Windows Defender で “Trojan: PowerShell/DownInfo.BA” が 1 分おきに検出される――しかも警告を止めてもネットワーク障害や DNS エラーが頻発し、PC がまともに使えない。この現象は 2025 年 6 月 10 日に配信されたセキュリティ インテリジェンス バージョン 1.429.460.0 以降で急増した報告だが、本質的にはアップデートの不具合ではなく実際のマルウェア感染が原因である。この記事では、多数の解析ログと実践的な駆除事例を基に、完全に再発を止めるための最短かつ安全な手順を詳解する。
現象の概要と再現条件
発生タイミング
Defender が最新シグネチャを取得した直後から、タスクトレイ内に赤い警告が周期的に表示される。ログを開くと Trojan: PowerShell/DownInfo.BA が 毎分 検出され、アクションは「検疫済み」と出るものの、次のスキャンで即座に再出現する。
よくある誤解
- KB5060533（2025 年 5 月の累積更新）を削除すると一時的に静かになるが、再起動や 1 日後に再発する。
- Defender の「誤検知」だと思い除外設定を追加するユーザーが多いが、これが感染を長引かせる最大の要因になる。
原因を突き止める
1. 隠しフォルダー C:\Windows\System32\DomainAuthHost
フォルダー内には node.exe と暗号化された JavaScript ファイルが存在し、PowerShell から -EncodedCommand で復号・実行される。Defender はこの挙動を DownInfo.BA として検出するが、実行プロセスが秒単位で生成・破棄されるため完全駆除前に再感染する。
2. 悪性スケジュール タスク
EdgePathUpdaterTaskEdgePathInstallerTaskWindowsSoftwareAgent
すべて 5 分間隔で powershell.exe を呼び出し、前述の暗号化スクリプトを仕込み直す。
3. 環境改変
インストール時に以下を自動設定し、ユーザー操作を無力化する。
- Defender 除外リストへ
C:\Windows\System32とpowershell.exeを追加 - WinHTTP と Internet Explorer のシステムプロキシを悪意サーバーへ書き換え
- Bits 層のジョブを乗っ取り、不正更新をダウンロード
完全駆除のフローチャート
| 手順 | ポイント |
|---|---|
| ① セーフモード起動 | 回復オプション > スタートアップ設定 > 数字キー 4 他のプロセスが node.exe をロックしているため通常モードでは削除不可。 |
| ② 悪性タスク・プロキシ・本体を除去 | 以下コマンドを管理者 CMDで実行。schtasks /delete /f /tn EdgePathUpdaterTask schtasks /delete /f /tn EdgePathInstallerTask schtasks /delete /f /tn WindowsSoftwareAgent netsh winhttp reset proxy bitsadmin /util /setieproxy localsystem NO_PROXY RESET rd /s /q C:\Windows\System32\DomainAuthHost |
| ③ FRST + fixlist で自動修正 | FRST64.exe と専門家作成の fixlist.txt を同フォルダーに置き Fix 実行。再起動後に Fixlog.txt を確認。 |
| ④ Defender 除外の復元 | 「Windows セキュリティ」>「除外」から – パス C:\Windows\System32– プロセス powershell.exeを削除。 |
| ⑤ ネットワーク後処理 | 設定 > ネットワーク > プロキシ = OFFipconfig /flushdns |
| ⑥ 最終確認 | Kaspersky Virus Removal Tool（KVRT）などスタンドアロン スキャナーで全ドライブ検査。Defender「保護の履歴」が 24 時間以上クリーンなら完了。 |
実践ノウハウ：作業のコツと落とし穴
セーフモードを確実に使う理由
DomainAuthHost が自動削除に失敗するパターンの大半はバックグラウンド実行中によるロックである。通常モードで何度rdを実行しても「アクセス拒否」と出るときは、PowerShell プロセスが子プロセスを生成し続けている証拠だ。
FRST + 個別 fixlist の優位性
- 同名タスクでも
\Microsoft\Windows\以下のパスが PC により異なり、手作業では見落としが生じる。 - レジストリ自動復元：プロキシや Shell フックの深い位置まで一括修正。
- ログ保全：fix 実行前後の状態差分がすべて
Fixlog.txtに残るため、企業インシデント対応でも証跡として使える。
プロキシ解除後に通信が戻らないとき
DNS キャッシュを消去しても解決しない場合、C:\Windows\System32\drivers\etc\hosts に不正エントリが追加されていることがある。以下の一行だけが残っている状態が正常だ。
127.0.0.1 localhostよくある質問（FAQ）
| 質問 | 回答 |
|---|---|
| 更新プログラム KB5060533 が原因？ | あくまで Defender シグネチャで検出できるようになった契機。実際の感染は数週間～数か月前に起きている例が多い。 |
| fixlist.txt を自分で作れる？ | タスク GUID やレジストリ パスは個体差が大きい。汎用スクリプトはシステムを壊すリスクが高いため、必ず FRST ログをフォーラムへ投稿し専門家に依頼するのが安全。 |
| DomainAuthHost が「アクセス拒否」で削除不可 | 手順②でタスク削除 → 再起動 → 再度セーフモードで rd /s /q を実行。プロセスが止まっていれば削除できる。 |
| 駆除後ネットが不安定／DNS エラー | システムプロキシが復旧していない可能性が高い。GUI 側も含めて OFF を確認し、netsh winhttp reset proxy を再度実行。 |
| KMS などの海賊版アクティベーターが残っている | 自動更新を阻害し、再感染の温床になる。正規ライセンスへ切替え後、不要なスクリプトを手動削除。 |
まとめ：再発防止と運用のポイント
- DownInfo.BA は誤検知ではなく実害のあるマルウェア。除外設定は厳禁。
- 本体
DomainAuthHostとタスクを物理的に削除し、Defender/プロキシ/hosts を初期化することで再感染ループを断てる。 - FRST + 個別 fixlist を使うと手動漏れを防げ、企業環境でも監査ログを残せる。
- 駆除後は Defender 除外をリセットし、スタンドアロン スキャナーで 24 時間監視。検出ゼロを確認してから業務復帰すると安全。
- OS と Defender を最新版に保ち、未知の実行ファイルを管理者権限で開かない――基本を徹底すれば再発確率は大幅に下がる。
ここまでの手順を守れば、Defender の連続検出とネットワーク障害を1 回の再起動で完全に解消できる。個人利用でも企業利用でも、まずは冷静にログを採取し、セーフモードからのクリーニングを実践しよう。
コメント