なトラブルの原因になります。内容に自信が持てない場合は、まずログを保存し、専門家のレビューを受けることを推奨します。
Fix 後の検証項目
- タスクが消えている：タスク スケジューラで「KondSerp」系のタスクが存在しない。
- 不審ファイルがない：
C:\Windows\System32にKondSerp_Optimizer.ps1が残っていない。 - ポリシーが空／想定どおり：
edge://policy／chrome://policyにExtensionInstallForcelistが表示されない。 - 持続化が止まっている：2〜4 時間待ってもポリシーが復活しない。
手動の代替策（上級者向け・自己責任）
FRST を使えない状況では、次の順序での手動対応も可能です。いずれも管理者権限が必要です。
- 疑わしいタスクの無効化と削除
まず無効化し、問題がなければ削除します。# 例：該当タスクの一時無効化（存在確認後に実行） Disable-ScheduledTask -TaskName "KondSerp_OptimizerV2" -ErrorAction SilentlyContinue # 削除（確認のうえ実行） Unregister-ScheduledTask -TaskName "KondSerp_OptimizerV2" -Confirm:$false - 不正スクリプトの隔離
直に削除せず、まず隔離先へ移動して挙動が止まるかを確認します。$q = "C:\Quarantine" New-Item -ItemType Directory -Path $q -ErrorAction SilentlyContinue Move-Item "C:\Windows\System32\KondSerp_Optimizer.ps1" "$q\" -Force - ポリシーのクリーンアップ
レジストリから不要値を削除します（必要ならバックアップを取得）。Remove-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Edge" -Name "ExtensionInstallForcelist" -ErrorAction SilentlyContinue Remove-ItemProperty -Path "HKCU:\SOFTWARE\Policies\Microsoft\Edge" -Name "ExtensionInstallForcelist" -ErrorAction SilentlyContinue Remove-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Google\Chrome" -Name "ExtensionInstallForcelist" -ErrorAction SilentlyContinue Remove-ItemProperty -Path "HKCU:\SOFTWARE\Policies\Google\Chrome" -Name "ExtensionInstallForcelist" -ErrorAction SilentlyContinue - ブラウザー側の確認
Edge／Chrome を起動し、edge://policy／chrome://policyで反映を確認。数時間の再発観察を実施します。
上記は“応急処置”です。根本原因の取りこぼし（残存の別タスク／スタートアップ）があると再発します。FRST 等で全体像を把握したうえでの完全駆除が最善です。
後処理と再発防止
- 隔離フォルダーと FRST の後片付け：
C:\FRST（隔離ファイルを含む）と FRST 実行ファイルを削除。必要なログは別保管。 - フルスキャン：Microsoft Defender または導入済み対策ソフトでフルスキャン。検出がなくても「オフラインスキャン」等の強化モードを推奨。
- 拡張機能の棚卸し：見覚えのない拡張を無効化・削除。評価不明の拡張は一旦オフにして挙動を比較。
- タスク／スタートアップの定期監査：月 1 回程度、タスク スケジューラと「スタートアップ アプリ」を点検。
- インストーラー選別：フリーソフト導入時はカスタムセットアップを選び、同梱の“オマケ”を外す習慣を。
- 権限制御：日常作業は標準ユーザー、必要時のみ昇格。UAC の無効化は避ける。
トラブルシューティング：それでも再発する場合
| 症状 | 追加で見る場所 | 考えられる原因 | 対応のヒント |
|---|---|---|---|
| 数時間後に別のタスク名で復活 | タスク スケジューラ（フォルダー階層含む） | 第二の持続化トリガーが残存 | FRST で再スキャン、残存エントリを Fix に追加 |
| ブラウザー更新後のみ復活 | 拡張の自動更新履歴 | 拡張側の自己復元処理 | 拡張の完全削除とプロファイル再作成を検討 |
| 再起動直後から復活 | サービス／Run キー／タスクの起動トリガー | スタートアップ経由の即時投入 | セーフモードでの清掃、オフラインスキャン |
| 社内 PC で再発を繰り返す | GPO／MDM の実運用設定 | 正規の企業配布ポリシー | 勝手に消さず管理者に相談 |
よくある質問（FAQ）
Q. 「この PC は組織によって管理されています」と出るが、私物 PC でも出る？
A. 悪意あるポリシーでも、ブラウザーは「管理ポリシーが存在する」とだけ認識します。私物 PC でも表示され得ます。
Q. Edge／Chrome のアップデータが勝手にポリシーを作り直しているのでは？
A. 正規のアップデータはポリシーを新規作成しません。今回のように数時間周期で復活するなら、外部スクリプトやタスクの関与を疑ってください。
Q. レジストリを初期化しても再発するのはなぜ？
A. レジストリを書き戻す“加害者”が動いたままだからです。タスク／スクリプトの除去が先で、レジストリ清掃はその次です。
Q. FRST の Fix は安全？
A. 正しい Fixlist に基づけば強力で効率的です。ただし誤った Fixlist は正常ファイルを削除し得るため、ログの裏付けとレビューを徹底してください。
実例のまとめ：KondSerp_OptimizerV2 を除去して解決
- 症状：Edge／Chrome のポリシーが 2〜4 時間で復活。
- 原因：タスク KondSerp_OptimizerV2 が
KondSerp_Optimizer.ps1を定期実行し、ExtensionInstallForcelistを強制投入。 - 対処：FRST でスキャン→Fixlist によりタスク削除・スクリプト隔離・ポリシー清掃。
- 検証：
edge://policy／chrome://policyで消失を確認。数時間の観察でも復活なし。 - 予防：隔離フォルダーと FRST の後片付け、対策ソフトのフルスキャン、拡張機能とタスクの定期監査。
管理者／ヘルプデスク向け：対応フローの雛形
- 初動ヒアリング：再発までの時間、表示された拡張 ID、導入したフリーソフトの有無。
- 診断：FRST の
FRST.txt／Addition.txtを収集し、タスク・スクリプト・ポリシー・スタートアップを相関確認。 - 駆除：Fixlist によるタスク削除、スクリプト隔離、ポリシー清掃。
- 検証：ブラウザーのポリシー表示、イベントログ、再発監視（最低 4 時間）。
- 是正・教育：拡張導入ガイドラインの整備、インストーラーのサプライチェーン対策、定期監査のスケジュール化。
参考：ポリシーの代表的な痕跡（覚え書き）
| 製品 | キーの例 | 値の例 | 備考 |
|---|---|---|---|
| Edge | HKLM\SOFTWARE\Policies\Microsoft\Edge | ExtensionInstallForcelist（REG_SZ の列挙） | 拡張 ID と配布 URL がペアで列挙される |
| Chrome | HKLM\SOFTWARE\Policies\Google\Chrome | ExtensionInstallForcelist | Edge と同様、ユーザー単位（HKCU）にも置かれることがある |
| 共通 | ...\Policies\...\ | 不明な ID／突然の増加 | ブラウザーの「ポリシー」ページと相互確認 |
終わりに
「ポリシーを削除しても復活する」場合、レジストリだけを見ていると解決が遠のきます。復活させている主体を見つけ、まずそれを止める――本稿の例では KondSerp_OptimizerV2 タスクと KondSerp_Optimizer.ps1 が犯人でした。FRST によるスキャンと Fix の実施、そして数時間の再発観察までをワンセットでやり切れば、同様のトラブルはきれいに収束します。最後に、拡張機能やフリーソフトの導入時は、インストールオプションと同梱物に細心の注意を払い、定期的なタスク／スタートアップ監査を“習慣化”しておきましょう。
コメント