畜生バックドアにやられた。

PC所有歴6年で初めてバックドア系ウィルスにやられた。
症状
複数のsvchostが常駐してどこかにアクセスしようとする
(ゾネで蹴ってる)
IEのトップページが得体の知れないサイトに
(DonutPの検索窓使うからいいけど)
謎のショートカットがデスクトップに
regeditが起動しない
WMPの関連付けが消えた

AVGアンチウィルス使用。
検知はできたけど、駆除の仕方がわからない
（隔離したらそれ以降検知しなくなったが、症状は出る）

---

from j102212.ppp.asahi-net.or.jp 61.213.102.212

終わりだね、ここ(^^;ﾜﾗ

鼻毛伸びてるぞ (　´,_ゝ｀)
↓

三沢さん

バックしたい
ﾊｧﾊｧ

よかったね

畜生バイアグラにやられた。

再インスコしかないかね(Win2k)
システムだけ上書きするインスコってないの

ひっかかったファイル全削除しろ

漏れもタスクマネージャみるとsvchostが四つもある
どれ消せばいいのかわからん

おまいらきねんぱぴこしてってよ(´･ω･｀)

毒男板からきました！！
http://love3.2ch.net/test/read.cgi/sfe/1085192848/

トロイの木馬と
バックドア

ってどう違うの？

FDISK 汁

コマンドプロンプトから
net stop HackerDefender100
って打て

畜生にバックからやられたに見えた

バックベアード

>>12
馬とドア

>>10
それはWinのシステムじゃね？
大文字のはヤバイらしいが。

>>10
俺は5個だった。

システム3個
ネットワークサービス、ローカルサービスが各１個。

svcはクソゲー

サッサーウイルスと違うの？

キンタマだろ
ｎｙ厨が！

火事の時のあれかと思ったよ

コイズミジュンイチロウ

>>1
タスクマネージャで怪しいの切れよ。

svchost.exeって複数起動してるとおかしいの？　俺のもそうなんだが

ものすごい初心者のど素人だね。

>>25
怪しいのはアクセス拒否される。

>>14
サービスが制御機能に応答しません。

NET HELPMSG 2186 と入力すると、より詳しい説明が得られます。

と返された。

>>26
普通

svchostが3つ立ってるけど、ノートンでは検出なし
正常なんかな。

C.W.ニコル

ふらっとばっかー

Windowsなんぞいったん消してしまうのが一番手っ取り早い。
データは全てCドライブ以外に。
いまどきはHDDもたっぷりあるんだから、よく使うアプリの
インストールCDもイメージ化してHDDに入れておく。
Windows再インストールしたら、HDDからDAEMON Toolsなどで
アプリを再インストール。これ最強。

スパイウェアとキンタマの仕業だろ
釣り？

>>29
どうもありがと

>>30
おれのは５つだ。うらやましいだろ。

svchostが一個しかないけどこれはもしやウイルスですか？

>>28それでregeditが起動できるようになるし、
隠されてたプロセスも表示されるようになってるはず。けしまくれ

>>27
うるさいやいヽ(`Д´)ﾉ
リンクをjavaで書いてるサイト多すぎでオミトロン切ってたらやられた。
悔しい。

svhostとsvchostってのがあるな。

ルータ買わない奴は貧乏人

とにかくトリプルクリックだ
話はそれからだ

＞1
ココに行けばお友達がたくさんいらっしゃいます

ttp://pc5.2ch.net/test/read.cgi/pcqa/1084800180/

>>39
それ，ﾌｫｰタイムスK1ﾁｬﾝﾋﾟｵﾝだよ

これキンタマじゃないよ
うｐろだとかに張ってあるだけで感染するやつ
漏れも前引っかかって駆除にえらい苦労した
一番楽な解決策はXPの復元機能で昨日とか一昨日とかの
感染してない日付に戻せ

分からないなら再インストールすればいいじゃない

>>19
俺も同じだ。たぶんそれで正常なんじゃないかな

心配なﾔﾂは
Windowsキー(左下のCtrlキーのとなり)を押しながら
E キーを5〜10秒程度押しっぱなしにしろ。

w2Kなら３つかな普通

>>44
まったく同じ状況
ν速のリンク踏んだらやられた。どんなサイトかは忘れたが。
OS2kなんだよな。しかも起動しっぱなしで1週間ぐらいたっちゃったし。

JAVAアプレットはローカルディスクにアクセスできないだろ。

http://www.atmarkit.co.jp/fwin2k/win2ktips/400svchost/svchost.html

svchostが5個あるんだけど
チサマ等、何個だよヽ(`Д´)ﾉ

あ、４個だった。

>>48
2000は3個XPは5個

shiftを連打しろ

Backdoor Man を訳せ

オレもこの症状が昨日でて半日かけて直した。
Meたんはシステムの復元も苦手だから参ったよ。

>>56
やらないか男

2000、XPってアップデートしててもこのテのかかるの？
いや、2000にしようかなと思ってたトコで、現在Me

ユーザー名がSYSTEMになってないSVCHOSTがいたらアウト

　　　　 ,／””　　　”ヽ
　　　,/　　 ＿＿ ＿　゛
　　 /　　 /““　 “”　ヽ |
　　 |　　 / -━　　━.| |
　　 |　　 |.　 “”　ｌ　“ .|.|
　　 （ヽ　| 　　ｒ ・・ｉ. 　||　　　　
　　　りﾘﾘ　　/=三t.　｜　　
　　　｜ﾘﾉ.　　　　　　｜　　
　　　 |　　 、　 ｰ- ' ﾉ　　　　　
　　　｜　　　”ｰ-- '｜

ActiveX は切っておけという事だな。

む、少し修正
今ログインしてるアカウントのSVCHOSTがいたらアウトか

現状。

>>14を実行。

タスクマネージャからsvchostを全て切る。
4つのうち、異常にCPU時間の長かったプロセスが一つ切れた。あとはアクセス拒否。
TClockのCPU使用率グラフがおとなしくなった。それまではものすごい勢いで乱高下してたんだが。

さて、どうしてくれようか。

家が燃えたバックドラフトにやられた。

元スクリプトは同じでアチコチに悪意で貼られてるから要注意
拡張子はjpgのもある

セキュリティ意識の低いスレだな

format c: は魔法の合いことば

走行していると、
路肩に停車している後部座席のドアが開いて・・・。

何が原因で感染したの。

>>68
どしろうとが。

>>64怪しいプロセス全部落としたらＳＰＹＢＯＴをインストールして根こそぎ潰せ。
このウイルスに感染してると半角でＳＰＹＢＯＴとか打っただけでIE落ちるから史上最悪。

最近某画像掲示板に、この手の物がしかけられてたな。

エロサイト見てると、ノートン先生がウィルスみつけて勝手に捨てることが最近多くなってきた。

>>72
最近のはセキュリティ関連のサイトには行けない仕掛けがしてあるんだ

どれどれ　SPYBOT

ＳＰＹＢＯＴ

ここで全部"Blocked"にならないやつは池沼

ttp://scan.sygate.com/prequickscan.html

漏れも　SPYBOT

>>72
SPYBOTは入れてあった。
コイツ、SPYBOTの文字列があるフォルダやファイルを隠匿しやがる。
今起動してスキャン中。

dd if=/dev/nullﾎﾟ of=/dev/hda

>>68
バルス

バックドアにやられた。

マッピー？

漏れはブラウザの表示速度が以上に遅くなった。
３０秒で完全表示のサイトが５分立っても文字しか表示されない。
ファイルのＤＬ速度は変化なし。

SPYBOT　うわっあｑｗせｄｒｆｔｇｙふじこｌｐ

>>78
一番下のICMP ってのだけOPENになっちまったorz

ウェブをアクセスしただけで感染させる方法って何だろう？
JavaアプレットやJavaScriptは関数自体が存在しないし
Cookieの読み書きで感染はしないだろうし。

おい、１．ＡＶＧで検知したんなら、ウイルス名がわかってるだろ。
そのウイルス名を晒せよ、物凄い勢いで。
そのウイルス名を検索エンジンにかければ駆除方法の載ってるサイトが見られる。
たぶんウイルスがそういったセキュリティーのサイトへのアクセスを拒否するから>>1は見られないと思うが、
俺が内容をコピペしてやる。

>>87
一度踏んでみれと言いたいところだが
修復が超大変だから言わない

>>87
まぁ漏れも含めそう思って安心してたらマジでやられた
なんだかしらんが出来てしまうのは間違いない
どっかにまとめページあったはずだが忘れた

>>78

Testing . . .
Testing . . .
Testing . . .
.
.
.
うほっ、イイ男。

>>78
ルーターだけで全部ブロックした

>>89
ローカルディスクにウィルスプログラムを保存させて
それを実行させるスクリプトってそうは無いだろ

>>88
Trojan horse BackDoor.Hacdef.Cだ
今ググったがどうにもね・・・・

SPYBOTでスキャンかけたがcookieばかりヒットした。
Win2kのレジストリで自動起動が書いてあるエントリってどこだっけ。

>>93
以前あったIEのバグを利用して実行させる形式なんだけど
修正済みのIEでも感染して発症してるんだ

>>80ちなみにWMPの実行ファイルそのものが全然違うウイルスファイルに置き換えられてる可能性あるから、
ＷＭＰ再インストールすることをお勧めする。
program Filesを更新日付でソートして、書き換えた覚えの無いソフトが下の方に来てたら疑え

ActiveX なら可能だけど

漏れのバックドアもやられそうです。

>>78closedが結構あるんだが、これは無問題？closedが１２ある。
残りがblock!

エロサイト巡回するのが日課な俺はノートン＋spybot＋ad-aware＋ルータで完璧だぜ

ヽ(`Д´)ﾉ
俺も5つちゃんとあったぞ＜XP

　　　　↓バックからドアにやられる
.　　　＿＿__
　　　| |・∀・|　／⌒⌒ヽ
　　　| |＼ 　|`ｲ　 ノハぃ）　ｶｸ
.　 (( |_|＿ｨ⌒`｣ ‖' ､ ｿ|
　　　 ノ と､_入`_,つ λ う
　ｶｸ

おまえら馬鹿なんだから素直にOｐｅｒａなりネスケなりつかってろよ

6年もエロ集めだけしてると>>1になります

バック好きな女って多いよな
いやマジで

Hacdefでググレ　

バックで逝くのは相手に失礼だと思う

>>72
>>76
>>77
>>79
spybot 半角でって書いてあるけど、俺釣られた？

なぁ、ﾙｰﾀｰが回線とPCの間に入ってればﾙｰﾀｰが勝手に弾いてくれるんだろ?

ちなみにﾎﾟｰﾄは殆ど閉じてる

どれどれ


spybokki

>>102
ﾜﾗﾀ

>>78
ICMPがOPENになってる。orz

4つしかねーよXP

spybottotto

SPYBOTでチェックしたら２個見つかった・・・・
最近エロサイトなんぞ見てないに・・・
てことは２ちゃんからアクセスしたサイトでやられた、って事か？

>>1
regedit使えないのはつらいねえ。
セーフモードで起動してみな。
regeditが使えるようになるから。

詳しくは、symantecのサイトを見るがよろし。

怪しいサイトにIEで行くこと自体知障行為。

ＩＣＭＰってオープンにしとかないと、windows updateとか対応できないんじゃないの？

バックドアってアナルのことだろ？

これなあ。
http://higaitaisaku.web.infoseek.co.jp/removehacdef.html

>>116
今裏で動いてたサービスを停めてregedit起動中
どのエントリを消せばいいんだ？

hacdefあんまり情報ないなあ。
とりあえずセーフモードで起動してＡＶＧと、スパイボットスキャンは試したか？

>>115
SPYBOTの1.3はバグがあるから注意！誤検出する！

勘違いいてた。
>>77は全角か

>>117
何で行ったらイイ？

svchomo.exeって消していいの？

WindowsUpdateがIEでしか出来ない理由を考えれば
IEが如何にデンジャーなブラウザであるか解る筈だよね。

>>78
ほとんどCLOSEDなんだが・・・ｗ

ttp://rd.vector.co.jp/soft/win95/util/se246031.html
タスク管理ソフト

とりあえずmsconfigでスタートアップのチェック全部はずせ

適当

重症の場合は再インストールが吉

>>122
試したんだが、セーフモードでAVGは起動しなかったような。
regeditも同じ。

S　PYBOTはcookieしか検知せず。

俺なんかOS起動時にexplorerが2個起動してしまう
ちなみに2k

>>133
>>130

ファイル名を指定して実行を選んでmsconfig
サービスのタブを選んで、マイクロソフトのサービスを隠すにチェックして、
マイクロソフト以外のサービスの起動を全部とめてみたら？
ま、これだけじゃ復活するけど。
コントロールパネル→管理ツール→サービス→で怪しいサービスを全部無効。
でもとめちゃいけないサービスもあるから危険。
サービスの説明が英語で書いてあったり、何も説明がなかったら怪しいかな。
よくわからなかったらやめとけ。

>>132
ん？
セーフモードでregeditは起動するぞ。AVGは使ったことないのでしらんが。

昔はリンクなんて踏めなかった。
半年ROMって、1年くらいしてようやく踏んだ。
今は反射的に踏んでるから気をつけなきゃ

msconfigって9x系だけじゃなかったっけ？

おい、>>1このサイトは見れるか↓これは、どうよ？
http://www.symantec.com/region/jp/sarcj/data/b/backdoor.hackdefender.html

>>139ごめん、これ、関係なさそうだった。

レジストリのエントリにこんなん発見。

C:\WINNT\svhost.exe -sr -0

コイツかぁ？

完璧に消す方法を教えます

Ctrl+ESCを押す
Rを押す
cmdと入力しエンタ
format c:と入力しエンタ
yesかnoかきかれるからｙを押す

書きかえられるファイルや症状は詳細に説明されてるが
ウィルスの感染方法が記載されてないのは腑に落ちないなぁ。

２０００ってシステムの復元機能とかないのか？

MEとXPだけかな

>>144
あれはmeから

regedit の exe ファイルを削除しやがるやつも中にはあるから注意

http://firedragon.homelinux.com/moelabo/imgboard.cgi
ここ踏んでいろいろうぃるす貰った。まじお勧め

今時バックドアなんてまだあったんだ

ウイルス・トロイのたぐいはたいていrunとかrunoneceセクションに
おかしなスタートアップコマンドが入ってる

>>1がこのスレッドにこなくなったときは、いじってはいけない場所をいじって、
戻れなくなったとき。
泣きながら再インストールしてるんだろうなあ。
無事帰還することを祈る！

>>148
得体の知れないプラグインをインストールしようとさせてるね

再インストールは月１回。MEです。
いつもきれい。

まぁ素敵なOS

俺なんてフロントドアに感染しちゃったよ
なんか2chとかいうと所に接続されてる

俺も　>>78　やったら、>>112　みたいに
「ＩＣＭＰがＯＰＥＮ」って、なったんだけど？
やばいのかな・・教えてエロエロな人！

HackerDefでレジストリ検索かけたら出るわ出るわ・・・・・

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\SafeBoot\Minimal\HackerDefender100

これってセーフモード時もサービスとして起動するって意味かなぁ

>>78
UPnPとICMPがOPENだった。

俺の車の事かと思った
バックドアとフェンダーの間をピンポイントでバットか何かで凹まされた
カーコンで聞いたら修理代2倍近くかかるらしい

初任給消えた・・・

ん？regedit起動しないのにレジストリ見れるのか？

僕の彼女のパンツはＴフロントパンツですが

>>156
pingに反応するだけじゃね？

ボットとアドアウェア掛けたら百個以上見つかった。

ICMPがOPENになってるってのは
釣りなのか？

>>160

>>14をやったら起動するようになった。

HackerDefenderを含むエントリが削除できねえ・・・・・。
「サービス」も起動しないし・・・まだ怪しいプロセスがあるってか。

>>78
ノートンが反応した

ＰＣ初心者板とか、ネットセキュリティー板にもでかけて、重複スレッド立ててみたら？
ここにいても>>1を救済できる知識のある神は現れないだろ。
なんかかなり凶悪なトロイみたいだし。

>>166ポートスキャンだから、反応するよ。
ポートスキャンをブロックする機能がついてる。

>>78
WEBとIDENTがCLOSEDだった・・・
これはもうダメかもわからんね(´･ω･`)

http://pc5.2ch.net/test/read.cgi/pcqa/1065082687/l50
ｸﾞｸﾞったら出てきたけど、同じ症状？読んでないからｼﾗﾝけど。

>>168
俺漏れも

とりあえず
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\svhost.exe -sr -0　と
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\svhost.exe -sr -0 を消した。
こんな引数引くsvchostは他にないので多分コイツかなと。
一回落ちてsafemodeで起動してきます。んでわ。

出川つまらんうざい氏ね

復旧方法を教えるより、なぜ感染するかを考えた方が>>1の為だよ。

>>167
そんなことしたら、　マルチうざい　単発質問スレ立てるな　>>1は氏ね

って言われてしまうよ

まぁ復旧しても同じことすりゃすぐ元通りなわけだが

ヌー即でリンク踏んで海外エロアプロダに飛ばされたら似た様な状態になった。
ブラウザ立ち上げたら勝手にどこかにアクセスしようとする。
スパイボットとノートンでスキャンかけたて削除したら治った様な気がする。

>>162
て事は進入できる？

ぶっ壊しゃいいじゃん

スタート→ファイル名を指定して実行→taskmgr.exe
プロセスの部分にcsrss.exe smss.exeがある場合プロセスの終了

上上下下右左右左ＢＡ

フフン。おれはちゃんとＩＣＭＰもＩＣＰＯもＩＣＢＭもブロックしてるぜ！

>>180
一生、ILOVEYOUもブロック乙

つまりだ。こういうウィルスって言うのは正常なファイルの”振り”してるのが多いから、
とりあえずはタスクマネージャ見て頭文字が大文字になってるのは怪しい。
SystemとSystem Idle Process以外でそうなっているのはとりあえず全部プロセスを終了させろ。
別にシステムがおかしくなったりとかは絶対ないから。

>>178終了させちゃいけないプロセスを書くな

つかそもそもサービス使ってＯＳ乗っ取って、都合の悪いファイルやプロセスは表示させないようにするから超厄介。
タスクマネージャにも映らない。

１が帰ってこないところを見ると、
いろいろいじくりすぎてパソコン自体が起動しなくなったりとかしたのかなあ。
可愛そうに。