GENOウイルススレ　★2

GENOウイルススレ　★2 at SEC

1: ◆W07s5cWHb.
09/04/10 20:47:46
感染が疑わしい人は迷わずクリーンインストール推奨です。

★Anubisレポート
URLﾘﾝｸ(anubis.iseclab.org)

★前スレ
GENOウイルススレ
ｽﾚﾘﾝｸ(sec板)

以下、おまいらテキトーに調査結果、感染サイト情報、テンプレ等をコピペしてくださいです。。。

2: ◆W07s5cWHb.
09/04/10 20:50:33
　　　　　　　　　　　　／）
　　　　　　　　　　　／／／）
　　　　　　　　　／,.=ﾞ''"／
　　　／　　　　 i f　,.r='"-‐'つ＿＿＿_　　　キャッシュをクリアしただけじゃ駄目なんだよ！！
　　/　　　　　 /　　　_,.-‐'~／⌒　　⌒＼
　　　　／　　,i　　　,二ﾆ⊃（ ●）.　（●）＼
　　　/　　　ﾉ　　　 ilﾞフ::::::⌒（__人__）⌒::::: ＼
　　　　　　,ｲ｢ﾄ､　　,!,!|　　　　　|r┬-|　　　　　|
　　　　　/　iﾄヾヽ_/ｨ"＼　　　 `ー'´ 　　／

3:名無しさん＠お腹いっぱい。
09/04/10 20:50:55
(1)感染したWebページをひらく
(2)感染したjsが、94.247.2.195の改変jquery.jsを実行
(3)IP/UAで振り分け処理(Vistaは大丈夫そう？)
(4)PDF/Flash起動。各種ウィルス本体をInternetTempに展開
(5)bufferOverrunでウィルス本体の起動を試行

以下が問題のURL、
"id=2"はpdfの脆弱性を利用し、
buffer overflowを引き起こさせ感染を試みる。(Adobe Collab overflow)
"id=3"はswf(Flash)の脆弱性を利用しoverflowを引き起こさせ、感染を試みる。
いずれも最新のFlash Playerの導入とPDF Readerを入れていれば問題なし（？）
hxxp://94.247.2.195/jquery.js
hxxp://94.247.2.195/news/?id=100
hxxp://94.247.2.195/news/?id=2
hxxp://94.247.2.195/news/?id=3

リンクは切れており現在無害（当環境では）

以下のリンクは生きており感染実験希望の方はﾄﾞｿﾞ
★危険ですので注意
hxxp://94.247.2.195/news/index.php

少しわかってること：
WINDOWSの正規ファイルを上書き（？）する可能性大

>>1乙

4:名無しさん＠お腹いっぱい。
09/04/10 20:53:35
関連スレ

【0.1】ﾈｯﾄｼｮｯﾌﾟ｢GENO｣等でウイルス感染　業務再開するもGENOｻｲﾄﾞは｢ｷｬｯｼｭ消せ｣とふざけた対応★11
ｽﾚﾘﾝｸ(news板)l50

【客の返品】GENOを語るスレ29【オク出品】
ｽﾚﾘﾝｸ(pc板)l50

【ｳｲﾙｽ感染】GENOを語るスレ30【ｱｸｾｽ注意】
ｽﾚﾘﾝｸ(pc板)l50

【新種ｳｲﾙｽ】GENOを語るスレ31【無料配布中】
ｽﾚﾘﾝｸ(pc板)l50

【ｳｲﾙｽ】GENOを語るスレ31【完治】
ｽﾚﾘﾝｸ(pc板)l50

【顧客相手に】GENOを語るスレ24【ｻｲﾊﾞｰｼﾞｪﾉｻｲﾄﾞ】
ｽﾚﾘﾝｸ(jisaku板)l50

★090406 複数板｢ウイルスGeno短縮URL｣誘導マルチポスト荒らし報告
ｽﾚﾘﾝｸ(sec2chd板)l50

【ウィルス情報質問　総合スレッド★Part46】
ｽﾚﾘﾝｸ(sec板:690-番)

5:名無しさん＠お腹いっぱい。
09/04/10 20:53:50
・sqlsodbc.chmが改変されていないか確かめてみる

(MD5 f639afde02547603a3d3930ee4bf8c12)

ベクターに調べるソフトがあるよ
右クリで検査できるやつが便利

6:名無しさん＠お腹いっぱい。
09/04/10 20:54:14
　　　　　　　　　　　　　　　　 _..　-―-　._
　　　　　　　　　　　　　　.／　 ,――‐-　._` .
　　　　　　　　　　　　／）　 ./　／　　／　　｀`＼
　　　　　　　　　　　／／／）ィ7T.ﾌ厂￣｀ﾌｉ ‐-_　|〉.　＿人人人人人人人人人人人人人人人人＿
　　　　　　　　　／,.=ﾞ''"／　ﾌl/_×／/　|ﾊハl　.ﾄ、＞　ｷｬｯｼｭ削除して証拠隠滅なんだよ！　　＜
　　　／　　　　 i f　,.r='"-‐'つｲ._T_i`　　.r≦lハ!|｀`　^^Ｙ^Ｙ^Ｙ^Ｙ^Ｙ^Ｙ^Ｙ^Ｙ^Ｙ^Ｙ^Ｙ^Ｙ^Ｙ^Ｙ^Ｙ^￣
　　/　　　　　 /　　　_,.-‐'~|　|'弋..!ﾉ　　 i'＋!ｌ　|
　　　　／　　,i　　　,二ﾆ⊃l　|' ' '　 ,‐- ..__ﾞｰ' .!l .|
　　　/　　　ﾉ　　　 i　lﾞフ..,!l .ﾄ､　　ｌ　　｀,! 　 .ハ.!
　　　　　　,ｲ｢ﾄ､　　,!　,!|.../_| |l: ＞ .ヽ.. ィ＜l 　 l|
　　　　　/　iﾄヾヽ_/　ｨ"＼. | | ＼＼ｰ'/ ./ ,,;:`:;'ﾞ

7:名無しさん＠お腹いっぱい。
09/04/10 20:57:24
フラッシュとPDFリーダーを最新版にするか
窓から投げ捨てましょう

ここではウィルスに関する話題に集中し
お店への文句はGENOを語るスレでやって下さい

8:名無しさん＠お腹いっぱい。
09/04/10 20:57:49
関連スレ

IIIII　　NAXOS　その6　　IIIII
ｽﾚﾘﾝｸ(classical板:748-番)

**** 価格比較のECナビ Part43 ****
ｽﾚﾘﾝｸ(point板:84-番)

9:名無しさん＠お腹いっぱい。
09/04/10 21:03:11
39 名前：名無しさん[sage] 投稿日：2009/04/09(木) 00:14:21 0

前スレの958です。

combofixで検疫したファイルをVirustotalでスキャンしてみた。

ファイル名 _ycmmf_.cjq.zip 受理 2009.04.08 17:04:29 (CET)
現在の状態：読込み中 ... 順番待ち待機中スキャン中完了発見せず停止
結果: 7/40 (17.5%)

検知できたのは以下の7つのウィルス対策ソフトだけでした。

AntiVir TR/Agent.caaj.B
Avast Win32:Trojan-gen {Other}
eTrust-Vet Win32/SillyDl.HDU
GData Win32:Trojan-gen {Other}
McAfee-GW-Edition Trojan.Agent.caaj.B
NOD32 variant of Win32/Delf.OEX
Prevx1 High Risk Cloaked Malware

AVGもカスペルスキーもダメでした。

10:名無しさん＠お腹いっぱい。
09/04/10 21:04:57
うんこ

11:名無しさん＠お腹いっぱい。
09/04/10 21:08:44
今までに感染が確認されたサイト

w●ww.geno-web.jp
w●ww.geno.co.jp
w●ww.rakuten.ne.jp/gold/i-na/
w●ww.juicyrock.co.jp
w●ww.naxos.co.jp
w●ww.crestronjapan.com
m●ag-puppine.com/about/

12:名無しさん＠お腹いっぱい。
09/04/10 21:08:58
アクセスしたときメモリが増えたのはウィルスとは直接関係ないってことでいいの？
readerとflashを最新にしていた人で、メモリが急増した人は見たけど
実際にファイルを改竄されたりしている人は見ていないので

13:名無しさん＠お腹いっぱい。
09/04/10 21:10:04
>>9
AVGはLa.exeを消せた。
カスペルスキーはそのオンラインスキャンで検査しろと薦められているくらいだから検知できるだろう？

14:名無しさん＠お腹いっぱい。
09/04/10 21:13:26
PC通販サイト「GENO」のサイトに改ざんの疑い
URLﾘﾝｸ(internet.watch.impress.co.jp)

PC通販ショップGENOのサイトにマルウェアが仕込まれる
URLﾘﾝｸ(www.excite.co.jp)

PC通販ショップGENOのサイトにマルウェアが仕込まれる
URLﾘﾝｸ(slashdot.jp)

中古PC通販サイト「GENO」が不正アクセスで改ざん
URLﾘﾝｸ(www.security-next.com)

通販サイト「GENO」の改ざん、広告掲載サイトにも影響
URLﾘﾝｸ(www.security-next.com)

PC通販ショップGENOのサイトにマルウェアが仕込まれた疑い
URLﾘﾝｸ(japan.cnet.com)

当社サイトにて掲載した広告のリンク先ページにおけるウイルス感染について　ご報告と対処のお願い
URLﾘﾝｸ(corp.itmedia.co.jp)

【重要】掲載のリンク先ページのウイルス感染について
URLﾘﾝｸ(ecnavi.jp)

15: ◆W07s5cWHb.
09/04/10 21:13:47
現状までのざっくりとした問題点等の取り纏め。

・各セキュリティソフトは大方このウィルスへの対応が済んでおり、
　適切にセキュリティソフトを導入しているPCでは新たに感染する恐れはほぼ無いが、
　依然として改ざんされたまま、適切な対処が行われていないサイトも見受けられる。

・サイト側が改ざんされる際の進入経路はまだ特定されていないが、
　既に改ざんが判明しているサイトで用いられているサーバーのOS httpd CMSに共通性や規則性が無く、
　単純にこれらのセキュリティホールを突いた外部アタックによる改ざんとは考えにくい。

・同様のサイト側の改ざんが行われているケースに関して、海外の掲示板等での書き込み内容等を元に推察すると、
　事前に何らかの方法でFTPパスワード等が盗み出され、FTPログインにより改ざんされている可能性も考えられる。

・改ざんされている状態のサイトを閲覧した際には、適切なセキュリティソフトを導入している場合でも、
　感染する恐れこそないものの、セキュリティソフトが即時検知及び駆除を行う為に
　当該サイトに関してはまともに閲覧出来ない状況になる。

16:名無しさん＠お腹いっぱい。
09/04/10 21:43:59
47: 2009/04/08 18:27:01 [sage]
このウイルスに感染すると、
・特定のサイトに接続できなくなる
・特定の駆除ソフト、ログ取得ソフトがブロックされる（DDS、SDFix類がブロックされる）
・レジストリエディタが起動しない（リネームすることにより回避可能）
・ネットブラウジングが困難になる。（問題発生しまくり）
・sqlsodbc.chmにWindowsの正規プログラム（？）がやたらとアクセスしてる
・Windowsの正規プログラムがsqlsodbc.chmを作成したりする。

おれの環境では不正なサイトにアクセスは確認できなかった
sqlsodbc.chm←これヘルプファイルだし特に危険じゃないと思うんだけど
何なんだ

17:名無しさん＠お腹いっぱい。
09/04/10 21:44:21
sqlsodbc.chmのMD5が違った・・・
cmd.exeを起動するとアプリが全て落ちる・・・
再インスコ決定

18:名無しさん＠お腹いっぱい。
09/04/10 21:44:49
191: 2009/04/09 00:33:51
******まとめ*******
感染確認方法
・sqlsodbc.chmのハッシュを調べて
F639AFDE02547603A3D3930EE4BF8C12
と異なる値が出た場合感染してる可能性あり

・以下のサイト（有名な駆除ツール）にアクセスできなければ危険
（鯖落ちじゃない限り、ほぼ感染してると見て問題ないと思う）
URLﾘﾝｸ(download.bleepingcomputer.com)

・パソコン再起動後、regedit.exeを起動しようとすると
explorerが落ちる場合、確実に感染してます。

・ブラウジングがまともにできない

駆除方法
完全な駆除方法は今のところない。（断定するのは現段階では危険）
セーフモードで、ComboFixを実行すればある程度よくなるかもしれない程度。
以上の問題が解決していればある程度よくなってるかも。

19:名無しさん＠お腹いっぱい。
09/04/10 21:45:05
スタッフA
「Webサイトの改ざんによるウイルス感染など普通にパソコンを使用しているだけでも、
ウイルスに感染してしまうという事例が増えています」

スタッフB
「ウイルスの感染を未然に防ぐためにも、最新のセキュリティソフトを使用し、
ウイルス定義データベースを常に最新に保つことが、安全なPC使用の第一歩です」

スタッフC
「ただいま、通販ショップGENOでは、総合セキュリティソフト各種を好評取り扱い中！
PCパーツご購入の際にご一緒にいかがですか？」

URLﾘﾝｸ(www.geno.co.jp)

20:名無しさん＠お腹いっぱい。
09/04/10 21:48:10
261: 2009/04/09 01:36:41 [sage]
---まとめ２---
感染経路は>>1

感染確認方法は>>191で
「sqlsodbc.chm」はsystem32にある。
MD5の確認方法は>>249
ComboFixのダウンロードリンクは場合によってはアンチウイルスに引っかかるが
これは問題なし。危険な人は"取り消されたアクション"になるか、"ページが真っ白"

駆除方法は現状なしと思ったほうが安全、つまりリカバリー
ただ>>162のようなケースも

とにかく
・感染したらリカバリー
・感染確認は>>191でMD5のとり方は>>249のソフトで右クリックから

-----

249: 2009/04/09 01:24:11 [sage]>>247
MD5はこのソフトで確認すると楽
URLﾘﾝｸ(www.vector.co.jp)

installくりっくすれば右クリックから調べられる

21:名無しさん＠お腹いっぱい。
09/04/10 21:56:27
comodo入りだとla.exe実行後まともに再起動しなかったがノーガード戦法で普通に再起動した
とりあえずregeditを起動しようとしたがタスクバーが再起動するような感じで不可
コピー&リネームしたregeditで
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32\aux
を削除後再起動したら普通にregeditが実行できた

それだけ

22:名無しさん＠お腹いっぱい。
09/04/10 22:01:32
URLﾘﾝｸ(ecnavi.jp)
09/04/10[障害・サポート情報]　【重要】掲載のリンク先ページのウイルス感染について

お知らせ
【重要】ECナビの掲載広告にて発生したリンク先ページのウイルス感染について

この度、ECナビサイトにて掲載を行っておりました広告にてリンク先ページが
改ざんされた可能性があり、広告をクリックして遷移先ページを閲覧した
ご利用者様がウイルスに感染した可能性があるという事態が発生しました。

なお、対象となる広告は下記となります。

■対象広告
puppine（株式会社ブランジスタ）

■掲載期間、箇所
【4/2～4/9 　ポイントチャンス！】
://ecnavi.jp/frame/?url=http%3A%2F%2Fkensho.ecnavi.jp%2Fsearch%2F&KID=&search=&order=new
愛犬と一緒に楽しめる最新ライフスタイル情報が満載「puppine」

【4/9～4/10　宝くじ　ガラガラでポン！】
://point.ecnavi.jp/campaign/lottery/game/
ペットとわたしの新感覚ウェブマガジン「puppine」

※ECナビでは上記の危険認識により、4月10日 15時に広告掲載を停止いたしました。

今回のウィルスに関しましては、Flash/Adobe Readerの既知の脆弱性を悪用するもので、
最新版をお使いならば感染の危険がないという情報もございます。
しかしながら、被害状況等の詳細に関しましては現在掲載サイトにて確認を行っております。
状況が分かり次第再度ご報告させていただきますので、
今しばらくお待ちくださいますようお願いいたします。

23:名無しさん＠お腹いっぱい。
09/04/10 22:25:30
・特定のサイトに接続できなくなる

どこのサイトにつなげなくなりますか?

24:名無しさん＠お腹いっぱい。
09/04/10 22:45:48
>>23
WindowsUpdate試みて、普通に更新できたら望みはある。
もしもIEがフリーズしたら感染の恐れ大。

感染すると、アンチウィルスソフトの自動更新が出来なくなったり、
GYAOやネットラジオが視聴出来なくなったりする。
あと、regedit.exeが起動出来なくなる。

25:名無しさん＠お腹いっぱい。
09/04/10 23:40:15
.

26:名無しさん＠お腹いっぱい。
09/04/10 23:52:07
>>24
正に、私のことですねｗ
全て当てはまる

クリーンインスコって結構楽しいっすよ。

27:名無しさん＠お腹いっぱい。
09/04/10 23:56:38
感染した人は出来れば何をやってくるウィルスなのか
人柱になって解析してもらえれば幸いである

28:名無しさん＠お腹いっぱい。
09/04/11 00:08:08
URLﾘﾝｸ(www.btfree.info)
Code by:c418478c216f027

URLﾘﾝｸ(www.btfree.info)
Code by: d5ddf2d3204c8f4

29:名無しさん＠お腹いっぱい。
09/04/11 00:12:06
>>27
>>16

30:名無しさん＠お腹いっぱい。
09/04/11 00:14:36
しかし発症すると露骨にわかるんだけど、キーロガーやボットなどが
静かに活動するようなものだったらどうなっていたんだ?
というかそういうのがすでに蔓延している可能性もあるのか?

31:名無しさん＠お腹いっぱい。
09/04/11 00:16:33
ボットンPCなんて腐る程あるだろ
たまにボット攻撃がなんたらかんたらてニュースになったりしてんじゃん

32:名無しさん＠お腹いっぱい。
09/04/11 00:16:57
XP SP3
Adobe Reader9.1
Flash 10は最新版の一つか二つ手前だったはず

4月4日の13:15にIE7でGENO訪問
メモリ馬鹿食いしてブラウザ強制終了
あれ、おかしい
再びIE7でGENO訪問
同じようにメモリ馬鹿食いしてブラウザ強制終了
どうやら食らったのはpdfの方

初期のころ言われていたレジストリの改変や
あやしいバッチファイルなどは見つからず

とりあえずシステムの復元で4月3日の状態を復元
その後VB2008とa-squaredで何度か検索を行ったが
今回の犯人に関係しそうな検出はいまのところ無し

まぁさっさとリカバリした方がいいに決まっているのだが

33:名無しさん＠お腹いっぱい。
09/04/11 00:24:30
久々に悪質なウイルス

34:名無しさん＠お腹いっぱい。
09/04/11 00:30:13
>>29
それで終わりだと思ってるの？そんな甘ちゃんがなんでこんなスレにいるの？

35:名無しさん＠お腹いっぱい。
09/04/11 00:34:45
個人で解析なんて不可能に近いから
怪しいものは各ベンダに検体として送る方が有効。

36: ◆W07s5cWHb.
09/04/11 00:37:11
>>32
質問です♪

Genoサイトを踏んだ時のWindowsログインユーザにはAdmin権限ありだった？
それともPowerUser権限、もしくはただのUser権限のみだった？

37: ◆W07s5cWHb.
09/04/11 00:39:35
あ、>>28のリンクは踏んだらヤバいからね。
おいらがちょっと前に踏んでしまって
マイドキュメント等が一切合財消されたウィルスだから。

38:32
09/04/11 00:42:36
>>36
モロにAdmin権限あり

39:名無しさん＠お腹いっぱい。
09/04/11 00:43:33
危険だと分かってて直リンはってる香具師は警察に突き出すべき？

40:32
09/04/11 00:45:45
GENOにアクセスしてブラウザが落ちた時点では
正直これほど厄介なものに遭遇していたとは思ってなかった
すぐにタスクマネージャを立ち上げて変なものが動いてないか確認しとけば良かった

41: ◆W07s5cWHb.
09/04/11 00:56:54
>>38
報告どうもです。

てか、報告内容をまとめると
結局、2回共に部分的に食らったみたいな感じだけど、
もしかするとブラウザを即効で閉じた事で
恐らくEXEファイルがダウンロードされて実行される事を防げたって感じかもね。

さもなければReaderが9.1の場合はメモリ馬鹿食いで落ちても結果的に脆弱性は突かれずに
EXEのダウンロードまで行われずにExplorer.exeの乗っ取りは行われないって事かと。

ただ、Flashの方が最新版じゃない可能性があったのなら、そっちで何か食らった可能性も捨てきれないね。
で、Flash側でどんな感じの悪さをされるのかが、まだあまり解析されていない部分なんだけどね。

でも、まぁ、その状態にまでなったら、可能な限りリカバリかクリーンインストールすべきだね。

ホント、お疲れ様でした。

42:名無しさん＠お腹いっぱい。
09/04/11 01:00:32
Adobe Reader入れた状態で踏んでメモリ食うのは仕様、アウトでもセーフでも起こる現象
flashは9.0.115.0以下でないならおｋ
不安ならリカバリ

43: ◆W07s5cWHb.
09/04/11 01:01:38
>>39
警察以前に2ch運営の板の所定のスレに報告すれば
削除人があぼーんしてくれるし、
場合によっては一発で張った奴をアク禁にしてくれたりします。

44: ◆W07s5cWHb.
09/04/11 01:02:53
>>42
フォローどうもです。

45:名無しさん＠お腹いっぱい。
09/04/11 01:42:19
>>24
ありがとうございます。
試してみたら>18のサイトは表示されないけどexeが落ちてくる。MD5は正常。
j-waveのネットラジオを聞ける。GYAOは不明。
WindowsUpdateはIE7は成功したけど下のプログラムはインストールされなかった。
「Microsoft .NET Framework 3.5 Service Pack 1 および .NET Framework 3.5 ファミリ更新プログラム (KB951847) x86」

46:名無しさん＠お腹いっぱい。
09/04/11 01:44:48
la.exeを感染させた(実行後一度再起動させた)ドライブを別のwindowsの外部ドライブにして
aviraでスキャンかけてみたけどかかるファイルは一つだけだね(～\Drivers32\auxに登録されたやつね)
sqlsodbc.chmは無視だね

でもこの方法だとレジストリ見てくれないな

47:名無しさん＠お腹いっぱい。
09/04/11 02:03:58
>>28
ｽﾚﾘﾝｸ(sec板)

48:名無しさん＠お腹いっぱい。
09/04/11 02:05:09
.NET Frameworkは

Windows Installer
ASP .NET State Sevice

のサービスが停止されてるとインストール失敗する
という可能性もある

間違ってたら訂正ﾖﾛ

49:名無しさん＠お腹いっぱい。
09/04/11 02:25:11
ひろゆきのマネして自分のことをおいらって言うヤツは大抵が自意識過剰な勘違いクン

50:名無しさん＠お腹いっぱい。
09/04/11 02:30:32
おいらもそう思う

51:名無しさん＠お腹いっぱい。
09/04/11 02:39:36
おいらんも

52:名無しさん＠お腹いっぱい。
09/04/11 02:53:44
おいらも

53:名無しさん＠お腹いっぱい。
09/04/11 02:57:02
中島らも

54: ◆W07s5cWHb.
09/04/11 03:12:09
おまいら

55:名無しさん＠お腹いっぱい。
09/04/11 03:12:34
植木等

56:名無しさん＠お腹いっぱい。
09/04/11 03:13:54
Linux勝ち組？

57:名無しさん＠お腹いっぱい。
09/04/11 03:41:19
分かち合える仲間がいないから負け組みじゃね？

58: ◆W07s5cWHb.
09/04/11 03:43:32
ディストリ毎に信者が内紛起こしてるからねｗ

59:名無しさん＠お腹いっぱい。
09/04/11 04:10:01
ウブンツなら仲間もそこそこいるべ

60:名無しさん＠お腹いっぱい。
09/04/11 04:26:27
感染したドライブのイメージをVPC内に復元してavastですべて高にして完全スキャンしたら
system volume information内にA0003748.exeが隠れてました。
1月時点でのバックアップには含まれてないし最後に編集した日付が09/04/04ですから
ここで引っかかったときに作られたんでしょうかね。
ファイルサイズ15360バイト
win30:Trojan-gen{Other}

61:名無しさん＠お腹いっぱい。
09/04/11 07:32:59
>>45
Microsoft.NETのインストールは任意なんで、自動更新されなくても正常。

あとRegedit.exeが起動出来れば、GENOウィルスに関しては大丈夫だろうな。

念の為AdobeのReaderとFlashは最新版にしておけばOK。

62:名無しさん＠お腹いっぱい。
09/04/11 08:58:15
>>28のはノートン先生が反応して感染させてくれないぞ

63:名無しさん＠お腹いっぱい。
09/04/11 09:30:48
crestronjapan鯖落ちてるな
やっとメンテかw

64:名無しさん＠お腹いっぱい。
09/04/11 09:32:27
>>9 に書かれているどこかのスレの958です。

再度Virustotalでスキャンしてみました。

各社対応が始まったようで検出率が上がっているようです。

ファイル名 _ycmmf_.cjq.zip 受理 2009.04.11 02:20:16 (CET)
現在の状態：読込み中 ... 順番待ち待機中スキャン中完了発見せず停止
結果: 15/40 (37.5%)

a-squared　　　 4.0.0.101　　Trojan.Agent!IK
AhnLab-V3　　　 5.0.0.2　　　Win-Trojan/Agent.18944.JQ
AntiVir　　　　 7.9.0.138　　TR/Agent.caaj.B
Avast　　　　　 4.8.1335.0　 Win32:Trojan-gen {Other}
AVG　　　　　　 8.5.0.285　　Delf.JTL
CAT-QuickHeal　 10.00　　　　Trojan.Agent.IRC
eTrust-Vet　　　31.6.6450　　Win32/SillyDl.HDU
Fortinet　　　　3.117.0.0　　PossibleThreat
GData　　　　　 19　　　　　 Win32:Trojan-gen {Other}
Ikarus　　　　　T3.1.1.49.0　Trojan.Agent
K7AntiVirus　　 7.10.698　　 Trojan.Win32.Malware.1
McAfee+Artemis　5580　　　　 Generic!Artemis
McAfee-GW-Edition 6.7.6　　　Trojan.PSW.Delf.AB
NOD32　　　　　 4000　　　　 a variant of Win32/Delf.OEX
Prevx1　　　　　V2　　　　　 High Risk Cloaked Malware

AVGは検出しましたが、またしてもカスペルスキーはダメでした。
Kaspersky　　　 7.0.0.125　 -

65:名無しさん＠お腹いっぱい。
09/04/11 09:32:38
puppine↓ここもやっとw

現在、緊急メンテナンス作業中です。
せっかくお越しいただいたのに申し訳ございませんが、
復旧まで今しばらくお待ち下さい。

66:名無しさん＠お腹いっぱい。
09/04/11 09:43:57
ええ～
昔カスペが最強とか言われてたような気が・・
セキュリティってのはとことん気が抜けねぇなぁ

67:名無しさん＠お腹いっぱい。
09/04/11 09:57:50
>63

謝罪文が何所にもないな４日位放置してたのに

68:名無しさん＠お腹いっぱい。
09/04/11 09:58:28
AVG対応して安心したけど、除去や亜種の対応は、どうなったの？

69:名無しさん＠お腹いっぱい。
09/04/11 10:08:02
レス28　ここも感染してるぞ！
94、100.178.211　ラトビア行きだ

おまいら迂闊に踏むなよ

70:名無しさん＠お腹いっぱい。
09/04/11 10:11:43
鯖乗っ取られすぎﾜﾛﾀ

71:69
09/04/11 10:19:56
訂正

誤 : 94、100.178.211　ラトビア行きだ

正 : 94、100.178.211　ロシア行きだ

72:名無しさん＠お腹いっぱい。
09/04/11 10:24:14
>>64=>>66
たった一つや二つのウイルスでその反応ｗ
他社の工作はひどいもんだなあ

73:名無しさん＠お腹いっぱい。
09/04/11 10:28:14
セキュリティソフトメーカーとハッカーのいたちごっこですからね

74:名無しさん＠お腹いっぱい。
09/04/11 10:40:35
inetnum: 94.100.176.0 - 94.100.183.255
netname: MAILRU-NET08
descr: Mail.Ru
descr: NetBridge Services
country: RU
admin-c: VG659-RIPE
tech-c: VG659-RIPE
status: ASSIGNED PA
mnt-by: MNT-NETBRIDGE
person: Vladimir Gabrelyan
address: 47, Leningradsky prospect, Moscow, Russia
e-mail: gabrelyan@corp.mail.ru
fax-no: +7 495 7256357
phone: +7 495 7256357
nic-hdl: VG659-RIPE

Information related to '94.100.176.0/20AS47764'
route: 94.100.176.0/20
descr: LLC netBridge Services
origin: AS47764
mnt-by: MNT-NETBRIDGE

Information related to '94.100.178.0/24AS47764'
route: 94.100.178.0/24
descr: MAILRU-DC1
origin: AS47764
mnt-by: MNT-NETBRIDGE

75:名無しさん＠お腹いっぱい。
09/04/11 10:41:36
>>66
マッチポンプでなく驚いているだけなら他のセキュソフトでも同じ事は起きるぞｗ
万能のソフトなんて無い

76:名無しさん＠お腹いっぱい。
09/04/11 11:22:19
a-squaredとavastとAntiMalwareで検出したウィルスを全部削除して
セーフモードでComboFixとSDFix掛けてレジストリやら掃除して
Sqlsodbc.chmは削除してから正常な奴に入れ替えて
SystemVolumeInformation内ファイルも全部削除して
WindowsUpdate掛けて、Adobe ReaderとFlashも最新にアップデートしたけど

これで大丈夫かな？チョー心配だ。

77:名無しさん＠お腹いっぱい。
09/04/11 11:25:45
セーフモードでComboFixが動くなら、発症前だったって事だね
裏山

78:名無しさん＠お腹いっぱい。
09/04/11 11:38:13
>>77
いや、最初はセーフモードでも動かなかった。
アンチウィルスソフトで検出できてもどうしても削除できないファイル（GENOウィルス本体かも）
が邪魔していた。

いろいろ試した結果、BARTsPEで起動CDを作ってなんとか↑のファイルを削除成功。
その後、ComboFixが使えるようになった。

しんどかったよ。

79:名無しさん＠お腹いっぱい。
09/04/11 11:50:34
URLﾘﾝｸ(www.virustotal.com)
がんばってみた

80:名無しさん＠お腹いっぱい。
09/04/11 11:53:04
>>78
乙だわ。

81:名無しさん＠お腹いっぱい。
09/04/11 11:55:47
>>79
感染元アドレス：hxxp://
OS：
Flash：
Adobe reader：
セキュリティソフト：

82:名無しさん＠お腹いっぱい。
09/04/11 12:01:35
お前らがここまで手こずるウイルスなんて珍しいな、どんだけ凶悪なんだな

83:名無しさん＠お腹いっぱい。
09/04/11 12:10:25 BE:626922427-2BP(0)
感染元アドレス：hxxp://94.247.2.195/news/?id=10&
OS：Windows XP SP3
Flash：最新さっき入れた
Adobe reader：None
セキュリティソフト：ZoneAlarm（とAvast!はきった）
でURLﾘﾝｸ(www.virustotal.com)

84:名無しさん＠お腹いっぱい。
09/04/11 12:13:40
いや。これは驚くだろ
ZEROが対応してる

85:名無しさん＠お腹いっぱい。
09/04/11 12:14:33
新種EXE PDF SWFまとめZIP

609 名前：クモマグサ(アラバマ州)[sage] 投稿日：2009/04/11(土) 12:10:30.43 ID:gGW25rxB
>>607
すまぬ、よろしくお願いします。m(_ _)m

URLﾘﾝｸ(tane.sakuratan.com)
DL 　： geno
解凍.： virus

入手元　94.247.2.195　(geno関連)

86:名無しさん＠お腹いっぱい。
09/04/11 12:43:33
>>78
アンチウイルス何つかったの？
PEでブートCDは作ったけど、検出できなくて困ってるorz

87:名無しさん＠お腹いっぱい。
09/04/11 13:00:06
ZEROが対応ってまじ？

88:名無しさん＠お腹いっぱい。
09/04/11 13:04:52
>>86
俺の場合a-squaredでC:\Windows直下に妙な名前のファイルが検出された。
（こいつはavast!やspybotでは検出されなかった）
これが恐らく親玉ファイル。種類はTrojan-SPY.AGENT!IKだった。ちなみにファイル名はランダムになるらしい。
そいつをBARTsPE起動CDのワードパッドからファイル指定して削除。
CD抜いてHDDからXPを再起動。C:\RECYCLERに先ほど削除した
親玉ファイルがリネームされて残っているのでこいつを削除すればＯＫ。

89:名無しさん＠お腹いっぱい。
09/04/11 13:10:00
>>88
ありがとう
a-squared Free 4.0でいいの？
なんか嬉しくなってきた

90:76=78=88
09/04/11 13:17:07
>>89
それで検出した。

もしダメなら、>>64の別のソフトを試せばいいと思う。

91:名無しさん＠お腹いっぱい。
09/04/11 13:22:40
>>88
そんだけじゃ、まだ残ってるぞ

92:名無しさん＠お腹いっぱい。
09/04/11 13:27:01
a-squared　って他のソフトと共存できましたっけ？

93:88
09/04/11 13:31:41
>>88はとりあえず親玉ファイルの削除だけ。

あとは出来ることは>>76にあるとおり。
再意インストール以外で、他にやれる事があるなら教えて。

94:名無しさん＠お腹いっぱい。
09/04/11 13:32:08
>>92
Free版はできる。有償版は知らない。

95:名無しさん＠お腹いっぱい。
09/04/11 13:36:40
>>94
㌧
いれてくる

96:名無しさん＠お腹いっぱい。
09/04/11 13:39:23 BE:1791204285-2BP(0)
617 名前：クモマグサ(アラバマ州)[sage] 投稿日：2009/04/11(土) 13:36:21.50 ID:gGW25rxB
>>609
602です。てか、串通してるわけでもないのに何でアラバマ州なんじゃ。(w

ええと、検出スレの方で指摘がありましたが、中に入っていたvirus.swfはJS（スクリプト）でした。申し訳ない。
こちらでもファイルをエディタで開いて確認しました。　IEのキャッシュから引きずり出したんだけど、手違いをしたらしい。

で、id=3の方なんだけど、こちらでは踏んでも何も落ちてきませんでした。向こうも一休み中かも...油断はできませんが。

id=10については、>592さんと同じ物が落ちてきました。ファイル名はランダムなんで、>592さんと同じくu2.exeに名前を変えてパス付きzipでアップしました。
　URLﾘﾝｸ(tane.sakuratan.com)
　DL 　： geno
　解凍.： virus
　URLﾘﾝｸ(www.virustotal.com)

余裕のある方、検出スレ（>>609）に転載お願いします。m(_ _)m

97:名無しさん＠お腹いっぱい。
09/04/11 13:40:00
ただしa-squared Freeは誤検出も多いぞ

98:名無しさん＠お腹いっぱい。
09/04/11 13:45:29
>>88
すでに自動ツールがやってるかもしらんが、下記各項目を確認すれ

１、C:\WINDOWS\に作られるランダム名のファイルを削除（これは>>88で実施済み）
２、C:\WINDOWS\system32\sqlsodbc.chmを本来の正しいもので上書きする
　　正しいファイルは　MD5 (sqlsodbc.chm) = f639afde02547603a3d3930ee4bf8c12
３、regeditで下記レジストリデータの削除確認。上記１のランダムファイル名がデータ欄にある
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32\aux?
４、regeditで下記のキーが無いことを確認する
　　HKLM\SYSTEM\ControlSet001\Control\Session Manager\PendingFileRenameOperations

99:88
09/04/11 13:58:28
>>98
全部大丈夫だった。まとめてくれて、ありがとう。

100:名無しさん＠お腹いっぱい。
09/04/11 14:05:14
>>42
>flashは9.0.115.0以下でないならおｋ

踏んだ時Adobe Readerは最新の8.1.4だったけど、Adobe Flashが最新じゃない9.0.124.0だったのに
ウイルスに反応しなかったのはこの理由なのかな。

101:名無しさん＠お腹いっぱい。
09/04/11 14:31:15
通販サイト「GENO」の改ざん、広告掲載サイトにも影響　（Security NEXT - 2009/04/08更新）
URLﾘﾝｸ(www.security-next.com)

中古PC通販サイト「GENO」が不正アクセスで改ざん　（Security NEXT - 2009/04/08更新）
URLﾘﾝｸ(www.security-next.com)

ウェブサイトが改ざん被害、閲覧でウイルス感染のおそれ - ナクソス　（Security NEXT - 2009/04/09更新）
URLﾘﾝｸ(www.security-next.com)

広告掲載サイトで改ざん、ウイルス感染のおそれ - ECナビ　（Security NEXT - 2009/04/10更新）
URLﾘﾝｸ(www.security-next.com)

102:名無しさん＠お腹いっぱい。
09/04/11 14:46:17
　

103:名無しさん＠お腹いっぱい。
09/04/11 15:03:02
このウイルスは感染したPCから同一LAN内の他のPCに感染しますか？

104:名無しさん＠お腹いっぱい。
09/04/11 15:08:38
ミスったorz

このウイルスは感染したPCから同一LAN内の他のPCに感染しますか？

家族で使用していて計３台あり、LAN内のデータ共有等はありません。
３台ともルーターからぶら下がっているだけです。
踏んだと思われる時期は6日月曜の夕方から夜にかけてで、
踏んだ疑いがあるのは１台のPCのみです。（「思われる」とか「疑い」というのは、2chブラウザで誤ってマウスカーソルを
GENOのURLのところに置いてしまい、プレビュー機能のようなもの（といっても「情報なし」とか2chのスレ名等が
ポップアップで出るだけですが。ただマウスカーソルをURLに置くと外と通信するようです。）
が機能してしまったということで、「疑い」です。）
OSはすべてXPSP3でReaderとFlashのバージョンは当時不明です。（踏んだ疑いのあるPCはリカバリ済みでReaderとFlashは最新にしました。）
以前から３台すべてのPCにノートン（2009）を入れていて、すべてウイルス定義を火曜夕方当時最新にしてスキャンしましたが、
tracking cookieのみ検出しました。（これは時々よくひっかかるので、関係は無いと思います。）
ちなみに挙動はどのPCも怪しくなく（疑いのあるPCはリカバリ前も）、regeditも起動しました。

105:名無しさん＠お腹いっぱい。
09/04/11 15:14:23
久々に悪質なウイルス
GENOは潰れるのかな？

106:名無しさん＠お腹いっぱい。
09/04/11 15:16:16
sqlsodbc.chmの本来の正しいものってどこにあるの？

107:名無しさん＠お腹いっぱい。
09/04/11 15:22:30
a-squared Free 4.0 のカスタムスキャンでチェック付けまくって
試してみたけど　￥Windows直下　どころか　Cドライブ全体からも
Trojan-SPY.AGENT!IK　は見つからなかった。

ちなみに　モロに発症中
ブラウザ落ちまくり　レジストリエディタ起動不能
コマンドプロンプト起動不能　ComboFix起動不能

助けてorz

108:名無しさん＠お腹いっぱい。
09/04/11 15:25:31
っクリーンインストール

109:名無しさん＠お腹いっぱい。
09/04/11 15:27:23
>>104
> このウイルスは感染したPCから同一LAN内の他のPCに感染しますか？

感染したまま放置したら他のPCにも感染するかもね。
ちゃんと機能していたら、自分自身をアップデートするかもしれんし。

ま、専ブラでサムネ表示させただけなら大丈夫だと思うけど。

110:107
09/04/11 15:45:44
C:\Windowsのなかに　パラボラアンテナのアイコンで
{00000005-00000000-00000008-00001102-00000008-10011102}.CDF
こんなのがあって、これ移動も削除も出来ないんだけど、
これって怪しいですか？

111:名無しさん＠お腹いっぱい。
09/04/11 15:57:51
>>107
コンピュータの復元試してみ

112:名無しさん＠お腹いっぱい。
09/04/11 16:38:37
Crestron復活しているけど、謝罪は一言も無い
こういうのは断じてゆるせん！！

113:名無しさん＠お腹いっぱい。
09/04/11 16:54:04
別に許してくれって頼んでないし

114:名無しさん＠お腹いっぱい。
09/04/11 16:55:26
>>107
面倒だからOSを再インスコしろ

115:名無しさん＠お腹いっぱい。
09/04/11 17:00:45
IE落ちまくりじゃ、オンラインスキャンも使えないな。

116:名無しさん＠お腹いっぱい。
09/04/11 17:09:28
お客様各位
URLﾘﾝｸ(www.geno.co.jp)

"不具合のあったプログラムを消去して正常なプログラムが動作するようにするため、
お客様側の対処といたしましてはwebブラウザのキャッシュをリセットして頂く事を
お願い致します。"

"尚、サーバーのウィルス感染や個人情報の流出はございません。"

117:名無しさん＠お腹いっぱい。
09/04/11 17:16:43
>>107
URLﾘﾝｸ(www29.atwiki.jp)
GENOウイルスまとめ
このスレに
対処方らしきものがある。

118:名無しさん＠お腹いっぱい。
09/04/11 17:17:09
>>116
流失→流出　new!

ｽﾚﾘﾝｸ(owabiplus板:1番)
流失だったみたいだよね

119:名無しさん＠お腹いっぱい。
09/04/11 17:38:38
昨夜、ここのリンク踏んだらウイルス警告でた。
例のGENOウイルスかと思いキャッシュクリアしたけれど、
さっきウインドウズ再起動したら起動時スキャンでJS.Downloader.vc.3096が発見。
アドビリーダーとフラッシュもアップデートしたのに。
このレスは２月１１日だけど当時から感染してたのかな？

サイズ電源を語れヽ( ﾟДﾟ)人(ﾟДﾟ )ﾉ
ｽﾚﾘﾝｸ(jisaku板:219番)

120:名無しさん＠お腹いっぱい。
09/04/11 17:50:01
>>107
もうどうにかしてるとは思うが一応。

エクスプローラでc:\windowsを開いて
regedit.exeを選択、編集->コピー、編集->貼り付け
できた
コピー～ regedit.exe
ってファイルをrrr.exeにリネーム
そのrrr.exeをダブルクリック（実行）
そうすればレジストリエディタが開くはずだから
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32
をひらいて、その中の
aux
をダブルクリック、値のデータをコピーしてメモ帳あたりで保存しといて。

＃＃その値が他のmidiとかmixerの値と違う、c:\windows\system32\以下ではない、*.dllや*.drvではないなら以下を実行＃＃

そのauxを右クリックして削除を選択、レジストリエディタを終了。
そのままwindowsを再起動してみて

わかりやすく言うと、コピー＆リネームすればregeditが動くと思うから
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32\aux
を削除して再起動して

それでおかしくないようならそのままシステムの復元すればいいとおもうよ

121:名無しさん＠お腹いっぱい。
09/04/11 17:51:56
>>119
セキュリティソフトは何ですか？

122:名無しさん＠お腹いっぱい。
09/04/11 17:59:25
キングソフトの新しいのＳＰ１です。
キャッシュクリアだけじゃ駄目みたいだね。

123:名無しさん＠お腹いっぱい。
09/04/11 18:04:58
キングソフトかぁ
育ちがいいですねえ

124:名無しさん＠お腹いっぱい。
09/04/11 18:05:43
大体対応したかな。
結局事前に食い止めたソフトはどれなのさ？

125:名無しさん＠お腹いっぱい。
09/04/11 18:08:14 BE:272081164-2BP(0)
>>119
ただのiframe埋め込みだよ

ハゲ

<iframe src="URLﾘﾝｸ(www.amazon.co.jp)
=http%3A%2F%2Fwww.amazon.co.jp%2Fgp%2Fslides%2Fmake-money.html%3Fpf%5F
rd%5Fm%3DAN1VRQENFRJN5%26pf%5Frd%5Fs%3Dleft-nav-3%26pf%5Frd%5Fr%3D00SV
8SBX757SKDDMXB5J%26pf%5Frd%5Ft%3D101%26pf%5Frd%5Fp%3D70095606%26pf%5Fr
d%5Fi%3D489986&tag=dmoney-22&linkCode=ur2&camp=247&creative=1211" heig
ht=0 width=0></iframe>

<iframe src="URLﾘﾝｸ(ck.jp.ap.valuecommerce.com)
60859&pid=875183741&vc_url=http%3a%2f%2fshopping%2eyahoo%2eco%2ejp%2fi
nfo%2fpoints%2fshopping_points%2findex%2ehtml" height=0 width=0></ifra
me>

<iframe src="URLﾘﾝｸ(pt.afl.rakuten.co.jp)
%3a%2f%2fwww.rakuten.co.jp%2fdoc%2finfo%2frule%2fservice.html" height=
0 width=0></iframe>

126:名無しさん＠お腹いっぱい。
09/04/11 18:23:08 BE:408121766-2BP(0)
>>119
で悪用されたスクリプトの配布元
凄すぎｗｗ

127:名無しさん＠お腹いっぱい。
09/04/11 18:33:34
genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス
genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス
genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス
genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス
genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス
genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス
genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス
genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス
genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス
genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス genoウイルス

128:名無しさん＠お腹いっぱい。
09/04/11 18:38:40
>>126
URLﾘﾝｸ(www.usamimi.info)

貼り忘れ

129:名無しさん＠お腹いっぱい。
09/04/11 19:11:18
GENOには暫くアクセスしない方がいいな

130:名無しさん＠お腹いっぱい。
09/04/11 19:55:38
>>219の4の項目(PendingFileRenameOperations)なんだけど、
うちの見たらこうなっていたんだけどなにこれ？

\??\C:\WINDOWS\system32\SET5A.tmp
!\??\C:\WINDOWS\system32\LegitCheckControl.dll

131:名無しさん＠お腹いっぱい。
09/04/11 20:16:50
PendingFileRenameOperations
は入れとくと再起動時にリネームするらしい
LegitCheckControl.dll
はWGA(認証プログラム)らしい
ウイルスが認証プログラムを書き換えようとしてるのか
書き換えられたプログラムをシステムが戻そうとしてるのか
認証プログラムかデータがおかしくなった(とシステムが考えた)か

132:名無しさん＠お腹いっぱい。
09/04/11 20:31:20
>>131
WGA書き換えられるとupdateできんって事？

133:名無しさん＠お腹いっぱい。
09/04/11 20:39:28
>>130
両方のファイルサイズ教えて。あとデジタル著名あるかどうか
うちのXPsp3のLegitCheckControl.dllは1480232バイト
うちもcomodoいれて感染させて再起動したらえらく起動に時間かかった後に認証が必要とか言われたから気になる
このときは復元しても直らなかった希ガス

134:名無しさん＠お腹いっぱい。
09/04/11 20:48:02
>>132
updateってか認証が通らなければセーフモード以外で起動できなくなる
もしくは逆にクラックされて常に認証が通るようになるとか
MSにクラック版と判断されて壁紙黒くなるかも

135:名無しさん＠お腹いっぱい。
09/04/11 21:18:03
>>130
もちろん忘れてはいけないのはこのウィルスがあなたのプロダクトキーや認証コードを盗もうとしているという可能性です。
認証が必要と言われたらあきらめてクリーンインストールしましょう

136:名無しさん＠お腹いっぱい。
09/04/11 21:33:24
ノートだからいくらでも盗んでってくれ。
IBMでもレッツでもＦＭＶでもHPでもどれでもいいよ。
どうせ共通キーだからｗ

137:名無しさん＠お腹いっぱい。
09/04/11 21:41:07
大体対応したかな。
結局事前に食い止めたソフトはどれなのさ？

138:107
09/04/11 22:07:51
>>111
復元ポイントのフォルダに潜伏してるかもと思って
復元機能をOFFにして削除しちゃいましたorz

>>120
詳しい説明ありがとう

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32\aux
この値は　他のmidiやmixerと同じ値でした。

139:107
09/04/11 22:14:46
C:\WINDOWS\system32を見るとこんなのがありました
sqlsodbc.chmxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

これは一体・・・

140:名無しさん＠お腹いっぱい。
09/04/11 22:17:27
>>138
新種か

141:名無しさん＠お腹いっぱい。
09/04/11 22:23:41
グーグルあたりのクローラで改竄チェックとかしてくれればいいのに

142:名無しさん＠お腹いっぱい。
09/04/11 22:23:51
>>138
チェックしても何も引っかからないの？
セーフモードでチェックしてみた？
一つのソフトがダメなら>>64にある他のソフトで再度チェック。

これでもダメならSDFix。セーフモードで動けば儲けモノ。

143:名無しさん＠お腹いっぱい。
09/04/11 22:24:17
亜種キタ？

144:107
09/04/11 22:24:24
a-squaredのレポートうｐしてみました
URLﾘﾝｸ(www.dotup.org)

これだ！　っていうのあったら教えてください

145:名無しさん＠お腹いっぱい。
09/04/11 22:25:04
genoかどうか分からんが
セキュリティサイト全般に繋がらない
MSのサイトに繋がらない
隠しファイル表示設定しても表示されない←復元設定オフッたら表示された
デスクトップにa.exeっていう隠しファイルがネットにアクセス要求してる
外付けHDのオートランがうまく起動しない
イモバでネット接続すると凄いポートスキャン攻撃

146:名無しさん＠お腹いっぱい。
09/04/11 22:35:50
>>144　とりあえずこれ。

C:\Program Files\CravingExplorer\unins000.exe 検出: Trojan-Dropper.Agent!IK

147:名無しさん＠お腹いっぱい。
09/04/11 22:36:50
>>145
ｗｗｗｗｗ

何というノーガード戦法
中学生かよｗｗｗ

148:名無しさん＠お腹いっぱい。
09/04/11 22:37:29
>>145
スレの上のほうみて該当しなければ
USB経由でなにかもらっちゃったとか

149:107
09/04/11 22:48:01
>>146
削除してみました
今セーフモードで改めてCドライブをスキャンしています

150:名無しさん＠お腹いっぱい。
09/04/11 22:49:15
>>106
俺は、ウィルス感染していない別PCから持ってきた。
XPのインスコCDから抽出できるかもしらん。

151:名無しさん＠お腹いっぱい。
09/04/11 22:50:20
>>144
おい、Quake3やらせろ

152:名無しさん＠お腹いっぱい。
09/04/11 22:59:56
ｲﾝｽｺおわた
GENOめ、余計な時間をかけさせおって。

153:名無しさん＠お腹いっぱい。
09/04/11 23:25:50
>132

ESETだめぽorz
OperaでJavaScriptやプラグインも切ってアクセスしたのに。

154:名無しさん＠お腹いっぱい。
09/04/11 23:26:58
NODがだめなのは今に始まったことじゃないしw

155:名無しさん＠お腹いっぱい。
09/04/11 23:43:54
大体対応したかな。
結局事前に食い止めたソフトはどれなのさ？

156:名無しさん＠お腹いっぱい。
09/04/12 00:05:34
今回の件でノーガード戦法の素晴らしさが理解できたようだな

157:名無しさん＠お腹いっぱい。
09/04/12 00:11:15
>>156
代金払いは着払い。クレカ払いは潔く諦める。
拾ったエロファイルはすばやく外付けHDDに格納。
踏んじまったら即クリーンインストール。

結局、ノートン先生もただの効果のない御守りに過ぎなかったのだね。

次ページ