【緊急!】ウイルス即� ..
532:名無しさん＠お腹いっぱい。
08/10/14 01:06:29
>>531
お前は浅はかな知識で必死に自分を正当化してるけど
質問者に混乱を招くだけだから止めてくれないかね？
少なくともお前は現時点で流行してるマルウェアや
駆除方法を全く理解してないよね。
数年前の少ない知識をまるで自慢するかのように回答してるだけ
そんなに感染を疑うならHiJakThisのログ、SilentRunnersのログをとってもらったら？
ただリカバリー指示しかできないの？
頭が的外れな憶測でしか動いてないよ。
この粘着といい真性のキチガイ臭がする
533:名無しさん＠お腹いっぱい。
08/10/14 01:20:26
>>531
当たり前だろw
脆弱性突かれて完全感染したんだから
テンポの感染元消しただけじゃ意味ないことなんてみんな知ってるんだよ。
でも今回の場合はエフセキュがそのマルウェアに対応しててマルウェアが行動に移す前にストップをかけrenameした。
つまり感染はしてないわけ。
これ理解できないわけじゃないよね？
小学生でもわかるレベルな。
それと5年前のマルウェアに95のパソコンで行った感染実験の話なんてする価値ないです。
534:名無しさん＠お腹いっぱい。
08/10/14 07:53:03
【使用OS】 XP
【使用ブラウザ】 sleipnir
【Microsoft Updateの更新の状態】 自動更新設定
【セキュリティソフトと年式】......
【スパイウェア対策ソフト】......
【回線の種類・ルータの有無】 無線RAN
【具体的な症状】主にＳｐｙｗａｒｅかと。事の発端はｒａｐｉｄ ａｎｔｉｖｉｒｕｓとかいうウイルス対策ソフトまがいの
ウイルスにやられているものかと思います。
【過程と措置】 ｎｏｒｔｏｎからｋａｓｐｅｒｓｋｙに変えようとしたとき誤って
ファイルをダウンロードしたしたために、そこからウイルスが進入。
いきなり５つくらいウインドが開き、ｓｐｙｗａｒｅに感染しています、と表示され、
勝手に何かしらのソフトをダウンロードしようとしてくる。
なぜかそこからｋａｓｐｅｒｓｋｙがインストールできなかったため、
ウイルスバスターの体験版をインストールし、スキャンしたが、症状は治らず。
状態はさらに深刻化し、ほぼ常にフリーズ状態。たまに、動かせたりもするが、
いかなるプログラムを実行しようとしても、実行できず、フリーズする。
セーフモードを起動しても、起動できないため、手ごまいている状態です。
Ｃドライブをフォーマットするしかないでしょうか？
535:名無しさん＠お腹いっぱい。
08/10/14 08:01:25
そこまで酷いとリカバリしかないだろ。
536:名無しさん＠お腹いっぱい。
08/10/14 08:10:15
>>534
まさかとは思いますが、
ノートンとバスターが二つ入ってる状態。。な訳ないですよね？
537:名無しさん＠お腹いっぱい。
08/10/14 08:13:29
リカバリしろ
フォーマット＝リカバリじゃないから気を付けてな
538:名無しさん＠お腹いっぱい。
08/10/14 20:10:41
>>537
リカバリ
それは
伝家の宝刀
そして涙をのんで行う最終手段
539:名無しさん＠お腹いっぱい。
08/10/14 20:18:43
定期的にバックアップとってればたいして痛くもなけどな
540: ◆0fQkHdNop2
08/10/14 21:34:38
>>534
> ｎｏｒｔｏｎからｋａｓｐｅｒｓｋｙに変えようとしたとき誤って
>ファイルをダウンロードしたしたために、そこからウイルスが進入。
なんで、カスペルに変えようとして無関係のファイルをダウンロード
してウィルス感染するのか不思議なので考えたのですが、もしかして、
ファイル交換してるのですか？
Torrent以外のファイル交換はセキュリティーのリスクは非常に大きいですよ。
541: ◆0fQkHdNop2
08/10/14 21:35:48
>>532
>そんなに感染を疑うならHiJakThisのログ、SilentRunnersのログをとってもらったら？
スパイウェアの場合、宣伝とか嫌がらせが目的のものが多いからHiJakThisのログに
現れ識別しやすい。また、愉快目的のウィルスの破壊行為もHiJakThisのログに現われ
識別しやすいのかもしれない。しかし、セキュリティーホール利用した営利目的の
ステルスタイプの侵入ではHiJakThisを妨害したり、HiJakThisのログに現われなかったり、
HiJakThisのログに現われてもよほど注意しないと識別困難だったりするので、労多くして功少なしだろう。しかし、慣れてる者が見ればバックドアの痕跡を発見できる可能性は
否定しないので、貴殿が見て上げると言うなら止めはしない。
Semplice氏のブログ記事↓参照
「擬態・偽装するマルウェア - ファイル名・エントリ名とHijackThisによる修復の難」
URLﾘﾝｸ(blog.lucanian.net)
>少なくともお前は現時点で流行してるマルウェアや
>駆除方法を全く理解してないよね。
それはあなただろう。私の述べた基本は変わってない。
変わったのはマルウェアがより巧妙になってる事だ。
あなたは、それを無視してHiJakThisのログとか言ってる。
（もちろん、HiJakThisのログでバックドア発見できる可能性は否定しないが
以前よりは難しくなってるはずだ。）
尚、最近はセキュリティーソフトを無効化するウィルスが以前ほど猛威
振るってないのは、セキュリティーソフト各社が対応策を講じたからで、
未だにウィルスに落とされるF-Secureは自己防衛に関しては進歩が見られない。
だいたい、F-Secure Internet Securityと言えばファイアウォールとセットに
なってるわけで強制終了させられたら侵入されまくりじゃないか。
542: ◆0fQkHdNop2
08/10/14 21:36:35
>>529
>対策ソフトを無効化するマルウェアの存在を、回答者が知らないと思ってるんですか？
>数年前ってまさか、Dark_Lolitaのことを言ってるんじゃないですよね？
私は>>513でも>>523でもないですが、あなたは>>525なのですか？
「Dark_Lolita」って検索したら2ちゃんねるでしか通用しない俗称なのか
超マイナーなウィルスみたいで、ウィルス対策ソフトメーカーのHPには
載ってないので、どんなウィルスか知りません。
セキュリティーソフトを無効化するウィルスで有名なのはKlez（クレズ）
だと思います。2002年には最も流行したウィルスとして有名です。
@IT記事「最も流行したウイルスはクレズ、トレンドが年間ランキング発表」参照
URLﾘﾝｸ(www.atmarkit.co.jp)
トレンドマイクロ社HP記事参照
URLﾘﾝｸ(www.trendmicro.co.jp)
>・ウイルス対策ソフトの停止：
>「WORM_KLEZ.E」では、以下の名称のプロセスを終了させます。
543: ◆0fQkHdNop2
08/10/14 21:37:11
>>533
>でも今回の場合はエフセキュがそのマルウェアに対応してて
>マルウェアが行動に移す前にストップをかけrenameした。
>つまり感染はしてないわけ。
リネームの時期についての認識が甘いね。
F-SecureがTrojan-Downloader.JS.Agent.chwを含んだインターネット
キャッシュをリネームしたのは、>>512が再起動して再スキャンした時でしょう。
つまり、Trojan-Downloader.JS.Agent.chwと共に読み込まれた悪質コードは
リネーム前に実行されてるはずです。
Trojan-Downloader.JS.Agent.chwと悪意コード実行後にF-Secure再起動して
リネームしても無意味です。わかりますか？
それから、前もって言っておきますと、Trojan-Downloader.JS.Agent.chwは
セキュリティーホールのあるブラウザーで見た時は活性化してF-Secureを強制
終了させますが、インターネット・キャッシュに入った状態ではクリックさえ
しなければ休眠状態なので再起動後のF-Secureでリネームできたのでしょう。
>それと5年前のマルウェアに95のパソコンで行った感染実験の話なんてする価値ないです。
5年前でも、本質は同じです。違いはマルウェアは進歩してステルス化してる事です。
尚、ノートンは落とされないように進化しましたが、F-Secureはウィルスに落とされ
てるので、今でも自己防御対策が不十分もしくは対策されてないと思います。
544: ◆0fQkHdNop2
08/10/14 21:37:43
>>512
セキュリティーを考えればリカバリと（漏れた疑いのある）
パスワード等の変更を強く推奨します。
しかし、どうしてもリカバリが嫌なら、「システムの復元」が
使える場合には、問題の時点以前のクリーンな復元ポイントまで
復元して、一旦、「システムの復元」無効にして別の復元ポイントの
ウィルスやバックドア消して、再度「システムの復元」を有効にし、
その後、すべてのソフトのアップデートし、それから、（漏れた疑いの
ある）パスワード等も変更してください。
545:512
08/10/14 22:45:46
>>525さん、◆N9P3SuvBPoさん、はじめ皆さん
ありがとうございました。いまのところ何も問題無いので
このまま様子見ることにします。
◆0fQkHdNop2さん、レスありがとうございます。
>>518に貼ってある窓の杜の記事は前から知ってて、
Sleipnirの設定は常にJavaScriptとActivXは切ってました。
(勿論IEの設定も両方無効にして)
ただ、IE6では問題無かったのにIE7ではJavaScript、ActivX共に無効、
Sleipnirでも両方無効にしても、Sleipnirの検索バーでGoogle検索すると
IEの設定が勝手に変わってしまうという不具合がありましたが。。。
これはおそらくIE7の検索バーが絡んでそうですが、まぁこの問題が
見つかった時点で「危ないなぁ・・・」と思いながらも使ってた自分が悪いです(汗)
それから、>>543に書いてあるリネームの時期は、再起動&再スキャンの前です。
再スキャンでは何も出ませんでしたので。
ここは>>512で「再起動掛けてスキャンしても問題無し」と書いたのですが(汗)
これ以上は荒らしの原因になりそうなので、ここでおいとまします(爆)
みなさんありがとうございました。m(_ _)m
546:名無しさん＠お腹いっぱい。
08/10/14 23:04:28
>>541
「バックドアが仕組まれている可能性がある、アンチウイルスソフトの検出を逃れている」
↑あなたは何を基準にどう判断しそしてリカバリー指示をだしてるの？
なんの根拠もなく憶測だけでリカバリーを推奨していることを指摘してるんですが。
＞ステルスタイプの侵入ではHiJakThisを妨害したり、HiJakThisのログに現われなかったり
そんなことは承知してます。だからみんなHiJackThis以外のログ取得ツールを使うわけで
＞未だにウィルスに落とされるF-Secureは自己防衛に関しては進歩が見られない。
これはウイルスに落とされたと勝手にあなたが決めつけてるだけ
>>522のような可能性も考えられるよね。
なぜ確実にウイルスに落とされたと思うのでしょ？仮に落とされたとして処理ができているのはなぜ？
それにSelf-Protection AwardでF-Secure 2007はSilverをとってます。
これは一例ですが、根拠もなしに判断するよりかはまし。
URLﾘﾝｸ(www.anti-malware-test.com)
あなたの回答ならアダ被の質問掲示板で
「各種ログには現われてないだけでバックドアやrootkitに感染している恐れがある」と言えますよね？
そんなこといったらリカバリーしか選択肢がないですよね。これが正しいでしょうか？
アダ被の質問掲示板でもこの隠れた感染の可能性を指摘してみてはどうでしょ？ｗ
＞、>>512が再起動して再スキャンした時でしょう。
そうなんですか？なぜあなたがわかるのでしょう？教えてください。
正直私にはわかりません。これは質問者が一番よくわかってることだと思いますが。
547:名無しさん＠お腹いっぱい。
08/10/14 23:05:48
つづき
＞悪質コードは リネーム前に実行されてるはずです。
実行される瀬戸際にSTOPしたからF-Secureの検出窓が出たんです
つまり以下の例と同じです。
もしあなたの憶測が正しければ彼らは感染している可能性が高くなりますね
URLﾘﾝｸ(forum.higaitaisaku.com)
URLﾘﾝｸ(www.higaitaisaku.com)
＞違いはマルウェアは進歩してステルス化してる事です。
ステレス化しか頭にないみたいですね。
確かにマルウェアはステレス化していますけど
あなた"何の根拠もなく隠れた感染がある"
といって質問者を脅してるだけ。
正直roguewareと一緒です。
長文レス失礼
548: ◆0fQkHdNop2
08/10/14 23:27:44
>>546-547
>実行される瀬戸際にSTOPしたからF-Secureの検出窓が出たんです
それが事実としたら初めて書かれた事。>>512では検知されてからstopと
なっている。順序が逆。
本人かF-Secure社員しか知りえない。
あなたは>>512ですか？
それともF-Secure社員ですか？
尚、>>512本人はリネームはF-Secureが落される前と>>545で述べてるが
それは>>512を読む限り想定不能。>>545より前の文章のデータでは私の
診断が間違っていたとは思わない。ただ、>>512が書いていない事があれば
違うが、それは私の責任ではない。
549: ◆0fQkHdNop2
08/10/14 23:37:31
>>546
>なぜ確実にウイルスに落とされたと思うのでしょ？
>仮に落とされたとして処理ができているのはなぜ？
>それにSelf-Protection AwardでF-Secure 2007はSilverをとってます。
F-Secureの社員？
馬鹿じゃないの？
ファイア・ウォールとセットになってるのにウィルスと遭遇してる
悪質サイト閲覧中に強制終了してるって偶然？
悪質サイトもしくはウィルスに強制終了させられたと考えるのが順当。
それでなければ、そんなに落ちやすいファイアウォールって危険。ゴミ以下。
役立たずもいいところ。それだったら無料のWindowsのファイアウォールの
方がずっとマシ。
550:名無しさん＠お腹いっぱい。
08/10/15 00:31:46
＞F-Secureは普通に常駐しました。その後レポート欄に
＞「検出したウイルスは再起動すれば駆除完了」とあった
＞ので、再び再起動→完全スキャンで何も問題ありません
ということと質問者自身が
＞リネームの時期は、再起動&再スキャンの前です。
といっていることを考えると強制終了はF-Secureが妨害されたのではなく
F-Secureが"問題ファイルを処理するための動作"の可能性が高いよね。
正直どのタイミングでリネームされたかなんてことは不毛な議論です。
＞>>545より前の文章のデータでは私の
＞診断が間違っていたとは思わない。
>>512だけを見ると確かかに貴方が指摘される可能性は無くはないですよ。
でも「間違っていたとは思わない」という謎の確信と
>>526の回答はおかしいと指摘しているわけで。
＞ファイア・ウォールとセットになってるのにウィルスと遭遇してる
ファイアウォールがあってもウイルスには遭遇します。
＞悪質サイト閲覧中に強制終了してるって偶然？
悪質サイトを見てウイルスがあり反応したからこそのことです。
安全なサイトを見ていて突然落ちるほうがあやしいです。
＞悪質サイトもしくはウィルスに強制終了させられたと考えるのが順当。
少なくとも質問者の書き込みを見るとその可能性は低い考えるのが順当では？
強制終了自体単なる強制終了ではない(つまり>>522氏のような)という可能性もあるわけで。
>>545の書き込みとアンチウイルスソフトを妨害するウイルスの情報で縛られてません？
それと>>541の「Semplice氏のブログ」はSemplice氏ではなくLuca氏ですよ。
(hatenaの方ではLucaLuca)
551:名無しさん＠お腹いっぱい。
08/10/15 00:45:47
∧,,,∧
（´・ω・) 3行にまとめろぉ～
（U )
｀ｕ-ｕ´
552:名無しさん＠お腹いっぱい。
08/10/15 01:32:34
【使用OS】XP Home
【使用ブラウザ】 Internet Explorer 7
【Microsoft Updateの更新の状態】自動更新設定
【セキュリティソフトと年式】ノートン 2008
【スパイウェア対策ソフト】
【回線の種類・ルータの有無】 光回線
【具体的な症状】
立ち上げるとsystem32\cmd.exeというプログラム？が作動し変な絵が
｢釣りでした｣って文字と共にmicrosoftpictureにて表示されました。
今日電源を入れたところいきなりドキュメントのファイルが全て削除され↓の
サイトの方のように10分でシャットダウンしますとなってメッセージ｢おやすみー｣とありました。
URLﾘﾝｸ(detail.chiebukuro.yahoo.co.jp)
【過程と措置】@niftyウイルスチェックサービス、ウイルスバスター2009の体験版
でスキャンしても検出されません。
どうぞお助けください…
553:名無しさん＠お腹いっぱい。
08/10/15 01:40:24
F-Secureが強制終了したって、GUIが落ちただけじゃねーの？
>>552
踏んだファイルちょーだい。
554:名無しさん＠お腹いっぱい。
08/10/15 02:21:51
>>553
すいません、踏んだファイルは削除しちゃったんです。
555: ◆N9P3SuvBPo
08/10/15 04:05:58
>545
JavaScriptを無効にしていたのなら、絶対に大丈夫です。
無事解決でなによりです。
>543
ダークロリータは2004年後半にうｐろだ掲示板で流行したウイルスの俗称
画像ファイルに偽造されたhtmlファイルを踏むと「Dark_Lolita」という
タイトルのページが開いて感染（CoolWebSearchに）
当時はMicrosoftがこの脆弱性に対処してくれず、対策ソフトを入れていても
感染してしまう人が多かったのですよ。
Klezなんてめっそう古いウイルスを出されても…
あとあなたが>540で
＞Torrent以外のファイル交換はセキュリティーのリスクは非常に大きいですよ。
って言ってるが、ファイル交換ソフト全般はリスクが伴うってことは知らないのか？
確かにリカバリーは正しい回答ですが、（俺も時々リカバリを奨めるし）
今回のような件はリカバリする必要は皆無です。
とりあえずしばらくは回答を任せようと思います。
556:５３４
08/10/15 05:11:08
返答遅れました。
ノートンをアンインストールしたあと、ウイルスバスターインストールしました。
フォーマットとリカバリの区別はわかるんですが、いかんせんリカバリディスクを
持っていないため、取り寄せる必要があります。
で、気になることがあるんですが、リカバリできないといった状況は
起こりうるのでしょうか？フリーズするのはデスクトップ画面でフリーズするんですが、
最初のセットアップ画面は操作できます。
また、今回の感染はｔｏｒｒｅｎｔファイルから感染したものです。
557:名無しさん＠お腹いっぱい。
08/10/15 05:22:34
CD/DVDドライブが壊れててリカバリCDが読めないとかかな
そんな心配よりさっさとCD取り寄せろ
まあBIOSやられてたら（ないと思うけど）リカバリしても無理だけどな
558:５３４
08/10/15 05:32:15
現在ＤＥＬＬ ｉｎｓｐｉｒｏｎ２２００を使ってるんですが、
調べた限りではリカバリＣＤはなく、フォーマットしてＯＳを
再インストールって流れらしいんですが、ｄｅｌｌはそういうもんなんでしょうか？
559:名無しさん＠お腹いっぱい。
08/10/15 05:35:29
OEM版ならOEM版のOSCDがついてきてるはずだ。探せ。
560:名無しさん＠お腹いっぱい。
08/10/15 07:41:54
>>558
板違い。
URLﾘﾝｸ(pc11.2ch.net)
561:名無しさん＠お腹いっぱい。
08/10/15 22:26:06
ウイルスが発見されたとの表示が出ました。
ウイルスはTROJ FAKEAV.MCSです。手動で削除しなければならないのですが、対応の仕方がわかりません。
どなたか教えてください。お願いします。
562:名無しさん＠お腹いっぱい。
08/10/15 22:40:18
>>561
URLﾘﾝｸ(www.trendmicro.co.jp)
しばらく様子見た方がいいよ。
563:名無しさん＠お腹いっぱい。
08/10/15 22:58:42
>>562さん
どうもありがとうございます。
ウイルスが見つかった時に詳細としてこのページが開きました。誤警告の発生ということは、私のパソコンに現れた警告が誤警告であった可能性が考えられるとみてよいのでしょうか？
よくわからなくて困っています。
564:名無しさん＠お腹いっぱい。
08/10/15 23:24:57
ウイルス情報にわざわざ誤警告って書いてあるんだから、
その名称の検出はすべて誤警告なんだろ。
不安なら対応するまで手動で隔離しておけばいいんじゃない？
565: ◆0fQkHdNop2
08/10/15 23:28:44
>>555
>あとあなたが>540で
>＞Torrent以外のファイル交換はセキュリティーのリスクは非常に大きいですよ。
>って言ってるが、ファイル交換ソフト全般はリスクが伴うってことは知らないのか？
>>556
>また、今回の感染はｔｏｒｒｅｎｔファイルから感染したものです。
いや、まあ、まいったね。
しかし、言い訳させてもらうと、私は、Torrentを安全とは言ってない。
ノートン・スレでの発言参照。
ｽﾚﾘﾝｸ(sec板:671番)
【ﾉｰﾄﾝ】Norton Internet Security Ver.151【2009】
671 ： ◆0fQkHdNop2 ：2008/10/11(土) 16:26:58
>>668
Winnyしてるならカスペに軍配が上がるね。
重大企業機密とか国家機密とか大金のからむパスワードもなく、
ファイル交換もしてないならノートンとOperaで十分だと思う。
ファイル交換でもTorrentくらいなら、よほど怪しいサイトの
Torrent利用しなければ大丈夫のように思う。
（保証できないので自己責任で）
566: ◆0fQkHdNop2
08/10/15 23:32:05
（さっきの続き）
(1)Torrentの場合はWinnyより匿名性が低く、特定のサイトからダウンロード
するのでWinnyより安全な場合が多い。
Torrentの場合、サイトからダウンロードファイル選択するわけで、
そのサイト運営者がファイルをチェックしてくれる事も多いらしい。
heatwave_p2p氏のブログ記事↓参照
URLﾘﾝｸ(peer2peer.blog79.fc2.com)
>一方で、BitTorrentの最大の強みの1つとして（少なくとも、
>危害を抑制するという観点から）、サイトスタッフが、アップロード
>された.torrentファイルの中から可能な限り悪意あるソフトウェアを
>排除するよう尽力しているということがあり、それによってBitTorrentは
>比較的、マルウェアフリーが保たれている。
(2)Torrentの場合、途中でファイル改ざんの危険がWinnyより低いらしい。
(3)Torrentの場合、欲しいファイルだけをダウンロードしやすいが、
Winnyの場合には、やみくもに偽装されたりパスワードかけられたり
してる内容不明な「お宝」ファイルをせっせと偽装・パスワード解除
する場合が多く、開けてびっくり玉手箱ならぬ開けて感染・亜種ウィルス
（ウィルス対策ソフトメーカー非対応）という事も多いらしい。
567:名無しさん＠お腹いっぱい。
08/10/15 23:34:35
いいかげん他所でやれ！
568: ◆0fQkHdNop2
08/10/15 23:35:14
>>534
> ｎｏｒｔｏｎからｋａｓｐｅｒｓｋｙに変えようとしたとき誤って
>ファイルをダウンロードしたしたために、そこからウイルスが進入。
>>556
>また、今回の感染はｔｏｒｒｅｎｔファイルから感染したものです。
いや、ノートンをアンインストールしてカスペルをインストールする
最中にファイルをダウンロードしてウィルス感染って、まさか、と言うか、
やはりと言うか、「割れ・カスペル」ダンロードしてインストールしようと
してウィルスに感染したって事なんかな？
ファイル交換してる者の中にはセキュリティー・ソフトとかWindowsの割れモノ
使ってる者がいるらしいけど、超ハイリスクだ。
カスペルの割れモノなんてクラッカーが提供してるわけで、仮に、ウィルスが
なくてもバックドア付きのカスペルとかで不正アクセスの踏み台に使われる危険
がある。その場合、運が悪ければ逮捕されて数十日拘留されて新聞に実名載る
事もありうるわけだ。その覚悟あるのかな？
ともかく、ファイル交換で無料でダウンロードした有料ソフトウェアを違法に
インストールするのは危険だ。フリーのソフトに限定すべきだ。
それも、できればmd5sumとかSHA-1とかのハッシュ値明示されてるのが安全だ。
（ただし、md5sumは研究者レベルでは技術的に偽造できるらしいので、そろそろ
注意が必要だ。尚、md5sumとかSHA-1とかのハッシュ値計算のwindows用フリー
ソフトはvectorで入手可能。Linuxには通常はOSに計算プログラムが含まれてる。）
たとえば、Linuxの一種Ubuntu↓
URLﾘﾝｸ(www.ubuntulinux.jp)
569: ◆0fQkHdNop2
08/10/15 23:35:47
尚、動画・音楽ファイルの場合、ウィルス・チェック後にセキュリティーホールの
ないプレーヤーで再生すれば感染の危険はほとんどないはずだ。
しかし、Winnyの場合、動画・音楽ファイルかどうか不明な偽装・暗号化ファイルを
せっせと偽装・暗号化解除する関係で何が何やらわからないまま感染するケースが
多いと思われる。
570: ◆0fQkHdNop2
08/10/15 23:37:40
>>512について、リカバリ不要論の皆さんへ、
(1)悪質サイトでウィルスに遭遇した時、F-Secureが強制終了した事について、
これが、ウィルスや悪質サイトに落された（強制終了させられた）のでなく、
元々F-Secure Internet Securityが落ちやすいのならF-Secure ISはファイア
ウォール付きのセキュリティーソフトとして欠陥商品。
常識的に考えればウィルスもしくは悪質サイトに落された（強制終了させられた）
と考えるべきだろう。
(2)F-Secureが悪質サイトでウィルスと遭遇中に強制終了しても安全なのか？
たとえば、>>555（ ◆N9P3SuvBPo）氏は、
>JavaScriptを無効にしていたのなら、絶対に大丈夫です。
としているが、悪質サイトでファイアウォールが落ちて、絶対安全なのか？
IP知られてるわけだから侵入されまくりの可能性もある。
悪質サイトどころかどこにも接続してなくとも、ファイアウォールなしで一日
放置すれば危険なのに。
さらに、おとといsecuniaによって判明した事だが、セキュリティーホールが
あれば、ほとんどのセキュリティーソフトは無力でExploit検知できないのだ。
つまり、他のExploitがあっても見逃してる可能性があるのだ。
Internet watch記事参照
URLﾘﾝｸ(internet.watch.impress.co.jp)
Secuniaレポート参照（F-Secureの検知率は3%未満）
URLﾘﾝｸ(secunia.com)
571:名無しさん＠お腹いっぱい。
08/10/15 23:58:03
>>570
いい加減ウザイ。
迷惑だからやめろ。荒らしか？
お前らももうこいつにレスすんなよ。キチガイ粘着厨だからNGWord入れておけ
572:名無しさん＠お腹いっぱい。
08/10/16 00:00:40
>>565さん
ありがとうございます。
その手動で隔離のやりかたが分からなくて困っていました。
でも警告自体が誤警告であるかもしれないということがわかり、様子も見ながらやっていきたいと思います。
573:名無しさん＠お腹いっぱい。
08/10/16 00:06:15
>>572
バスタースレに行って聞くといいよ。
同じように誤警告でてる人が居るみたいだし。
574:名無しさん＠お腹いっぱい。
08/10/16 00:08:12
>>570
いい加減迷惑だからアダ被で回答してくれ。
お前のような知識豊富な人間がいればアダ被も助かるだろうから
575:名無しさん＠お腹いっぱい。
08/10/16 00:33:23
>>512について思うところを。
F-Secureが落ちたことが気になる、F-Secureで検出出来ない感染が気になるのなら、
F-Secureやカスペルスキー以外のオンラインスキャンで再チェックするのが
妥当じゃないだろうか、と思うのだが。
シマンテック、トレンドマイクロ、マカフィーのいずれか一つが良いと思う。
それでも何も出なければ、無理にリカバリは必要ないと思うんだが。
悪質サイトに行けば即座に何でもかんでも起こる可能性があると考えるのは、
明らかに飛躍しすぎだと漏れは思うね。
例えば…
URLﾘﾝｸ(www.forest.impress.co.jp)
のような脆弱性があっても、それが即座にアクセスバイダウンロード感染に繋がるとは
到底思われない。
ダイアログボックスやウェブフォームの脆弱性は、
あくまでもフィッシングなどに利用される危険性などに限定されると思われ。
>>512がSleipnir1.66遣いだろうと、今回のケースにその脆弱性は関係ないだろうな。
脆弱性を感染と結び付けて考えるんなら、脆弱性の内容をちゃんと考慮しないとイカンだろ。
もちろん、Exploitが感染に結び付くためには、該当する脆弱性が
解消『されていない』ことが前提になることは忘れちゃイカンね。
576:575
08/10/16 00:35:28
>>571
悪りぃな。一瞬早く書いちまった。もう黙るから勘弁しちくり
577:名無しさん＠お腹いっぱい。
08/10/16 06:46:35
>>573
ありがとうございます。
そっちのスレで様子見てみます。
丁寧な対応ありがとうございました。
578:名無しさん＠お腹いっぱい。
08/10/16 08:04:24
>>575
もっともな意見だがこの基地外粘着コテは
恐らくバックドアやルーキットが仕組まれているからアンチウィルスやオンラインスキャンじゃ
検出出来ない
とか抜かすから無駄。
基地外はシカトするしかない。
579:578
08/10/16 08:09:42
×ルーキット
○ルートキット
580:名無しさん＠お腹いっぱい。
08/10/16 15:41:05
【使用OS】XP Pro SP2
【使用ブラウザ】Internet Explorer 7
【Microsoft Updateの更新の状態】自動更新設定
【セキュリティソフトと年式】
【スパイウェア対策ソフト】Spybot-SD
【回線の種類・ルータの有無】光回線でルータ使用中
【具体的な症状】
a-squared Free 3.5を使ってスキャンしたところ、
Backdoor.Win32.Rbot.buf!A2
という診断結果が出ました。
高リスクとあるので、消そうと思うのですが、
時々誤検出もあるとの事なので迷っています。
場所はC:\WINDOWS\$NtServicePackUninstall$\dllhost.exeと表示されています。
これは危険なものなのでしょうか？
581:名無しさん＠お腹いっぱい。
08/10/16 16:57:14
>>580
つURLﾘﾝｸ(www.virustotal.com)
582:名無しさん＠お腹いっぱい。
08/10/16 19:43:21
【使用OS】XP Home SP2
【使用ブラウザ】 Internet Explorer 7
【Microsoft Updateの更新の状態】 自動更新設定
【セキュリティソフトと年式】 AVG
【スパイウェア対策ソフト】 Spybot
【回線の種類・ルータの有無】 光回線でルータ使用中
【具体的な症状】
トロイの木馬Agent_r.DLというものに感染したようです。
ウィルス除去ソフト販売ページのような所に飛ばされてしまいます
【過程と措置】
何日か前から検出され、そのたび削除していたのですが、毎日のように検出されてしまいます。
正常に戻すためにはどうしたらよいのでしょうか？
ご協力お願いいたします。
583:名無しさん＠お腹いっぱい。
08/10/16 21:41:10
>>582
↓ComboFix(デスクトップに保存、Wクリックで実行、警告画面が出たら"はい"で)
URLﾘﾝｸ(download.bleepingcomputer.com)
実行後再起動するからCドライブ直下に保存されるComboFix.txtの内容を貼り付けるか
ComboFix.txtをどっかのロダに上げるかして。
584: ◆0fQkHdNop2
08/10/16 23:02:15
>>575
>ダイアログボックスやウェブフォームの脆弱性は、 あくまでも
>フィッシングなどに利用される危険性などに限定されると思われ。 >>>512が>Sleipnir1.66遣いだろうと、今回のケースにその脆弱性は関係ないだろうな。
言われてみれば、たしかにそうですね。
いや、>>512でF-Secureが悪質サイト閲覧中に落されたという事で、
セキュリティーホールがあるはずだが、>>512はMicrosoft update最新。
だったらsleipnir 1.66にセキュリティーホールがあるはずと考え探した
ものです。
しかし、あの窓の社記事のsleipnir 1.66の脆弱性でなくとも、s
leipnir 2.xx系には少なくとも3つのセキュリティーホールが見つかった
ようで、sleipnir 1.66にもそれらの脆弱性はあった可能性が高いでしょう。
しかも、sleipnir 1.xx系は「wikipedia」によればソースコード盗難と
会社化によって開発打ち切りになったようで、それ以外にもセキュリティー
ホールがある可能性もあります。実際、>>512=>>545は、
>ただ、IE6では問題無かったのにIE7ではJavaScript、ActivX共に無効、
>Sleipnirでも両方無効にしても、Sleipnirの検索バーでGoogle検索すると
>IEの設定が勝手に変わってしまうという不具合がありましたが。。。
としており、これは単なる不具合というよりセキュリティーホールであって、
勝手にJavaScript、ActivXが有効にされるという重大な脆弱性があるという
事です。
585: ◆0fQkHdNop2
08/10/16 23:09:59
>>575
>F-Secureやカスペルスキー以外のオンラインスキャンで再チェックするのが
>妥当じゃないだろうか、と思うのだが。
>シマンテック、トレンドマイクロ、マカフィーのいずれか一つが良いと思う。
いや、バックドアが存在しても、それでバックドアが発見される可能性は
極めて低いだろう。
sechuniaの報告によれば、セキュリティーホールを利用した比較的定型的な
Exploitでさえ、セキュリティーソフトの検知率は極めて低いのだ。
だとすれば、非定形的で自由度の高いバックドアをセキュリティーソフトが
検知できる可能性はさらに低いと思われる。
Internet watch記事参照
URLﾘﾝｸ(internet.watch.impress.co.jp)
Secuniaレポート参照（F-Secureの検知率は3%未満）
URLﾘﾝｸ(secunia.com)
586:名無しさん＠お腹いっぱい。
08/10/16 23:22:04
>>583
やってみました。
URLﾘﾝｸ(www1.axfc.net)
よろしくお願いします。
オンラインスキャンをいくつか試しても検出されなくて削除に手間取っています。
587: ◆0fQkHdNop2
08/10/16 23:37:20
>>586
見れないのは私だけ？
見れても、どのみちわからないだろうけど。
588:名無しさん＠お腹いっぱい。
08/10/16 23:37:39
>>586
直リン禁止
URLﾘﾝｸ(www1.axfc.net)
>"D:\\pv\\Winny2\\Winny.exe"=
>"C:\\Documents and Settings\\user\\デスクトップ\\Winny2\\Winny.exe"=
>"D:\\Winny2\\Winny.exe"=
ねぇ、これなに？
589:名無しさん＠お腹いっぱい。
08/10/17 00:02:21
>>580はアンチウイルス使ってよ。
590:名無しさん＠お腹いっぱい。
08/10/17 00:05:30
にゃ。
591:名無しさん＠お腹いっぱい。
08/10/17 00:21:10
検出率なんざ所詮手法次第な部分もあるからなぁ
Exploitつっても更新に気をつけて置けば何とかなるだろ個人向けのPCだし。
まあ板的にOSの更新なんて基本だと思うけどね。
しかしどの情報も所詮海外のものだしなんだかねえ
日本にもそういう団体があってほしいもんだなあ
592:名無しさん＠お腹いっぱい。
08/10/17 00:21:47
>>588
直りん禁止でしたか、お手数おかけしました
言い訳になってしまいますがwinnyは使用方法がわからず…
だいぶ前に使ってみてそれ以来なのでwinnyからの感染の可能性はゼロだと思います。
593:名無しさん＠お腹いっぱい。
08/10/17 00:24:06
残ってんのも問題じゃね？
594:名無しさん＠お腹いっぱい。
08/10/17 00:24:24
以下の内容をコピーしてCFScript.txtという名前で保存。
セーフモードで起動して、
Combofix.exeに保存したtxtファイル(CFScript.txt)をドロップアンドドラッグ。
↓以下の内容
File::
C:\WINDOWS\system32\XDva120.sys
D:\\Winny2\\Winny.exe
C:\\Documents and Settings\\user\\デスクトップ\\Winny2\\Winny.exe
D:\\pv\\Winny2\\Winny.exe
Driver::
XDva120
症状が解決してないならMBAMで処理する予定でつ
595:名無しさん＠お腹いっぱい。
08/10/17 00:29:00
初心者スレで書いたのですが全くレスがつかないのでこちらで聞いてもいいでしょうか。。
596:名無しさん＠お腹いっぱい。
08/10/17 00:29:41
>>594
ちょっとまて、XDva120.sysはゲームのファイルかもしれない。
597:名無しさん＠お腹いっぱい。
08/10/17 00:32:08
>>596
リネ？
もし違ってたら訂正よろしく
ググったら黒っぽいが
明日早いから寝る
598:名無しさん＠お腹いっぱい。
08/10/17 00:32:27
>>595
新しい人ならテンプレ>>4使ってね
599:595
08/10/17 00:43:57
>>598
ありがとうございます。ウイルス感染は初めてなもので戸惑っております。よろしくお願いします。
【使用OS】 vista HP SP1
【使用ブラウザ】 firefox (noscript有効)
【Microsoft Updateの更新の状態】 自動更新設定
【セキュリティソフトと年式】 antivir/comodo
スパイウェア・ボット対策ソフト spybot
【回線の種類・ルータの有無】 ルータなし
【具体的な症状】 普段は安全なサイトしかみないのですがantivirでフルスキャンしているときに
TR/Agent.53248.164 Trojan を検出 調べても出てこなかったのでとりあえず隔離しました
検出されたファイルはC:\fjuty\FSTIEmcf.exeです
どの定義ファイルで検知したのかをみたところ、10月15日の最新の定義ファイルででした
【その他】 ３週間ほどまえにリカバリしたばかり。その日のうちにantivir・comodoをｲﾝｽﾄｰﾙ
危険といわれるポートはとりあえず閉じて基本的なルールを作りhipsは有効、慎重に来ていたのでかなりショックです
ご検出だといいのですがなにかわかることはあるでしょうか
尚隔離してしまったのでvirus totalには送れなかったです
またfirefoxでブラウジング中にクリックジャッキング？みたいな警告が出たことがあります。
600:名無しさん＠お腹いっぱい。
08/10/17 00:56:09
ん、富士通製？
601:599
08/10/17 00:57:02
はい富士通製です
602:名無しさん＠お腹いっぱい。
08/10/17 01:02:34
誤検出だと思いますが……
とりあえず
URLﾘﾝｸ(www.avpusers.org)
を参考にファイルを復帰させて、一度コピーをとり
ウイルストータルの審査に掛けられないでしょうか？
603:名無しさん＠お腹いっぱい。
08/10/17 01:14:19
MicrosoftもSecuniaのセキュリティソフト比較調査を批判
URLﾘﾝｸ(internet.watch.impress.co.jp)
やっぱ一団体の審査だけじゃわからねえ
604:599
08/10/17 01:16:50
>>602
すでに解析されていますと出たのでそのURLです。当方見方が分からないのでおねがいします
URLﾘﾝｸ(www.virustotal.com)
605:名無しさん＠お腹いっぱい。
08/10/17 01:24:15
あれ最終レポート見れないな？
606:名無しさん＠お腹いっぱい。
08/10/17 01:25:48
でたでた
URLﾘﾝｸ(www.virustotal.com)
607:名無しさん＠お腹いっぱい。
08/10/17 01:32:43
ほとんどヒューリの検出ですか
AVAST・Ａｖｉｒａが反応
G DATAとBitがGeneric
カスペ・Norton・Norman・トレンド・マカ反応なし
３６/７ってのは誤検出で良いんじゃないかなと思うけど
608:名無しさん＠お腹いっぱい。
08/10/17 01:36:56
>>599
ここでの結論は誤検出ですが
そのフォルダにあるのは富士通のツール類だったと思うので
ご心配でしたら、富士通のサポートに電話してみてください。
609:599
08/10/17 01:36:59
みなさんありがとうございます
正直驚いているのですが
２点ほどお聞かせください
隔離というのはファイルの活動を無効化するという認識でいいのでしょうか
アンチウイルスをアンインストールする場合隔離されていたファイルはどうなるのでしょうか
ウイルストータルのヒューリスティックかどうかというのはどこでわかるのでしょうか
610:599
08/10/17 01:37:45
>>608
わかりました
fjutyは富士通のフォルダだったのですね
ありがとうございます
611:名無しさん＠お腹いっぱい。
08/10/17 01:45:42
Generic＝コレはヒューリ検出の典型的な名前だったと思う
ちなみに殆どってのは、日本にもあるソフトって意味です
ややこしくてごめんなさい
612:名無しさん＠お腹いっぱい。
08/10/17 01:46:48
>>609
隔離はファイルをリネームして隔離フォルダに移動する。(つまり実行できなくなる)
アンインストールしても隔離したものは大抵の場合は残る。
ヒューリスティック検出は名称に「Generic」とか「gen」とか「heuristic」が付いてる。
>>586
XDva120.sysがウイルスかどうか分からなかったので、
「C:\WINDOWS\system32\XDva120.sys」をVirusTotalでスキャンして。
後はSUPERAntiSpywareを使ってみて。
613:名無しさん＠お腹いっぱい。
08/10/17 01:47:26
Heurだったんじゃね？
Genericは亜種だったと思うが、ヒューリみたいなものかな？
614:名無しさん＠お腹いっぱい。
08/10/17 01:49:28
隔離フォルダの扱いはソフトにも拠ります
一部はアンインストールするときに隔離フォルダごと削除したりするソフトもあります
615:名無しさん＠お腹いっぱい。
08/10/17 01:54:45
まあ、アンインスコ前に隔離フォルダは処理したほうが良いってことだよなあ。
ヒューリついては>>612のほうが詳しそう。
今回のVT検出はヒューリは少ないんだが
実質検出してるソフトがAVIRAとAVAST、Ikarosぐらいなので
まあなんとも言いにくいものの、誤検出の可能性は高いんじゃないかと思いますよ
616:599
08/10/17 01:58:27
>>611-615
ありがとうございました勉強になります。
とりあえず隔離で様子をみてみることにします。
617:名無しさん＠お腹いっぱい。
08/10/17 03:33:02
>>613
ジェネリック方式は実行中のプログラムの動作を監視して検出するとか。
似たようなものだから、分かりやすくヒューリスティックでいいんじゃね？
618:582
08/10/17 15:23:38
お答えがもらえなかったのでもう一度
トロイの木馬agentというものに感染してしまったようで
削除しても再起動するたびに検出され
それのイタチゴッコです。
_restoreフォルダから検出されているので
システムの復元を無効にして、AVGでスキャンしてみたのですが検出されませんでした。
他のオンラインスキャンも試してみたのですがやはり検出されませんでした。
非常に困っています。ご指導よろしくお願いします
619:名無しさん＠お腹いっぱい。
08/10/17 17:52:59
>>618 >>518
>>612をよーく見てみ？
620: ◆0fQkHdNop2
08/10/17 22:26:02
>>599
TR/Agent.53248.164については、14 Oct 2008 17:31 (GMT+1)・日本時間10月
15日午前1時31分にAviraの定義
URLﾘﾝｸ(www.avira.de)
がなされたもので、(GMT+1)=(CET)なので、Virustotalでの>>606の検査の
二日前に定義されたにすぎない。もう一度、Virustotalで調べてウィルス
認定が増えてないかチェックすべきだ。
尚、もし仮にウィルスだとすれば、FirefoxでもNoScriptのプラグインで
IFrameを禁止してなければクリックジャックの被害に合うが、それで
ウィルス感染するのか少し疑問を感じる。
富士通のパソコンの中にはリカバリーディスクをHDDのリカバリ領域から
自作するようになってる機種もあるが、万が一、そういう機種でネット
接続前にリカバリディスク作成してなければ今回の件に関係するかも
しれない。（あまり、屋上屋に推測重ねると叩かれて荒れるので、
これ以上述べるのは、そういう場合だとのレスがあるまで控える。）
621:名無しさん＠お腹いっぱい。
08/10/17 23:55:19
パソコンには無知なんで困ってるんですが、
ウイルスのファイルある場所を検索しても見つからないんです。
かといって消えているわけではなくて、検索したら出てきて困ってます。
どうすればいいかわかる方教えてください。
622:名無しさん＠お腹いっぱい。
08/10/17 23:59:53
564 名前：名無しさん＠お腹いっぱい。[] 投稿日：2008/10/17(金) 23:58:06
パソコンには無知なんで困ってるんですが、
ウイルスのファイルある場所を検索しても見つからないんです。
かといって消えているわけではなくて、検索したら出てきて困ってます。
どうすればいいかわかる方教えてください。
623: ◆0fQkHdNop2
08/10/18 10:55:02
>>618
私はCombofixのログ見てもわからないのだが、Combofixはパソコン状態の
診断ログ吐き出すだけでなく自動で治す効果もあるらしい。
そして、一回でダメでも二回Combofixしたら治ったという人もいるので
ダメ元でもう一回新しいCombofixダウンロードして実行すれば？
よしを氏＠「どうでもいい話」ブログ
URLﾘﾝｸ(doodemoiihanashi.seesaa.net)
>このComboFixも１回では駆除できず、
>２回目の実行で完全に駆除できました。
624:名無しさん＠お腹いっぱい。
08/10/18 17:34:26
だとしても企業専用フォルダに仕込む理由がなくねえか？
ウイルスだったらsystemを狙うだろ。
しかもCドライブだsしな。
HDDリカバリだったらパーティションでDなりEなりに分けるだろ。
625:名無しさん＠お腹いっぱい。
08/10/18 18:50:43
URLﾘﾝｸ(sageuploader.if.land.to)
↑のファイルを再生したら変な音がして青画面になった後
勝手に再起動してしまいました
どんなウイルスなのか教えてください
626:名無しさん＠お腹いっぱい。
08/10/18 18:56:02
>>625
鑑定スレじゃないんだが
627:名無しさん＠お腹いっぱい。
08/10/18 18:56:43
これはひどい
URLﾘﾝｸ(www.google.co.jp)
628:名無しさん＠お腹いっぱい。
08/10/18 18:57:27
だれか>>625が貼ったURL踏んでくれ。
俺はPC壊したくないんで踏みたくない。
っていう事になるからウイルスの疑いがあるURLを貼るのはやめましょう。
629:名無しさん＠お腹いっぱい。
08/10/18 19:04:37
あやしいファイルを実行するスレ
ｽﾚﾘﾝｸ(sec板)
630:名無しさん＠お腹いっぱい。
08/10/18 19:11:04
>>626-629
ごめんなさい>>629のところに行ってきます
631:名無しさん＠お腹いっぱい。
08/10/18 20:35:07
AntiVirは誤検出多いよ
ネトゲもウイルス扱いするし
632:名無しさん＠お腹いっぱい。
08/10/18 20:35:58
何でも見逃すNODよりはマシ
633:618
08/10/18 21:57:18
ありがとうございますなんとか駆除できたようです！
本当に感謝です。
634:名無しさん＠お腹いっぱい。
08/10/19 03:06:32
>>599
＞C:\fjuty\FSTIEmcf.exe
うちもAVASTとＡｖｉｒａで引っ掛かりましたｗ
FSTIEmcf.exeの更新日時は 10/18 9:00 だったんだけど、
「アップデートナビ」・「更新した内容の確認」を見ると、最終更新日は9/11。
いつの間に更新されたんだろうか？
C:\fjuty\README\FSTIEMCF.TXT には
＞1. 製品概要
＞============
＞ IE設定表示(以降本ツールと記す)は、ログオン中のユーザーの
＞ Internet Explorerの設定情報を一覧表示するアプリケーションです。
と書かれてた。IE使わんし、ってことで、気持ち悪いんで僕も隔離しときました。
635: ◆0fQkHdNop2
08/10/19 10:34:23
>>599 >>620 >>634
あれから、誰かがVirustotalに検体提出したのかハッシュ値で調べると
AhnLab-V3がWin-Trojan/Xema.variantとして定義してたので、認定会社が
一つ増えて8/36になってますね。
URLﾘﾝｸ(www.virustotal.com)
次ページ最新レス表示スレッドの検索類似スレ一覧話題のニュースおまかせリスト▼オプションを表示暇つぶし2ch
4398日前に更新/343 KB
担当:undef