「PUA:WIN32/PRESENOKER」って何？　ウイルス？　マルウェア？

　たまたまWindows Defenderを確認したらセキュリティの概要＞ウイルスと驚異の防止のところに「PUA:WIN32/PRESENOKER」というアプリが表示されていました。

　このようなアプリを入れた覚えはなく、ウイルスにでも感染したかと思いいろいろ調べたのでメモします。

f:id:fuelok:20201230160248j:plain

　まず名前でググってみると「PUA:WIN32/PRESENOKERを削除する」みたいなうさんくさいページが出てきますが、全部スルー。機械翻訳丸出しのこの手のページはマルウェアやウイルスの温床なのでスルーが推奨されます。

　いくつかのページを見てみたところ、どうもウイルスや悪質なマルウェアに感染したというわけではないようです。そもそもWindows Defenderはマルウェアを確実に検知できるわけではなく、スルーしてしまうものもあれば、誤検知してしまうものもあります。

PUA = Potentially Unwanted Application（望ましくない可能性のあるアプリケーション）

これらはマルウェアほど危険ではありません。たとえば、広告、同意しなかったサードパーティソフトウェアのインストール、疑わしいプライバシーポリシーなど、望ましくない動作を示すだけです。

by "PUA:Win32/Presenoker" virus, really concerned it is still in my system - Virus, Trojan, Spyware, and Malware Removal Help　のコメントを翻訳

ということのようです。OpenCandyのような広告ソフトウェアもPUAにあたりますし、特定の検索ツールバーをごり押ししてくるアプリもPUAにあたりそうですね。

　つまり、Windows Defenderは

　(1) 間違いなく「マルウェア」だと断言できるもの

　(2) プログラムの動きから「マルウェア」っぽいと判断したもの（ただしマルウェアであるとは限らない）

を検出しているので、(2)に関しては最終的に自分で判断するしかなさそうです。信頼できるけど古いアプリとか、レジストリクリーナー（CCleanerとか）は必要性に応じて残したり、消したりすれば良いわけです。

　今回検知された脅威の画面を改めて見たところ、インストールされた日付が記載されていました。これと同じ時にインストールしたアプリがあったので、「WIN32/PRESENOKER」もあわせてインストールされてしまったようです。

　もともと危うい動きをするアプリだったので、面倒だしアプリ自体をアンインストールすると検出されていた脅威も消えました。

結論から言うと、

Windows Defenderで「PUA:WIN32/PRESENOKER」が検出されてもリスクが低なら慌てなくても良い
検出された日付が書いてあるので、同じ時にインストールしたアプリを確認し、そのアプリが信頼できるなら無理に止めなくても大丈夫
どうしても不安ならそのアプリを使用するときだけインストールして使い終わったらアンインストールするか、代替アプリを探す（ただ同様の動きをするアプリだとPUA表記は出るかも）

以下の掲示板のやり取りも参考になったので、一応メモ。