もじら組フォーラム

(環境: WinXP SP2/Firefox1.5)

<Wada> さん　ありがとうございます。

プログラムや起動プロセスなど理解していないのでよくわからなかったのですがやはり解決ではなかったですか。
OS起動時に Thunderbird が起動しようとした際　Deny　を選択すると勝手に起動する現象を起こさないので

> このあと、誰がsvchostなり他のモジュールを起動し、その結果svchostがthunderbird.exeを
> 起動しようとするのか、をつきとめてみてください。

がつきとめられないのですが以下の手順に間違いの箇所は無いでしょうか。

> (1) svchost.exeの設定のみAsk(他はPermit)にしておいてブートし、Thunderbirdを起動しようとしたらDeny

この部分は　Generic Host Process for Win32 Services　のStarting , launching other の2項目をAskでよかったですか。
2項目をAskにしてOSを再ブートするとOS起動時に

Application is launching other application

Mozilla Thunderbird
Launched by : Generic Host Process for Win32 Services

Datails 部分に(一部のみ抜粋)
Application path: c:\Program Files\Mozilla Thunderbird\thunderbird.exe
Description: Mozilla Thunderbird

Process started by: c:\WINDOWS\system32\svchost.exe
Description: Generic Host Process for Win32 Services

と表示されたので　Deny　を選択
この際　別のアプリケションも Generic Host Process for Win32 Services を使っているようで
起動しようとしますが　全て　Deny　を選択しました。

> (2) 全てをAskに変える

すべてのApplication　の Starting , launching other の2項目をAsk に変更

> (3) ショートカットからThunderbirdを起動

この時　Application is launching other application　が表示され　permit を選択
　　　　Starting application が表示され　permit を選択

この時の起動プロセスは以下のように表示されます。

　Process started by: c:\WINDOWS\explorer.exe
　Description: Windows Explorer


> (4) Thunderbirdを終了し、

Thinderbird が起動したので終了

この後　2時間ほど　放置しました。時々　Thunderbird　をショートカットから起動、終了させました。
時折　Automatic Updates などが　Generic Host Process for Win32 Services　で起動しようとしますが
Deny　を選択しました。
この間に Thunderbird が勝手に起動する現象は起こりませんでした。

(環境: Win2000/SeaMonkey1.5)

2006/09/28(Thu) 09:00:35 編集(投稿者)

> この際　別のアプリケーションも Generic Host Process for Win32 Services を使っているようで
> 起動しようとしますが　全て　Deny　を選択しました。

> 時折　Automatic Updates などが　Generic Host Process for Win32 Services　で起動しようとしますが
> Deny　を選択しました。

全部"Deny"だと、それによって起動される「誰か」が動いて、その結果MAPIのリクエストをだしてsvchostにthunderbird.exeを起動させる、というのを観察できなくなっちゃいますよぉ(^^;
「『Thunderbirdを起動しようとしたら』Deny」＝「それ以外はPermit」...
そのあと、怪しそうなのをDenyで殺してみて絞り込み、という手順になります。
「Askに設定する」目的は、犯人を捕まえようとしているroketsuさんが、現在パソコンの中で何が行われようとしているかを知るため、ということをお忘れなく。

ブートの時に全部"Deny"を答えたら問題が起こらなかった、というのは、その中の「誰か」が、あるいは、その「誰か」によって起動される「他の誰か」が悪さをしている、ということを示しています。
"Deny(拒否)"ではなく、すべて"Permit(許可)"を答えてみてください。
ただし「ルールを作って保存」は、チェックしてはいけません。
そうでないと、次回は聞いてこなくなってしまいます。

(環境: WinXP SP2/その他/Thunderbird1.5)

　
続・単なる情報です。

"突然データがなくなりました。"
http://mozillazine.jp/forums/viewtopic.php?t=2129
上記はあるアプリケーションが引き起こした事例です。
＊Thunderbird ではありませんが・・・。

問題のあるPCとそうでないPCとでは導入しているアプリケーションに
違いがありませんか。
どうもそのあたりが怪しい匂いがするんですが。

(環境: WinXP SP2/Firefox1.5)

Bugzilla-jpをチェックしていて、ここに来たのですが・・・

Windowsの操作が可能な状態で、Thunderbirdを終了しても再起動するなら
http://www.sysinternals.com/Utilities/Filemon.html
File Monitor見たいなソフトを使えば、何が再起動させてるかモニタ出来るのでは？

ProcessからのRequestそしてPathが出るので、Windowsが変な動きをする時に
助かるソフトなのですが・・・
これでも判らない時は、いくらでも有りますので、過剰な期待はしないで下さいね。

(環境: Win2000/SeaMonkey1.5)

> http://www.sysinternals.com/Utilities/Filemon.html
> File Monitor見たいなソフトを使えば、何が再起動させてるかモニタ出来るのでは？

「seeing how applications use the files and DLLs」と書いてあって、DLLなどの呼び出しもトレースできるんですね。
名前からの印象で、通常のファイルI/Oだけ、と思ってました(^^;

「file system filter via the VxD service(IFSMGR_InstallFileSystemApiHookVxD)」で行っている、と書いてあるから、プログラムロードによるモジュールの読み込みなども引っ掛けられるわけか。
で、もしもこいつにバグがあると、Windowsも死んでしまう...
「Microsoft Filemon KB Articles」のところに一杯リストされているのも、納得がいきますね(^^)

(環境: WinXP SP2/Firefox1.5)

<ぷれみあ> さん　ありがとうございます。

今回　相談させていただいているPC ThinkPad X31 は、ThinkPad T43 のサブ機として使用しており
可能な限り出来るだけ同じアプリケーションをインストールしております。

ご指摘のように何かのアプリが悪さをしているように思うのですが　私のスキルでは未だ解決に至りません。

検索していて別の掲示板でほとんど同じような現象で質問されているのを見つけました。

Thunderbirdが勝手に何度も起動する
http://pasokoma.jp/bbsa/lg334718.html

[78078] SKSMAILD.EXE 投稿者名：ぱにょぱにょ 投稿時間：02/08-01:20
http://winfaq.cool.ne.jp/logs/2k/0070.html

IBM のPC を使用されており　『IBM HID-なんちゃら』　『IBM キーボードなんとか』のソフトを
削除したら直ったようです。

これだ　と思い　問題のPCで該当のソフトを探したのですがインストールされていませんでした。

念のため　IBM関係であまり動作に関係のなさそうなアプリを全部消してみましたがだめでした。

また　上記　質問に書かれていた　Sksmaild.exe　Ibm Hidclass　SKDaemon.exe　などもPC内　レジストリを検索したり

C:\Windows\System32　内にそれらしい物が無いか調べましたがわかりませんでした。

(環境: WinXP SP2/Firefox1.5)

<Wada> さん　<はらだ> さん　ありがとうございます。

何かのプロセスが　thunderbird.exe を起動しているのを捕まえなさいと言うことですね。

色々パターンを変えてやってみたのですが　OSの起動時にThunderbird をDeny/拒否　にすると
ほかのプロセスが　thunderbird.exe を起動しようとはしないようなのですが。

Thunderbird が起動しようとする　＝　ポップアップ　Starting apprlication が表示される。
と思って長時間放置しておきました。

時折　起動するプロセスは　「ルールを作って保存に」チェックを入れずにPermit/許可 に
しています。

考え方が間違っているでしょうか。



File Monitor　もインストールして見ました。　これは私には難しいですね。
データログを大量に取るようですがどのように判断したらよいのかわかりませんでした。

また　OS起動時に起動するようにスタートアップに登録したのですが Thunderbird の起動より
後になるようで　 thunderbird をPermit/許可　にして　File Monitor　が起動
その後　thunderbird　が勝手に起動した後に　File Monitor のデータログを保存にしたのですが
データ取りの方法はこれでよいでしょうか。


色々　アドバイスいただき大変ありがたいのですが　そろそろ
私のスキルで解決出来ないようであれば使用するのをあきらめようかなと思っています。

(環境: Win2000/SeaMonkey1.5)

2006/09/29(Fri) 18:33:28 編集(投稿者)

> 何かのプロセスが　thunderbird.exe を起動しているのを捕まえなさいと言うことですね。

その通りです。

> 色々パターンを変えてやってみたのですが　OSの起動時にThunderbird をDeny/拒否　にすると
> ほかのプロセスが　thunderbird.exe を起動しようとはしないようなのですが。

他は、全て、「ルールを作って保存」にチェックを入れずにPermit/許可、ということですよね。
だとすると、貴重なテスト結果じゃないですか。(怪しい奴をDenyで殺してみて絞り込み、の、第一弾(^^))
OSの起動時に動く誰かが既定のメーラーを起動しようとしていて、その結果svchostによるThunderbirdの起動がおこなわれるが、
そのThunderbirdの起動がうまく出来ないと、それ以降の悪さはしない、と、解釈できますよね。
そうならば、ブート後のthunderbird.exeの起動を許可してやれば、Thunderbirdを終了したあとにまた勝手に起動する、ということも起こり、
その部分を、svchost以外もすべてAskに設定して細かく観察する、ということが可能になる、と考えられます。
そうなれば、ピンポイントでfilemonのデータをとって調べる、ということもやり易くなります。

svchostがthunderbird.exeを起動していた、ということだけから、レジストリーの中まで調べてテストし、
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID...の、...\thunderbird.exe /MAPIStartUp
経由で起動されている、ということを、短時間のうちに突き止められた人が、スキルが低い、なんていうことはあり得ないでしょう(^^)
MAPI経由でThunderbirdを起動することが全然できなくなってもよければ、このレジストリーを書き換えて回避できるし、
そうでなくても、起動時にsvchstがthunderbird.exeを起動するのを阻止すれば無限起動は回避できそうですし、
一応の逃げ道はあるわけで、それほど緊急を要す、というわけでもないですよね。
他の方がおっしゃっているように、なにかアプリケーションの設定で行っていそうなものがないか、などの、他の面からのチェックをして見るのも手です。
少し時間をおいてから、もう少し詳しい状況をチェックしてみてはいかがですか？
その間に、Filemonで採取するデータを絞り込む、などのノウハウなどをゆっくりと得ておけば、次回のテスト・問題解析を、もっと効率的で有効なものにできる可能性が高まります。

(環境: Mac/Safari)

<Wada> さん　ありがとうございます。

別の返信にも書きましたが別の掲示板でIBM のPC を使われている方は　IBMのアプリが原因で
同じ症状が起こったようですが　そのアプリを削除したところ直ったようです。
私の環境ではそのアプリがインストールされていなくて違う現象のようですが。。

色々アドバイスいただいているのになかなか解決できずかなりくじけています。
少し　頭を冷やしもう少しがんばってみます。

また　何かお気づきの点がありましたらよろしくお願いします。

(環境: Win2000/SeaMonkey1.5)

> 別の返信にも書きましたが別の掲示板でIBM のPC を使われている方は　IBMのアプリが原因で
> 同じ症状が起こったようですが　そのアプリを削除したところ直ったようです。
> 私の環境ではそのアプリがインストールされていなくて違う現象のようですが。。

スタートアップや自動起動項目に"thunderbird.exe"が直接登録されているのではない、ということは、ほぼ確実ですよね。
スタートアップやレジストリーの自動起動項目に何かのアプリケーションが登録されていて、
そいつがMAPI経由で既定のメーラーを起動していて、それがうまくいくとそのあとの動きを監視していて、「終了するとまた起動する」ということをしている、
というような感じに見えます。
以前、友人のところで見た悪意のあるソフト系のものに、ブート時にそいつが一つ自動起動され、
そのあとタスクマネージャーから殺すと今度は二つ動かして反撃してくるので、止めようとすると倍々ゲームで増えていく、
というものがありましたけど、それに近い感じ(^^)

msconfigでみたときに自動起動するものとして登録されているものについて、それらに絡む設定などをチェックしてみてください。
「自動起動」に関しては、autoexec.batの中とかスタートアップフォルダーもありますから、そちらも念のためにもう一度。
あと、コントロールパネル/管理ツール/コンピューターの管理(Win-2Kの場合)の「サービス」で、「自動」になっているものもチェックしてみてください。
msconfigで見えるものよりももっとシステムよりのものも、ここには表示されるはずです。
(こちらは、下手に起動させないようにするとMS Winがまともに使えなくなるものが数多く含まれていますから、ご注意を)