ウイルスと格闘。。。はぁ、疲れた。。。。
|
いやー、参りましたワ。 期待していたノートン君、ほぼ使い物にならず…。ｵ��ﾙ･･･＿|￣|○ あ、脳豚くんの名誉のために書きますが、ウイルス本体が起動のたびに吐き出していた ごくごく一般的な「トロイの木馬ウイルス」は検知して駆除してくれましたよ。 「Trojan.Virantix.B」「Trojan.ByteVerify」「Downloader」「Infostealer.Gampass」とか…。 ただ、本体を駆除してくれませんでしたので、根本的な解決までは至りませんでしたね。 しゃーないので、自分でウイルスの本体を探して駆除しましたワ。 今回、感染したのは、「braviax.exe」「WinReanimator.exe」ってヤツですね。 このうち、「WinReanimator」はノートン君でも検知できるんですけど、 「braviax.exe」は検知できないみたい。 んで、なぜコイツの感染に気が付いたかというと、 タスクマネージャーでどんな常駐ファイルが起動しているのか調べたのと、 レジストリのキーを検索したからですね。 ウイルスってウィンドウズの起動と一緒に起動してしまうモンなんですけど、 当然ながらウイルスプログラムを実行させる命令がどこかに書かれているから起動するわけで…。 んで、だいたい下記のレジストリに書かれていることが多いんですよね。 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run んで、ここに「braviax.exe」を起動させる命令があったし、 タスクマネージャーで確認したら常駐していた。 もちろん、タスクマネージャーからこいつを強制終了させたら、 タスクバーで窓を開きまくっていた「ウイルス君」とサイナラできました。(￣ー￣)ﾆﾔﾘ これでウイルスの本体確認→ヤフーでファイル名を検索→おおよそのウイルス情報入手 こんな感じですかね。 んで、もちろん、レジストリの起動命令と、本体のファイルを削除。 本体ファイルは「C:\WINDOWS\system32\」の中に隠れてましたね。 で、このフォルダにも他に新たにファイルが生成されていないかチェックしたら、 「winivstr.exe」ってファイルも焦臭い。 再びこのファイル名で検索かけたら、 やっぱこれもウイルスっぽい（ノートン君は検知不可）。。。。 ウイルスが起動されるたびに生成されるぽいので、こいつもオサラバしました。 ここまでやってやっと、再起動してもウイルスが立ち上がらなくなりましたね。ヽ(´ー`)ﾉ はぁ、貴重な時間をこんなことに費やしてしまった。。。。凹○ｺﾃﾁﾝ あ、そうそう。 どうやって感染したかというと、ほぼ毎日アクセスしているデジカメのサイトへ行ったら、 デジタル関連の認証窓が出てきて、そいつをクリックしたら感染でしたね。 普通のサイトでしたので、油断してました。 他の方が興味本位で行って感染するとかなり大変だと思いますので、 どこのサイトかは書きませんけど、 「安全な認証を得たなんちゃらです」って窓が出ても、クリックしないことですね。 いやー、参ったけど、とりあえず一件落着です。
|
トラックバック（1）
トラックバックされた記事
「Your computer is infected!」…って！もうええっちゅーねん！
こちらは「ウイルスにやられているみたいなんですが」というお客様。「ウイルス対策ソフトが何度も反応しますし、変な英語のメッセージも出るんです」これはもう、一も二もなくお伺いですね。お伺いしてみると…。
2009/8/9(日) 午後 8:01 [ パソコントラブル出張修理・サポート日記 ]
トラックバック先の記事
- トラックバック先の記事がありません。
芸能人・有名人の新着記事
♪
2008/2/28(木) 午前 6:25 [ doo*_*ooo_m*oo ]
お疲れ様でした。うちもＰＣ３台ウイルスでやられましたわ。。。
2008/2/28(木) 午前 7:32
おお・・・・大変だったのですね＞＜自分にはさっぱり分かりません、、、変なのは開くなって事ですね。
2008/2/28(木) 午前 8:09
ウイルスソフトオワットル(；´Д｀)完璧なのが欲しいですな。
2008/2/28(木) 午前 8:49
dooo_oooo_moooさん、こんにちは。
本命ちゃん、ずいぶん下がりましたね。
とりあえず、そろそろ追加しようか考え中。
ガハハ♪
2008/2/28(木) 午前 10:20
Naokiさん、再びこんにちは。
ウイルス駆除は体力的にも疲れますが、精神的に疲れますね。
３台もかかるとイヤになりそうですワ。
2008/2/28(木) 午前 10:21
ふぉれさん、再びこんにちは。
んー、今回のウイルスは詳しく感染の課程を検証していないんですけど、
たぶん、ＩＥのセキュリティ設定で
「スクリプトレットの許可」か「署名されたActiveXコントロールのダウンロード」の
チェックがオンになっていると、サイトへアクセスした瞬間に感染すると思います！
私はダイアログを表示するようにしていたんですけど、
普通のサイトだったので油断したところをやられました。
あのサイトはそれなりにアクセスあるので、たぶん感染者はかなりいるとおもわれま砂。
「変なのを開くな」ってのはもちろんなんですけど、
このあたりの設定も完全に用事のあるサイトでない限りは拒否したほうがいいかもしんないですね。
2008/2/28(木) 午前 10:21
ヒロポンさん、こんにちは。
たぶんですけど、今回感染したウイルスは、最近作られた亜種っぽいんですよね。
ウイルス本体の名前は、海外のサイト検索でヒットするので、
そこそこ昔から存在するようなんですけど…。
基本的にノートン君が一番手堅いアンチウイルスソフトなんですけど、
それでも作られたばっかの亜種にはまだ対応していない感じでした。
まぁ、いたちごっこの世界ですので、自分でスキル付けるしかしょーがないですよ。
2008/2/28(木) 午前 10:22
ナイショさん、こんにちは。
ナイショ連コメありがとうございます。ｗ
自分のスキルで駆除できるかどうか不安でしたけど、
ノートン君がダメな時点で「やるしかない状態」でしたからね。
レジストリは確かにデリケートな部分です。
ただ、イジりやすい部分と、イジれない部分が判ってくると、
そんなに怖がる必要はないと思います。
その他の内容のレスは、後ほど、そちらへ…。ｗ
2008/3/1(土) 午前 11:02
こんばんわ、私も同じようにウイルスにやられてしまいました。で、同じように駆除しようとしたのですが、braviax.exeをC:\WINDOWS\system32の中から削除できないんです・・・タスクマネージャー上でも常駐していない ？レジストリからの削除はうまくいったんですが、どうすればよいのでしょうか（悲）
2008/3/10(月) 午後 9:11 [ aroan ]
aroanさん、こんばんは。
やはり、このウイルスは感染した人が多い気がしますね。
んで、本題。
ウィンドウズ起動時に「Ｆ８」を押して「セーフモード」で起動していますかね？
そうしないと駆除できないことがあるかも（亜種かな？）です。
私はノーマルモードのまま、タスクマネージャーから強制終了できました。
んで、C:\WINDOWS\system32を開いて、
braviax.exeとwinivstr.exeをエクスプローラー上から削除してます。
あとはREGEDITを起動して、braviax.exeとwinivstr.exeをレジストリ検索をかけて削除。
さらに、エクスプローラーから「感染したであろう時間帯に更新されたファイルを検索」し、
怪しそうなファイルはすべて削除しました。
とりあえず、ここまでで出来ないことが出てきたら、またカキコして下さい。
判る範囲＋時間があれば、お答えします。
2008/3/10(月) 午後 9:22
あ、あと、ＩＥの「許可した認証」のなかから、あやしいものも削除しています。
2008/3/10(月) 午後 9:24
こんばんわ、セーフモードにしてbraviax.exe、winivstr.exe、WinReanimatorの語句で検索して全部削除できたのですが・・・あと感染した時刻頃の不明なものも消したのですが、タスクバー（右下）の赤×マークが消えず、数十秒おきに英文のバルーンが、はぁ。何かが削除できていないようです。
ＩＥの「許可した認証」って何でしょうか？不勉強ですいません。いろいろ教えていただいて感謝しています。またチャレンジしますので今日でなくても結構ですので、思いついた解決策があればご教授ください。よろしくお願いします。
あっ、また「ぽっ」とバルーンが・・・（苦笑）
2008/3/10(月) 午後 10:41 [ arowan ]
arowanさん、再びこんばんは。
あー、間違いなくbraviax.exeですね。
http://blogs.yahoo.co.jp/nyohohooon/52294032.html
ここに他の方も書いて下さった「ファイルなし亜種」のパターンかもしれません。
レジストリに書かれて潜んでいるようですので、やっかいですね。
このパターンは自分では駆除していないので、
上記の方が参考にされたサイトを見てみてください。
あ、もし差し支えなければ、
タスクマネージャーの起動ファイルリストを見せて頂けないですかね？
ファイル名を変えてウイルスが潜んでいそうな気がしますので…。
2008/3/10(月) 午後 10:57
で、ＩＥの認証は私の言い方が悪かったかも…ですね。
インターネットオプション→コンテンツ→真ん中辺の「証明書」を選んで、
「中間証明機関」だったか「信頼されたルート証明機関」のところに
有効期限が異様に長くて、フレンドリ名だったか何かがあやしかったもののことです。
2008/3/10(月) 午後 11:02
でも、これは右下の赤い×の実行ファイルではないので、
根本的な解決にはならないと思います。
あくまでも、また特定の悪意のあるサイトへ行ったときに、
再び感染することを防ぐためだけですね。
2008/3/10(月) 午後 11:05
明日早いので、以降は明日夜にします。取り急ぎお礼を、親切かつ詳しく教えていただきありがとうございました。
追伸。
IEの件、良くわかりました。
タスクマネージャーの起動ファイルリスト？？？はどこでしょう（苦笑）すいません。
あっ、また「ぽっ」とバルーンが・・・
2008/3/10(月) 午後 11:37 [ arowan ]
arowanさん、またまたこんばんは。
タスクマネージャーのファイルリストも、言い方が悪かったかも…です。（＾＾ゞ
「ctrl」+「alt」+「Delete」を押したときに出てくるタスクマネージャーの
「プロセス」で出てくる実行されているファイルリストです。
言い換えれば、ここであやしいプログラムを
モグラ叩きのように「プロセスの終了」で強制終了させて
ウイルスを見つけるってのもアリですね。
またここのリスト内のプログラム名（(¬_¬)ぁゃιぃ ものから順に）をyahoo!などで検索かけて、
新種のウイルスでないかを調べるのももうひとつの手です。
私のときは、ここにbraviax.exeがデーンっと居座ってましたけどね。ｗ
あと、削除したと思っても、別に本体があってまた復活している…なんてことも考えられますので、
もう一度フォルダ内を確認するってことも大切だと思います。
判る範囲でご協力しますので、がんばって下さいね。
2008/3/11(火) 午前 0:40
にょほさん、こんばんは。昨日は遅くまでお付き合いいただき本当にありがとうございました。
昨晩の最後のご指摘の、タスクマネージャー「プロセス」リストで怪しいプログラム「taskmgr.exe」を見つけてyahoo検索したところ、ウイルスである旨の記述がありました。
セーフモードにして検索しbraviax.exe、winivstr.exeを再度削除し、復活していたWinReanimatorも削除。さらにtaskmgr.exeを削除した後に、beep.sys、cru629.datを発見し削除。その上でレジストリ検索で上記のすべてを削除しました。
祈りつつ、通常モードで再起動・・・・やりました！！！赤×マークが消えています！もちろん「ぽっ」という音や「バルーン」も出てきません。ふふふふ（達成感ありますね）
本当にありがとうございました。にょほさん、感謝感謝です。
2008/3/11(火) 午後 9:45 [ arowan ]
はじめまして。
私も変な認証窓をクリックしてこのウイルスに感染しました。
検索からにょほさんの書き込みが見つかり、おかげ様でバルーンを消すことが出来ました。ありがとうございます。
しかし、バルーンを消す（ウイルスを駆除？）までは出来たのですが、原因となった自分が認証してしまった証明書がさっぱりわかりません。
もっとも有効期間が長いのが中間証明機関のRoot Agencyで（２０４０年）、フレドリ名はありません。
怪しい証明書に関して、もう少し教えていただけると助かります。
お時間があるときによろしくお願いします。
2008/3/12(水) 午前 0:18 [ ばった ]
arowanさん、こんばんは。
おぉ、駆除おめでとうございます。ヽ(´ー`)ﾉ
ウイルスっていう未知なものを
退治できたことに対しての達成感は私もよく判ります。
お疲れ様でした。m(_ _)m
2008/3/12(水) 午前 0:49
んで、「taskmgr.exe」ですけど、
C：\Documents And Settings\＜ログオン中のユーザ名＞\
にあったヤツならウイルスですけど、windoes\system32の中のヤツは、
ウインドウズに元々あるヤツで必要です。（＾＾ゞ
同じように「beep.sys」も、system32\driver
だったかにあるヤツは、元々あるファイルです。
このあたり、元々あるファイル名と同じ物が、
別の場所（フォルダ）に保管されてウイルスとして動くパターンなんですよね。
まぁ、無くてもウインドウズは動くファイルですけど、
何でもかんでも消してしまえばＯＫってモンでもないのでそこら変は注意が必要です。
なにはともあれ、駆除、お疲れ様＆おめでとうございました。m(_ _)m
2008/3/12(水) 午前 0:50
ばったさん、こんばんは。
おっと、またまた感染された方がいらっしゃいましたか。
駆除、お疲れ様でした。m(_ _)m
で、認証ですけど、
まず「認証」に対する基本的な考え方として、全部消しても問題ないんですよ。
本当に必要なところへ行ったときに、また認証を聞かれるだけですのでね。
そのときに、必要だったら認証すればいいだけ。
ですので、あやしきものは全て削除でＯＫだと思います。
んで、2040年のヤツ、私のＩＥにもあった記憶があります。（苦笑）
この関係（フレンドリ名がない）が、ウイルスを進入させた認証でしょうね。
削除ってしまいましょう！
2008/3/12(水) 午前 0:51
にょほさん、こんばんは。
早速のお返事ありがとうございます。大変参考になりました。
フレンドリ名がないものと、次いで有効期限が長めなものたちを削除してみることにします。
遅くにありがとうございました。
2008/3/12(水) 午前 1:05 [ ばった ]
ばったさん、こんばんは。
たぶん完全駆除まであと少しですね。
ちなみに私は、ウイルス本体、レジストリ、認証、javaまできちんと削除して、
再び感染したサイトへも行ってみましたよ。(￣ー￣)ﾆﾔﾘ
もちろんスクリプトをオンにしなければ、感染しないことを確認しました。（＾＾ゞ
ひとりでも多くの方が駆除できていれば幸いです。
2008/3/12(水) 午後 10:09
にょほさん、こんばんは。
必要なものまで削除してしまうとは・・・知識の浅いものにとって
ウイルスとの戦いはシビアなものがありますね。
ウインドウズは何とか動いていますけど、これで動かなくでも
なれば、いよいよリカバリーディスクの出番でしょうか、
うーーん、そうならないことを祈るのみですね。
また、困った特には助言お願いするかも知れません。
そんな時にはぜひ見捨てずお助けを、お願いします。
2008/3/12(水) 午後 11:30 [ arowan ]
arowanさん、こんばんは。
beep.sysは、「ピー」ってならすためだけのファイルだったはずですので、
無くてもピーっていう音が出ないだけです。
まったく問題ないかと…。
問題はtaskmgr.exeで、これこそがウイルス達を強制終了させた
「タスクマネージャーの本体」です。（＾＾；
これは無くてもウインドウズは動きますけど、
何かあったときの切り札として使うソフトですので、あったほうがいいです。
他のＰＣからコピペして持ってくるってのもアリだと思いますけどね。
やったことないので、何とも言えませんけど。。。。。
taskmgr.exe関連のレジストリを消していなければ大丈夫だと思います。
あ、時間がある限りはつき合いますので、がんばって直してみましょう。
2008/3/13(木) 午前 1:07
にょほさん、こんにちは。ようやくtaskmgr.exeを他のＰＣからコピーして持ってきました。その後コピペの場所が違うようでぜんぜん起動しなかったのですが、いろいろコピペしなおしてるうちに・・タスクマネージャー起動しましたよ、やった。私のはXPで、コピーしてきたのはビスタだったのでダメかと思ったりしましたが、いけました。本当にご助言無しではここまでこれませんでした、ありがとうございました。
2008/3/16(日) 午前 9:49 [ arowan ]
arowanさん、こんにちは。
おー、タスクマネージャー復旧できましたか。
おめでとうございます。m(_ _)m
ウイルスの中には、ファイル名を偽装して動いているパターンがありますので、
「何でも削除すればいいというものではない」ってことだけ覚えていれば、
次の時はうまく対処できるのではないか…と思います。
ポイントは、エクスプローラーでファイル検索をかけたときに、
２箇所以上の場所に同名のファイルが出てきた場合が要注意なときです。
まぁ、もっと悪意のあるウイルスなら、
ウインドウズに元々あるファイルを書き換えてしまうケースもあるかもですけど…ネ。（苦笑）
まぁ、今回のことは結果オーライですので、「いい経験」と思いましょう。
しかし、未だにシマンテックもトレンドマイクロも、このウイルスへの対応なし。。。
高いお金を取って、何やっているんだか… ┐('〜`；)┌ ですね。
2008/3/16(日) 午前 11:11
はじめまして。
突然お邪魔させていただいたのは、実は私もつい昨日同じやつに感染しようやく駆除したところだったんです・・・。
こちらのページのやり取りが本当に参考になり、ようやく駆除できました。こちらのページがなかったら本当にお手上げでリカバリーするしかなかったと思います。
どうしても一言お礼が言いたくて突然お邪魔してしまいました。
ありがとうございました。m（_ _）m
2008/5/5(月) 午前 11:02 [ ねこ ]
ねこさん、こんばんは＆初めまして。
あのウイルスは感染してしまった方が多そうですね。
何はともあれ、駆除お疲れ様でした。m(_ _)m
こうして書き込みをして頂けると、こちらも嬉しいモンです。
一人でも多くのひとの参考になっていれば幸いです。
2008/5/5(月) 午後 7:40