【緊急!】ウイルス即� ..
413:名無しさん＠お腹いっぱい。
08/10/02 19:32:33
【使用OS】Windows XP Home Edition SP2 日本語版
【使用ブラウザ】IE7
【Microsoft Updateの更新の状態】自動更新設定で現状最新
【セキュリティソフトと年式】ZoneAlarm Security 7.0
【スパイウェア対策ソフト】SpyBot 1.6
【回線の種類・ルータの有無】
・Yahoo! BB 26Mモデム
・PLANEX Gigabit Ether ルータ BRL-04G
・LANには2台のPCが接続
1. 上記の感染PC
2. Win2kProが存在するが、症状は見られず
【具体的な症状】
・感染に気付いた切っ掛けは、次の2つ
・殆どのアンチウイルスソフトを扱うウェブページが閲覧不可（タイムアウト）
ex) Kaspersky symantec等を含むURLが軒並みアクセス不可
・Klez系ウイルスのように、regeditやtaskmgrが「管理者により使用不可」になる
・↑窓の手やregedit /s等でレジストリ書き換え後も自動的に使用不可フラグ設定
・explorerの隠しファイルの表示フラグも「表示しない」に強制変更（手動で"表示する"を適用後もすぐに元に戻される）
・リムーバブルディスクにウイルス書き込み（破壊実験用PC（WinXP HomeSP2J、ネットワーク無）にUSBメモリを接続したところ、同様の症状が発生）
・ZoneAlarmの設定ウィンドウやスキャナが軒並み強制終了される
・別PCから入手したカスペルスキーV6体験版も、インストールは出来たが起動せず
【過程と措置】
・現在のところ、明らかに怪しげなファイルが消去/追加された様子はなし
・FIX_Klezでスキャンしたものの、検知せず
・ウイルススキャナが動作しないため、ウイルスの種類が確認不可
・アンチウイルス系サイトにアクセスできないため、オンラインスキャナ使用不可
ウイルススキャンが出来ないというのはかなりのハンデになりそうですorz
414:名無しさん＠お腹いっぱい。
08/10/02 21:29:17
>>413
うーむ……AVキラーかもね。中華系か。
ここを見れたらDLしてセーフモードで実行してみてください。
URLﾘﾝｸ(www.norman.com)
まあ、無駄かもしれません。
正直リカバリが一番いいと思う……
ちなみにZoneのAntiVirusはカスペらしいので、カスペを使うと同じことになると思いますよ。
FセキュアかNorton、BitDefenserを試してみてください。
415:名無しさん＠お腹いっぱい。
08/10/02 21:30:17
訂正
BitDefenser→BitDefender 名前間違った。
416:名無しさん＠お腹いっぱい。
08/10/02 21:35:15
セーフモード 又は セーフモードとネットワーク
417:名無しさん＠お腹いっぱい。
08/10/02 21:42:37
>>413
サイバークリーンセンターが見れるかどうか判らんが
CCCのツールも試しておいたほうがいいかもな
418:名無しさん＠お腹いっぱい。
08/10/02 21:50:47
Norman Malware Cleaner は対応ウイルスの数は多いけど
エンジンは遅いからそのつもりで臨む方がいいかと
誤検知は少ないと思うんだが……
419:413
08/10/02 22:51:28
Norma_Malware_Cleanerはダウンロード出来ましたが、実行後すぐにプロセスを強制終了させられます。
CCCクリーナーによれば、PE_Sality.EMに感染していて修復不可なのでリカバリせよという診断結果になりました。
Linux使いの友人と連絡が取れたので、USBメモリに勝手に生成された、
・autorun.inf
・spico.pif
・tefrfa.cmd
の3つのファイルを送り、スキャンしてもらったところ、
・spico.pif - Win32.Tanatos.M
・tefrfa.cmd - Win32.Sality.aa
であることが判明しました。
両者とも過去1週間以内に発見されたウイルスのようです。感染経路については、現在のところ思い当たる節はありません。
応急処置として、USBメモリに対して、Unlocker 1.8.7でプロセスからのロックを解除しながら同名のディレクトリを作成しました。
今後の方針ですが、現在の感染したパーティションの空き領域を詰めてパーティションを
作成し、新たにWindows XPをインストールしてから、感染したパーティションを
フルスキャン後に必要ファイルをサルベージしようと思うのですが、
パーティションを切り分けただけでは新たにインストールするOSにまで感染が及ぶことはあるのでしょうか？
一応、USBメモリに見つかった上記3ファイルと同名のディレクトリを現在あるすべてのパーティションに作成しておくつもりです。
420:名無しさん＠お腹いっぱい。
08/10/02 23:28:16
>>419
お手数でなければ
URLﾘﾝｸ(tane.sakuratan.com)
に感染ファイルをアップしてもらえないですか？検体を提出したいんですが。
421:名無しさん＠お腹いっぱい。
08/10/02 23:56:16
サルティか……ネットにつなぐと厄介ですね。
とりあえず PE_SALITY.EM の情報
URLﾘﾝｸ(www.trendmicro.co.jp)
感染後のパーティション分けについては試みたことがないので判らない……
422:413
08/10/03 00:20:35
>>420
アップロードしました : tane0086.rar
DLKey : security
>>413の書き込みにある、autorun.inf等のディレクトリ対策済USBメモリでWin2Kからアップロードしましたが、現在Win2Kには感染していないようです。
pifファイルについては解凍後に拡張子が表示されないようなのでご注意ください。
必要なファイルが足りなかったら仰って下さい。
それでは宜しくお願いしますｍ（）ｍ
>>421
ネットワークはとりあえず感染PCのNICを無効にしていて、この書き込みはWin2kのほうから書き込んでいます。
パーティションの件は人柱になってみようと思っていますが、明日は仕事が早いので今日は作業を一旦休止して、明日頑張ります。
423:名無しさん＠お腹いっぱい。
08/10/03 01:19:21
>>422
420ですが。ありがとう。exeとcmdファイルはAVGで検出できました。
フリー版でよければAVGつかってみたらどうですか？
ただ、駆除じゃなくて感染ファイル自体を隔離します。
424:名無しさん＠お腹いっぱい。
08/10/03 01:21:26
URLﾘﾝｸ(tane.sakuratan.com)
dlkey security
ｽﾚﾘﾝｸ(sec板:413番)
ｽﾚﾘﾝｸ(sec板:419番)
ｽﾚﾘﾝｸ(sec板:422番)
より
425:424
08/10/03 01:22:53
誤爆ｗ
鑑定スレに投げるつもりでした。
426:名無しさん＠お腹いっぱい。
08/10/03 09:17:27
infはどうでもいいとして、他の2匹は
メモ帳(notepad)とマインスイーパ(winmine)に似せてある。
notepadとwinmineが上書きされちゃってるかも。
XPSP3では
notepad.exe 67,584バイト(windows、windows\system32)
winmine.exe 119,808バイト(windows\system32)
ちなみに2匹とも
Kaspersky Virus.Win32.Sality.aa
Dr.WEB Win32.Sector.9
427:422
08/10/04 00:08:54
パーティション作成によるOSインストール+ファイルサルベージに成功しましたので、報告します。
【使用ソフト】
・Acronis Disk Director Suite 10
・Unlocker 1.8.7
【前準備】
・感染PCをネットワークから隔離し、システム上の記憶媒体のルートにautorun.infという名前のディレクトリを作成し、リムーバブルディスクはPCから外して置く
・リムーバブルディスクのautorun.infファイルは手動削除がほぼ不可能なので、unlockerというツールを用いて削除する
・autorun.infファイルを削除しても、ウイルスがすぐにautorun.infを書き込むので、次のようなバッチファイルを対象リムーバブルディスクのルートディレクトリに作成し実行しておく
:BEGIN
mkdir autorun.inf
GOTO BEGIN
【手順】
1. 感染されたPCにAcronis Disk Director Suite 10をインストール
2. 感染したOSの入っているパーティションサイズを減らし、空き領域を作る
3. 空けた領域にNTFSの基本パーティションを作成
4. 再起動してWindowsXPのインストールCDからブートし、手順3で作成したパーティションにWinXPを新規インストール
5. 感染したパーティションにアクセスしないように十分注意しながら、新OSに必要最低限のドライバをインストール
6. ZoneAlarm 7をインストールし、最新の定義ファイルに更新
7. 感染したパーティションに対してウイルススキャンをかける
8. 必要なファイルをサルベージする（但し、実行可能バイナリは極力サルベージしない）
9. 新OSの方にAcronis Disk Director Suite 10をインストール
10 不要になった感染パーティションを完全（物理）フォーマット後にパーティション削除
11. 手順10で空けた領域と新OSの領域をマージ
12. 恐らくフラグメンテーションが激しいので、デフラグを掛けて置く
恐る恐る行った作業なので、冗長な部分や間違い等が多々あるとは思いますが、訂正してやって下さい。
皆さんの協力で無事に仕事環境が取り戻せました。 有難う御座いましたｍ（）ｍ
428:名無しさん＠お腹いっぱい。
08/10/05 00:12:26
乙だが、そんな状況で使ってたんだ、サルベージした中にも他のウイルスが感染してる可能性がないとはいえんぞ
429:名無しさん＠お腹いっぱい
08/10/05 21:51:44
最近、意味の分からないアダルトサイトにうかつに入ってしまい、１クリック詐欺にあいました。
「ほっとけばいいだろ～」って思ってたんですが、
１０分に１回ぐらいでウィンドウが出るんですよ。
『このサイトの権利を有しています。その時に料金が発生しています。』
的な感じのが出るんですよorz
僕は、あんまりネットの事は詳しくないんですが、
たぶん「exeファイル」だと思います。
ウィルスバスターで試してみてもウィルス、スパイウェアが３９件出ただけで、
その、ファイルが消えないんです。
９０日で、その権利が消えるらしいのですが、それまで待てません＞＜なので、
誰か、良い削除の仕方をご存じの方がいらっしゃればお教えしてはいただけませんか？
よろしくお願いします。
430:名無しさん＠お腹いっぱい。
08/10/05 21:58:10
>>429
キャッシュファイルを削除
ウイルスの場所をここに掲示。
感染ファイルをURLﾘﾝｸ(tane.sakuratan.com)にアップしてくれるとうれしいです。
431:429
08/10/05 22:05:40
>>430
どうやるんですかね？
全然ネット初心者で分かんないですｗごめんなさい。
もう少し分かりやすく説明していただけませんか？
感染ファイルってのは、今僕のパソコンに出てる
「料金発生」でお金を振り込め！って言ってる、
10分に1回ぐらい出るやつのことですかね？
432:名無しさん＠お腹いっぱい。
08/10/05 22:08:40
>>431
ウイルスバスターで検出されたファイルですよ。それが感染してます。
そのままゴミ箱に入れてもいいものかだれか判断してくれるかも。
アップできるならその方が助かるけど無理しないでください。
433:429
08/10/05 22:11:17
>>432
すみません。消してしまいました。
さっき、ウィルスバスターで見てみたんですが、出てきませんでした。
本当にすみません。
434:名無しさん＠お腹いっぱい。
08/10/05 22:12:14
>>433
じゃあよかったっすねｗ
435:429
08/10/05 22:14:25
>>434
でも、今出てきてるんです。
今、自分の、このパソコンの画面の画像をコピーするのってどうやってやるんですかね？
たしかできましたよね？
436:名無しさん＠お腹いっぱい。
08/10/05 22:15:01
>>435
alt + printscreen
ペイントを起動、コピペ
ですね。
437:429
08/10/05 22:19:33
>>436
ありがとうございます！
これで、この邪魔なファイルの画像お見せしますね。
少々お待ちを・・・
438:429
08/10/05 22:22:19
やべ！！
どうやって貼ってお見せすればいいんでしょうか？
後先考えず言っちゃった。
439:名無しさん＠お腹いっぱい。
08/10/05 22:23:37
URLﾘﾝｸ(www-2ch.net:8080)
オヌヌメです
440:429
08/10/05 22:26:05
>>439
どうもありがとうございます！
441:429
08/10/05 22:31:25
>>439
貼りました！
DLパスは『4526』です。
442:名無しさん＠お腹いっぱい。
08/10/05 22:36:54
>>441
URLﾘﾝｸ(onecare.live.com)
迷わずこれやりましょう。
いろいろ削除してくれます。
443:429
08/10/05 22:41:16
>>442
これは、『フルスキャン』すればいいんですかね？
444:名無しさん＠お腹いっぱい。
08/10/05 22:45:50
URLﾘﾝｸ(www.microsoft.com)
クイックスキャンでいいかと思います。
445:429
08/10/05 22:47:35
>>444さん
分かりました！やってみます！
446:429
08/10/05 22:57:31
>>444
これって、フルスキャンと、クイックスキャンとどう違うんですか？
447:名無しさん＠お腹いっぱい。
08/10/05 23:26:20
先日パソコンがウイルスに感染しクリーンインストールしました。
ウイルスに感染している時に接続していた外付けHDDをクリーンインストール後に接続するのは危険でしょうか？
安全に接続する方法はありますか？
アドバイスよろしくお願いします。
448:429
08/10/06 00:03:41
>>444
すみません。できないんですけど。
windows live Onecare PC セーフティでエラーが発生しました。このスキャンを終了して、もう一度やり直してください。
って出たので、やり直したんですがまたまたエラーです。（涙
いったいどうすればいいのでしょう？
449:名無しさん＠お腹いっぱい。
08/10/06 00:06:07
>>429の引っ掛かったワンクリウェア見つけた。
一応、駆除方法書いとく。
1. タスクバーを右クリックして「タスク マネージャ」を起動
プロセスタブを開いて『www.adult-maniac.com.exe』を停止する。
2. スタートメニューの「検索」を開いて、「ファイルとフォルダすべて」をクリック
『www.adult-*.com.*』を検索して、見つかったファイルを削除する。
3. スタートアップ管理ソフトで『www.adult-maniac.com.bat』を削除する。
450:名無しさん＠お腹いっぱい。
08/10/06 05:24:23
AVGでtrojan horse generic11 alcpが数度にわたって発見されているのですが、
該当ファイルがwindowsのシステムファイルだったのにうっかり削除してしまいました。
起動の度に「なんとかっていうdllファイルがありません」と表示されて
いつ動かなくなるかとビクビク、しかもその後も何度も同じように
感染報告が出てくる。
どうしたらいいんでしょうか。
451:名無しさん＠お腹いっぱい。
08/10/06 05:31:48
>>450
>>4の質問用テンプレート使って。
ウイルス名とファイルの場所は正確に。
452:名無しさん＠お腹いっぱい。
08/10/06 05:39:38
失礼しました、書き直します
【使用OS】XPメディアエディション
【使用ブラウザ】Internet Explorer 6
【Microsoft Updateの更新の状態】 自動更新設定
【セキュリティソフトと年式】 AVG8.0（フリー）
【スパイウェア対策ソフト】 なし
【回線の種類・ルータの有無】 ヤフーADSLのルータつきモデム
【具体的な症状 AVGでtrojan horse generic11 alcpが何度も検出される
【過程と措置】 ファイルを隔離すると起動時に隔離したファイルrjhdjvwy.dllが見つかりません、等と
表示されます。
【その他】起動時にアイコンの表示がかなり遅れるようになった。文字を打つときも反応が鈍いし、画面の書き換えが遅いような気が……
453:名無しさん＠お腹いっぱい。
08/10/06 05:58:48
>rjhdjvwy.dll
これシステムファイルじゃねーよ。これ自体ウイルス。
起動時にrjhdjvwy.dllを読み込むように細工されたんだろう。
リカバリを推奨するが、できないなら
URLﾘﾝｸ(www.higaitaisaku.com)
このページを見てHijackThisでログを取って下のスレに投下して。
【分析】HijackThis【研究】
ｽﾚﾘﾝｸ(sec板)
454:名無しさん＠お腹いっぱい。
08/10/06 18:01:55
【使用OS】 XP Home SP３
【使用ブラウザ】 Internet Explorer 7
【Microsoft Updateの更新の状態】 手動
【セキュリティソフトと年式】 ウイルスバスター 2008
【スパイウェア対策ソフト】
【回線の種類・ルータの有無】 光回線でルータ使用していません。
【具体的な症状】PCを使っているうちに重くなり、そのうちＣＰＵ使用率が100％になってとても使いづらいです。
知らないうちに新しいユーザーアカウントができてました。これは削除しました。
インターネットエクスプローラーの調子が悪いことが多くなりました。
IMEが今までワードの画面にあったのですが、ここから消えてしまい、全然関係ないところに表示されてます。
【過程と措置】ウイルスバスターがトロイの木馬「worm_ircbot.adn」を検出したが隔離不能だったので、
手動で駆除するようにといってきました。対応方法を見たら、「検出ファイルを削除」と
あったのですが、分からなかったのでそのままにしておきました。
a-squared free でスキャンしたら、いろいろでてきたのですが、高リスクのものが２つあり
「backdoor.win32.rbot.bqi.」「backdoor.win32.rbot.buf」でした。
検疫で、リストアを選んでおきました。
Virus total のサイトで、上記のウイスルが感染していたファイルをアップロードしてみました。
C:\System Volume Information\_restore{13AF1B0F-D417-4D6E-BC95-C0D522C154A7}\RP1334\A0088390.exe
これは、すでに解析がすんでいますとなり、現在の状態 完了、結果 36（赤色）/36（100％）となっていました。
C:\WINDOWS\I386\DLLHOST.EX_/dllhost.exe
こちらは、アップロードしたら、0バイトですと表示されました。
まだ、ウイルスはPCに残っているんでしょうか？どうかよろしくお願いします。
455:名無しさん＠お腹いっぱい。
08/10/06 18:54:24
>>454
バックドア 【backdoor】 ～ IT用語辞典より
クラッカーにより侵入を受けたサーバに設けられた、不正侵入を行なうための「裏口」。
クラッカーはコンピュータへの侵入に成功すると、次回も侵入できるように、管理者に気づかれないよう
こっそりと侵入経路を確保する。これがバックドアである。
バックドアが設置されていると、管理者が不正侵入に気づいて侵入路をふさいでも、クラッカーは前回
侵入時に設置したバックドアから再び不正侵入を行なうことができる。
また、コンピュータウイルスが感染する際に、外部からの操作を受け入れるための窓口としてバックドアを
設置する場合もある。
バックドアを使って侵入すると、たいていの場合はコンピュータのすべての機能を不正に使用できるため、
他のコンピュータへの攻撃の踏み台として利用されてしまうことも多い。
不正アクセスが確認された後に、ディスクのフォーマットやOSの再インストールを行なうべきとされているのは、
バックドアを完全に消去するためでもある。
☆早急にルータ導入して初期化すべし（LANケーブル抜いとけ）
456:444
08/10/06 19:17:58
>>448
>>449ってことでｗ
457:名無しさん＠お腹いっぱい。
08/10/06 19:20:55
>>455
ありがとうございました。早速実行します。
458: ◆N9P3SuvBPo
08/10/06 21:09:33
>454
どうやってアップロードしたのか？
この「C:\System Volume Information\_restore{13AF1B0F-D417-4D6E-BC95-C0D522C154A7}\RP1334\A0088390.exe」
というファイルを。
System Volume Informationは通常では絶対にアクセスできないはずなんですがね。
仮に感染が上記の奴だけなら、システムの復元を無効→再度有効にするだけで、駆除完了ですが
症状にあるように、知らないアカウントが作成されたとの事ですので、
すでに色々仕掛けられている可能性が有ります。
リカバリしてください。
C:\WINDOWS\I386の中身はリカバリイメージのバックアップファイル群です。
問題ありません。
459:名無しさん＠お腹いっぱい。
08/10/06 21:16:16
>>454
ウイルスバスターってのはなんなの？未然に防がないのか？
460:名無しさん＠お腹いっぱい。
08/10/06 22:02:25
>>453
アドバイスありがとうございました。誘導いただきましたスレで
相談中です。なんとかリカバリにはいかずに済みそうです。
461:454
08/10/07 10:35:44
>458
アップロードは、ファイル名をコピペしました。ダメだったんでしょうか？
アドバイス、ありがとうございました。
LANケーブルを抜いておくように教えていただいたのですが、一時的に差して
１分とか短い時間のネット接続も危険なのでしょうか？
462:429
08/10/07 12:25:19
>>449さん
ありがとうございました！
おかげで、ファイルを消すことができました。
これからは、気をつけたいと思います
本当にありがとうございました。
463: ◆N9P3SuvBPo
08/10/07 17:35:32
>461
コピペか…
アクセスが制限されてるフォルダでも、そのような方法を取ればアップロードできるってことですね。
短い時間でも危険ですね。
繋ぎっぱなしは問題外ですが…
464:名無しさん＠お腹いっぱい。
08/10/08 08:32:54
質問用テンプレートを使っていなかったのでもう一度書き込みます。
すみませんでした。
【使用OS】 Microsoft Windows XP Professional SP3
【使用ブラウザ】 firefox3
【Microsoft Updateの更新の状態】 自動更新設定
【セキュリティソフトと年式】 NTTセキュリティ対策ツール
【スパイウェア対策ソフト】 なし
【回線の種類・ルータの有無】 光回線でルータ使用中
【具体的な症状】
１週間ほど前から何もしていないときでもCPU使用率が１００％になり動作が重くなりました。３日前にパソコンの電源を入れたときブルースクリーンがでて 起動できなくなりました。
【過程と措置】
セーフモードで起動しオンラインスキャンを実行したところウイルスを検出しましたがほとんどが駆除できなかったので必要なデータを外付けHDDに移してリカバリしました。
ウイルス名は詳しくは覚えていませんがbackdoor…、rootkit…、torojan…というのがありました。
データを移したあと外付けHDDをスキャンしたときはウイルスは検出されませんでした。
リカバリしたパソコンに外付けHDDを接続しても問題ないでしょうか？
ここかセキュリティ初心者質問スレどちらに書き込むか迷ってこちらに書き込みました。
よろしくお願いします。
465: ◆0fQkHdNop2
08/10/08 11:43:05
>>464
可能性は低いが外付けHDDにウィルスが入ってる可能性はある。
しかし、外付けHDDのデータは捨てれないだろうから、接続前に、
まず、Microsoft update（windows update）を完全にして、それから
「NTTセキュリティ対策ツール」（ウィルスバスターの旧バージョンの変形
らしい）が役立たずなので別のウィルス対策ソフトにすべきだ。
金があればカスペルかノートン、金が無ければAvira AntiVir かAvastと
フリーのFWに交換すべきだ。そしてそれを最新状態にupdate。
それから、意外と盲点なのが圧縮・解凍ソフトを最新バージョン使う事だ。
コントロールパネルのインターネットオプションのセキュリティーで、
Active Xとjava scriptはオフにする。
また、ブラウザーはOperaをインストールして、それをデフォにする。
また、もし、その「外付けHDD」が便利ツール自動起動タイプの場合には
動起動オフにしてから接続すべきだ。
そして、パソコン本体からケーブルはずしネットから切断した状態で
外付けHDDに接続すれば良い。ウィルスがいても休眠状態のはずだ。
その状態でウィルスチェック。
Ad-AwareかSpybotでスパイウェアチェック。
いくらチェックしてもexeファイルはクリックしない事。
466: ◆0fQkHdNop2
08/10/08 11:46:32
>>464
カスペルかノートンの場合にはFW付きのインターネットセキュリティー
にしてくれ。どっちかというと、その状態ではカスペル・インターネット
セキュリティー推奨。
467:名無しさん＠お腹いっぱい。
08/10/08 12:19:23
>>465
ウイルスバスターがなんで駄目なのか説明してくれないか？
468: ◆0fQkHdNop2
08/10/08 12:24:51
>>464が「NTTセキュリティ対策ツール」入れててウィルス感染して
オンラインスキャンでウィルス発見したと言ってる。
だから(>>464の環境や使用法にとって)「NTTセキュリティ対策ツール」（ウィルスバスターの旧バージョンの変形
らしい）が役立たずと言ったのだ。
469:名無しさん＠お腹いっぱい。
08/10/09 12:33:02
【使用OS】 XP Home SP2
【使用ブラウザ】 Internet Explorer 6
【Microsoft Updateの更新の状態】 自動更新
【セキュリティソフトと年式】 カスペルスキーインターネットセキュリティ7
【スパイウェア対策ソフト】 なし
【回線の種類・ルータの有無】 光回線でルータ使用中
【具体的な症状】
上記セキュリティソフトでファイルスキャンを行おうとした所、反応せず、
IE上でのアドオン（ウェブアンチウイルス）を開こうとするとIEが固まり、ツールバーのセキュリティソフトアイコンを開こうとしても反応しなくなりました
ぱにくってオンラインスキャンを行おうとURLﾘﾝｸ(www.kaspersky.co.jp)やURLﾘﾝｸ(www.trendflexsecurity.jp)のアドレスを開こうとしましたが、
（URLﾘﾝｸ(so.7walker.net)からはソースを取得できるのに）IEが応答なし状態になるのでウイルスの感染を疑いました。
【過程と措置】
タスクマネージャを眺めると、開いているブラウザの数のわりに妙にIEXPLOREプロセスが多いなと思ったので、
すべてのブラウザを閉じた上でなお１つ残ったIEXPLORE.EXEプロセスを終了させると、
エクスプローラがアプリケーションエラーを起こして再起動した後、セキュリティソフトが復旧しました。
現在はセキュリティソフトでルートキットスキャンを実行しています。
【その他】
なんらかのウイルス感染を疑いましたが、勘違いだったのでしょうか。
470: ◆0fQkHdNop2
08/10/09 13:33:41
>>469
その時だけ一回なら、何とも言えない。
何度かそういう状態になったのならウィルスかスパイウェアか遠隔操作ツール。
その場合はリカバリ推奨。
一回だけの不具合の場合の対策は、
(1)そのファイルをカスペでファイルスキャン。
(2)システムの復元をする。
(3)システムの復元を一旦無効にしてから再度有効にする。
(4)ウィルス完全スキャン。
(5)スパイウェア対策専用ソフトでスパイウェアのスキャン。
471: ◆0fQkHdNop2
08/10/09 13:39:03
>>469
大事な事を言い忘れてた。
Microsoft updateが不完全。
それではウィルスやスパイウェアに感染しやすい。
まず、Microsoft updateで「カスタム（手動）」でIE7インストール。
SP3より先にIE7入れる事。
それから、「高速」updateでSP3入れる。
>【使用OS】 XP Home SP2
>【使用ブラウザ】 Internet Explorer 6
>【Microsoft Updateの更新の状態】 自動更新
472:469
08/10/09 14:03:26
一回だけの不具合です。
>>470の通りにしてから様子をみてみます。
ありがとうございました。
473:454
08/10/09 23:11:53
教えていただいたルーターの導入と初期化ができましたので、
ネットに接続できるようになりました。
>463
お返事ありがとうございました。
474:名無しさん＠お腹いっぱい。
08/10/09 23:39:45
>>471
無知はコテ付けるな勘違い野郎
他の板池
475:名無しさん＠お腹いっぱい。
08/10/10 01:09:35
いきなり復元を勧めるなよ
476:名無しさん＠お腹いっぱい。
08/10/10 07:36:49
IE7勧めるなよ・・・しかもXP環境の奴に・・・
477: ◆0fQkHdNop2
08/10/10 09:18:51
>>476
Microsoft updateのバグのせいでSP3より先にIE7入れないと、SP3入れたたら
それ以後updateできなくなるから(Microsoftがupdateのバグ修正するまでは）
先にIE7インストールするのが絶対必要。
478:名無しさん＠お腹いっぱい。
08/10/10 09:29:05
マジで？
そんなん初めて聞いたわ。
479: ◆0fQkHdNop2
08/10/10 09:32:14
IE6をIE7にしてもMicrosoft update (windows update）するとき以外は
使わないようにしたら良い。
私は普段はOperaとFirefoxを使ってる。
480:名無しさん＠お腹いっぱい。
08/10/10 09:46:23
んだよ、ググったら必ずそうなるって分けじゃないじゃん。
てか、本当にIEが関係あるのか？
IE７でもなる場合はそうなるんじゃねえの？
481: ◆0fQkHdNop2
08/10/10 10:24:08
>>480
最近、Windows XP SP2を再インストールしたらupsdateできないのだ。
自動更新や高速updateではSP3以降updateできなくなるのだ。
実際に8月頃updateできなくて困って調べたらカスタム（手動）で
IE7をSP3より先に入れたら回避できるとの指摘があった。
Ookami氏サイト↓参照
URLﾘﾝｸ(realvana.exblog.jp)
そのとおり、先にIE7入れたら本当にうまくいった。
Microsoftは難しい解決法示してるが、update順序変えたら良いのだ。
URLﾘﾝｸ(support.microsoft.com)
482:名無しさん＠お腹いっぱい。
08/10/10 10:47:59
XP SP3インストールでIE 7が削除不可能に、MSが注意
URLﾘﾝｸ(www.itmedia.co.jp)
483:名無しさん＠お腹いっぱい。
08/10/10 11:41:25
>>477
それは知らなかったがSP3を勧める必要はまだないと思うが
484: ◆0fQkHdNop2
08/10/10 12:06:15
>>469は自動更新にしながらSP2,IE6なので、おそらく他のupdateも
止まってるはず。
また、SP3に若干の問題はあってもMicrosoftがSP3前提でセキュリティー
ホール対策とupdateしてるので、特に知識のある者以外はSP3入れるべき
だし、自動更新や高速updateなら（>>469のような機能不全でなければ）
SP3はインストールされる。
485:名無しさん＠お腹いっぱい。
08/10/10 14:32:57
>>477
俺できたけど
486:名無しさん＠お腹いっぱい。
08/10/10 15:13:04
>>477
まあコレも読んどけ。
URLﾘﾝｸ(itpro.nikkeibp.co.jp)
487:名無しさん＠お腹いっぱい。
08/10/10 15:30:29
>>469のケースに関しちゃ、たしかにウイルス感染の線は薄そうだが
念のため一度セーフモードでスキャンしておいたほうが良いね
CCCクリーナーを使うのも良い
SP3の問題に関しちゃ、本人がSP3を回避しているか
MSCTが入ってるとか空き容量とかその辺の問題があるからとか
SP3導入前に更新するべき更新項目が実行されてないとか
あとはリカバリしてアップデータが古い更新できないからとか
7月以前にダウンロードが表示されているのに無視してたとか
色々ケースはあるかも知れん。
OPERAとFireFoxに関しちゃ好みだからな
アドオンの導入がめんどくさいとか、良くわからんって人なら
迷わずOPERAが良いだろうが……結局あれも好みだからな
488:名無しさん＠お腹いっぱい。
08/10/10 15:36:51
>あとはリカバリしてアップデータが古い更新できないからとか
あとはリカバリしてアップデータのバージョンが古くなり、新しい更新が出来ない。
489:名無しさん＠お腹いっぱい。
08/10/10 16:21:02
Fire「F」ox(笑)
490: ◆0fQkHdNop2
08/10/10 16:32:01
>>487
>>469
>【Microsoft Updateの更新の状態】 自動更新
491: ◆0fQkHdNop2
08/10/10 16:40:23
>>485
update不能の不具合は8月以降。32bit XP SP2の場合。
少なくとも、先週まではupdate不能の不具合があったみたいだ。
尚、私もそれ以前にリカバリした別のXPパソコンはupdateの不具合はない。
492: ◆0fQkHdNop2
08/10/10 16:42:30
>>486
>>477 >>479
493:名無しさん＠お腹いっぱい。
08/10/10 17:35:25
>>490
だから自動更新でも7月以前はダウンロードをクリックしないと
SP３はダウンロードされないわけよ
本人様子見たいって言ってるからまあそういうことだろ
494:名無しさん＠お腹いっぱい。
08/10/10 17:37:52
自動適用は8月からだったろ
495:名無しさん＠お腹いっぱい。
08/10/10 17:43:38
MSCTが入ってるとそれ以前の問題
ServicePack自体を受け付けない
496:名無しさん＠お腹いっぱい。
08/10/10 17:54:09
>>469
まあ、ServicePackを適用しとけというのは間違いじゃないが
カスペが入ってると更新も面倒だし……というか7は古いな
無償バージョンアップできから２００９にアップさせとけよー
ついでにSP3も適用してしまえばいい
497: ◆N9P3SuvBPo
08/10/10 20:23:43
XPSP2のサポートはまだ続いているのに、updateできない？
ま、ComboFixで一掃したほうが良いっすね。
498:454
08/10/10 23:54:00
たびたびすみません。
【使用OS】 XP Home SP３
【使用ブラウザ】 Internet Explorer 7
【Microsoft Updateの更新の状態】 手動
【セキュリティソフトと年式】 ウイルスバスター 2008
【スパイウェア対策ソフト】
【回線の種類・ルータの有無】 光回線でルータ使用していません。
【過程と措置】上記の状態でしたが、ウイルスに感染したので、こちらでいただいたアドバイスにしたがって
ルーター導入・初期化しました。
Avast でスキャンしたら、 win32:gnome-d[wrm] と vbs:malware-gen が検出されました。
チェストは成功し、感染元（？）はワードのファイルでした。
その後、f-secure のオンラインスキャンを実行しました。
TrackingCookie.2o7 、TrackingCookie.Advertising 、TrackingCookie.Webtrends が検出されました。
処理を選びました。TrackingCookie は危険度が低いと聞いたのですが、それでいいでしょうか？
このあと、何をすればいいでしょうか？よろしくお願いします。
499: ◆N9P3SuvBPo
08/10/11 00:00:44
>498
感染元となったファイルは、HDDに戻す前にスキャンした？
戻した後でも、開かなければ問題ないです。
Cookieは気にするまでもないが、削除を推奨します。
他に症状がなければ、解決で。
500:454
08/10/11 00:41:12
>499
感染元のファイルは、HDDに戻す前にスキャンしませんでした。
全然思いつきませんでした。
ファイルを探したんですが、見つかりませんでした。でも、感染元は「スーパー３.doc」で
「スーパー最終２.doc」というのを開いてしまいました。これが一番似た名前でした。
問題ないといいのですが・・・。
たびたび回答ありがとうございます。
501:名無しさん＠お腹いっぱい。
08/10/11 00:59:35
【使用OS】 Windows XP Home SP3
【使用ブラウザ】 IE7
【Microsoft Updateの更新の状態】 Microsoft Update できません
【セキュリティソフトと年式】 カスペ2009 英語版
ad-aware スパイボット（アップデートできません）
【回線の種類・ルータの有無】 CATV
【具体的な症状】 スパイウェアにかかった後、Microsoft UpdateやそのSupportページ
Trendを除く殆どのアンチウイルスソフトウェアのサイトに接続できなくなりました
そのせいでアップデートもできなくなりました。。。
ググってみるとそういうマルウェアがあるみたいなのですが
探しても対処法が分かりません
ご存知の方いらっしゃいましたら、どうか助けてください
宜しくお願いします
502:名無しさん＠お腹いっぱい。
08/10/11 01:03:26
>>501
おそらくVundo
↓ComboFix(デスクトップに保存、Wクリックで実行、警告画面が出たら"はい"で)
URLﾘﾝｸ(download.bleepingcomputer.com)
実行後再起動するからCドライブ直下に保存されるComboFix.txtの内容を貼り付けるか
ComboFix.txtをどっかのロダに上げるかして。
503:名無しさん＠お腹いっぱい。
08/10/11 01:49:00
【使用OS】 Vista ホームプレミアム
【使用ブラウザ】 Lunascape
【Microsoft Updateの更新の状態】 自動更新設定
【セキュリティソフトと年式】 ノートンインターネットセキュリティ
【スパイウェア対策ソフト】 ノートンインターネットセキュリティ
【回線の種類・ルータの有無】 光回線、ルータなし
【具体的な症状】 PC上にあるフォルダのどれを開いてもWarning!の表示がでる。エクスプローラが一緒に停止してしまう。
URLﾘﾝｸ(up3.pandoravote.net)
この画像のようになります。
【過程と措置】 海外のサイトを巡回していて、気づいたらこのような状態になっていました。
Windowsフォルダをノートンでスキャンしてみてもみつかりません。
システムの復元でちゃんと動いた日付にもどしてもなおりません。
504:名無しさん＠お腹いっぱい。
08/10/11 02:00:43
>>503
ｽﾚﾘﾝｸ(sec板)
505:名無しさん＠お腹いっぱい。
08/10/11 11:27:57
>>503
>>502を実行してください
ログも
506:454
08/10/12 23:38:18
またお願いします。
突然、DOS画面（？）のウインドウが開いて、勝手に閉じました。それでスキャンしたら
a-squared free → バックドア ２種類、低・中リスク多数（未処理）
avast → 0
f-securer → trackingcookie ２種
バックドアが検出されたから、また初期化なのでしょうか？
それとも、a-squared の誤検出なのでしょうか？
たびたびで申し訳ないのですが、よろしくお願いします。
507: ◆N9P3SuvBPo
08/10/13 00:10:42
>506
a-squared free で検出したファイル名とウイルス名は何？
508:454
08/10/13 00:29:04
>507
C:\System Volume Information\_restore{13AF1B0F-D417-4D6E-BC95-C0D522C154A7}\RP1334\A0088390.exe
検出: Backdoor.Win32.Rbot.bqj
C:\WINDOWS\I386\DLLHOST.EX_/dllhost.exe
検出: Backdoor.Win32.Rbot.buf
よろしくお願いいたします。
509: ◆N9P3SuvBPo
08/10/13 00:46:18
>508
上のC:\System Volume Information\_restoreはシステムの復元フォルダからなので、
一旦システムの復元を無効にすることで、処理は終わる。
下の奴…前、俺がI386フォルダに感染するウイルスはないと申しましたが、
念の為、このサイトでそのC:\WINDOWS\I386\DLLHOST.EX_/dllhost.exeをスキャンしてください。
URLﾘﾝｸ(www.virustotal.com)
510:454
08/10/13 00:49:59
>508 間違えました。すみません。
>507
こちらが正しいです。よろしくお願いします。
C:\System Volume Information\_restore{13AF1B0F-D417-4D6E-BC95-C0D522C154A7}\RP13\A0001289.exe
検出: Backdoor.Win32.Rbot.buf!A2
C:\WINDOWS\I386\DLLHOST.EX_/dllhost.exe
検出: Backdoor.Win32.Rbot.buf!A2
511:454
08/10/13 00:59:41
>509
510 は、509 を見ずに書いてしまいました。
教えていただいたことをやってみます。
いつもいつもありがとうございました。
512:名無しさん＠お腹いっぱい。
08/10/13 19:41:21
【使用OS】 Win XP Pro SP3
【使用ブラウザ】 標準はIE7(踏んだ時はSleipnir 1,66)
【Microsoft Updateの更新の状態】 最新の状態
【セキュリティソフトと年式】 F-Secure Internet Security 2008
【スパイウェア対策ソフト】 同上
【回線の種類・ルータの有無】 光回線でルータ使用中
【具体的な症状】無し
【過程と措置】
www1.chironoworks.com/love_storm/link/
↑のサイトで80M以上のアップローダーを探してた時、リンクを
クリックしたらF-Secureがウイルス検知、ウイルス名はTrojan-Downloader.JS.Agent.chw
指示に沿って駆除しようとしたらF-Secureが強制終了しました。
その後再起動掛けてスキャンしても問題無し。駆除出来たと思っていいのでしょうか？ウイルスの場所、F-Secureのログは
C:\Documents and Settings\ユーザー名\Local Settings\Temporary Internet Files\Content.IE5\74H2TP87\mystery-blue_com[1].htm 処理: 名前変更済み
強制終了したのが気掛かりです。。。
513:名無しさん＠お腹いっぱい。
08/10/13 20:09:45
>>512
強制終了しているのであればまだそのトロイの木馬が潜伏している可能性がある。
一度F-Secure Internet Security 2008をアンインストールして
AVGやAvast等のフリーソフトを導入し、再度スキャンかけてみたらどうかな？
あと、Trojan-Downloader.JS.Agent.chwに感染し、そのときに作成されてしまった
ファイルをすべて削除することと、AVGやAvast等のフリーソフトを導入し、
再度スキャンかけて見るときに、自動的にシステムの復元ポイントを作成する
のチェックは外してみてね。
514: ◆N9P3SuvBPo
08/10/13 20:44:58
>513
F-Secure入れてるのに何故アンインストールを奨める？
515:名無しさん＠お腹いっぱい。
08/10/13 21:14:20
んだ、わざわざセキュリティソフト入れ替えせんでもマルウェア駆除ツール落としてきて使えばいいだろ
Norman Malware CleanerとかDr.WEB CureIt!とかKaspersky Virus Removal Toolsとか
セーフモードで実行してね
516:454
08/10/13 22:11:49
>509
C:\WINDOWS\I386\DLLHOST.EX_/dllhost.exeをスキャンしてみました。
0 bytes size received でした。
本当にお世話になりました。ありがとうございました。
517: ◆N9P3SuvBPo
08/10/13 22:13:36
>516
どうやら、過剰反応もしくは誤検出のようでしたね。
無事で何よりです。
518: ◆0fQkHdNop2
08/10/13 22:49:28
>>512
セキュリティーホールがなければ見ただけ感染はないのですが、あなたの
使ってたブラウザーのSleipnir 1,66は古くてセキュリティーホールがあり
感染し、ついでにF-Secureも狙われて落とされた疑いがあります。
窓の社記事参照
URLﾘﾝｸ(www.forest.impress.co.jp)
>「Sleipnir」「Firefox」などのタブ切り換え型Webブラウザーに存在する脆弱性
問題は、Trojan-Downloader.JS.Agent.chwが悪さの本体でなく悪さの本体
の侵入の手引きしただけのものの可能性があり、すでにバックドア造られ
たり、パスワード抜かれたりしてる可能性もあります。
今さらリネームされたTrojan-Downloader.JS.Agent.chw削除しても無駄です。
セキュリティーを考えるならリカバリとパスワード変更を推奨します。
また、ブラウザーもOperaを推奨します。
519:名無しさん＠お腹いっぱい。
08/10/13 23:03:16
>>518
F-Secureで反応してんだろボケ
検出されたディレクトリを見ろあほ
馬鹿みたいにリカバリ薦める前に詳細なログとるなり症状聞くなりしてみたら？
感染してないってことがわかるから。
お前マジで無知すぎる。
アダ被とか言う割には何を学んできたのって感じ。
520:512
08/10/13 23:12:21
皆様レスありがとうございます。
あれから他メーカーのオンラインスキャンや
駆除ツール等を試したところ、問題ありませんでした。
強制終了の件はF-Secureに報告済み。
お騒がせしました。m(_ _)m
PS もう開発の止まったブラウザ(Sleipnir 1,66)を使うのは止めます。。。
521:名無しさん＠お腹いっぱい。
08/10/13 23:16:10
>>512
問題ない。強制終了はしているが、
ちゃんと問題のファイルはリネームようなので問題ないでしょう
目だった症状も泣く、F-Secureも普通に動いていてますよね？
522: ◆N9P3SuvBPo
08/10/13 23:18:35
強制というか、処理終わったら自動で閉じちゃうオチだったりしてな
523:名無しさん＠お腹いっぱい。
08/10/13 23:35:28
>>514
だってF-Secureに反応して強制終了してるんでしょ？
それなら別ソフトを導入して再スキャンして結果見たほうがいいじゃん。
524:512
08/10/13 23:42:44
>>521 >>522
レスありがとうございます。強制終了後、再起動掛けたら
F-Secureは普通に常駐しました。その後レポート欄に
「検出したウイルスは再起動すれば駆除完了」とあった
ので、再び再起動→完全スキャンで何も問題ありません
でした。今も普通に動いています。
また、検知した場所にも、ファイル表示の状態が
「全てのファイルとフォルダを表示する」にチェック、
「保護されたオペレーションシステムファイルを表示しない」はチェックオフ
の状態でももう何もありませんでした。駆除完了で解決でいいでしょうか？
525:名無しさん＠お腹いっぱい。
08/10/13 23:52:52
>>523>>518
そんな簡単にアンチウイルスも乗っ取られないし、
アンチウイルスの警告画面が出てる時点で感染行為はSTOPされてる訳で。
そもそもちゃんと確認もせずになぜリカバリーやら
ソフトのアンインストールを薦める？
最新版の2008を何の確認もなしにアンインストール指示出すなんて
もっての外。
>>524
＞駆除完了で解決でいいでしょうか？
完了です。F-Secureが瀬戸際でキッチリ処理してますんで。
Sleipnirのうｐだて忘れずに
526: ◆0fQkHdNop2
08/10/14 00:08:30
>>519
>検出されたディレクトリを見ろあほ
セキュリティーホールがあって、リネームされてなければインターネットの
テンポラリ・キャシュにあっても活動済みの可能性はある。
ここで、注意すべきはTrojan-Downloader.JS.Agent.chwが名前からして
悪事の主体でなく運び屋にすぎない可能性が高い事。
リネームされててもセキュリティーホールがあってウィルス対策ソフトが
落とされたら活動した可能性が高い。F-SecureとしてもIEでなく比較的
マイナーで安全性が高いと思ってたSleipnirのセキュリティーホール利用
された場合には検知してリネームしても活動抑えれたか疑問で、F-Secureが
落とされた事を考えるとすでにバックドア造られパスワード抜かれた可能性
もある事。そして、そのバックドアはウィルス対策ソフトでも検知できない
場合もある事だ。
しかも、F-Secureは企業ユーザーが多いから企業機密の入ってる仕事用
パソコンなら大事とってリカバリしてパスワード変更が順当。
>>524
>駆除完了で解決でいいでしょうか？
Trojan-Downloader.JS.Agent.chwが名前からして悪事の主体でなく運び屋に
すぎない可能性が高い。そいつがリネームされてても悪事の後でリネーム
され、バックドア造られた後の祭りの可能性もある。
バックドアはウィルス対策ソフトに反応しない場合もあるので、
企業機密とか入ってるパソコンならリカバリとパスワード変更推奨。
527: ◆N9P3SuvBPo
08/10/14 00:09:10
そもそもF-Secureはカスペと同じエンジンを積んでるからな。
>525の言う通り、F-Secureが水際で感染を食い止めている
＞処理: 名前変更済み
他に指示することと言えば、BlackLightによるスキャンだろ
（BlackLight…2008に搭載されてたかな）
528: ◆0fQkHdNop2
08/10/14 00:17:03
>>525
>そんな簡単にアンチウイルスも乗っ取られないし
数年前にノートンとかの有名ウィルス対策ソフトを停止させるウィルスが
大流行したのを知らないのですか？
それで、現在のノートンはデフォでシマンテック「製品の保護」がオン
になってて、場合によっては設定変更防止のパスワードかけれるように
なっている。カスペも最強のFWのoutpost（有料最新版）も自己防御機能
をPRしてる。まあ、落とされたF-Secureは自己防御能力が低いのだろう。
529: ◆N9P3SuvBPo
08/10/14 00:27:25
>528
対策ソフトを無効化するマルウェアの存在を、回答者が知らないと思ってるんですか？
数年前ってまさか、Dark_Lolitaのことを言ってるんじゃないですよね？
専ブラからの検出も、まさかリカバリを奨めることはしないでしょうね…？
530: ◆0fQkHdNop2
08/10/14 00:35:30
>>527
>そもそもF-Secureはカスペと同じエンジンを積んでるからな。
それは知りませんでした。
Virusu-bulletinではAVK2008はカスペルエンジン使用との注釈がありますが
F-Secureは別物としてテストしてます。優秀ですけど。
URLﾘﾝｸ(www.virusbtn.com)
また、もし仮にウィルス対策エンジンがカスペルと同じでも自己防御力は
カスペルより、はるかに劣ってる可能性があります。
>for all
Exploitとかdownloaderは感覚的には感染というより運び屋です。
問題はExploitとかdownloaderと一緒に読み込まれた本体がウィルスでなく
バックドア造るコードの場合にはセキュリティーホールがあればサイトを
読み込んだ時点でパソコンが自由に操作されてる危険がある事です。
そしてできたバックドアはウィルス対策ソフトに反応しない可能性が
ある事です。これは数年前、私自身が何度も試した経験のある事実です。
531: ◆0fQkHdNop2
08/10/14 00:46:51
五年前になりますが、JS.EXCEPTIONというExploitかdownloaderに分類される
見ただけ感染のサイトで（サポート終了でセキュリティーホールのあった)
Windows 95のパソコンで何度も試しました。
ｽﾚﾘﾝｸ(sec板:82番)n-84
後で、インターネットのテンポラリ・ファイル・フォルダにあった
JS.EXCEPTION削除してもバックドアは消えませんでした。
これは厳然たる事実です。
532:名無しさん＠お腹いっぱい。
08/10/14 01:06:29
>>531
お前は浅はかな知識で必死に自分を正当化してるけど
質問者に混乱を招くだけだから止めてくれないかね？
少なくともお前は現時点で流行してるマルウェアや
駆除方法を全く理解してないよね。
数年前の少ない知識をまるで自慢するかのように回答してるだけ
そんなに感染を疑うならHiJakThisのログ、SilentRunnersのログをとってもらったら？
ただリカバリー指示しかできないの？
頭が的外れな憶測でしか動いてないよ。
この粘着といい真性のキチガイ臭がする
次ページ最新レス表示スレッドの検索類似スレ一覧話題のニュースおまかせリスト▼オプションを表示暇つぶし2ch
4397日前に更新/343 KB
担当:undef