初心者質問スレッドpart18

Backdoor.Trojanというトロイに感染してしまったのですが
ノートンで検疫したあと、誤って検疫ファイルごと消去してしまいました。
もうＯＳごと再インストールするしかないですか？

>>496
ここの駆除方法を見る限りでは検出ファイルは全て削除するとなってるね。
そんなやばいファイル消したん？
http://www.symantec.com/region/jp/sarcj/data/b/backdoor.trojan.html

>>497
おれもそこ見ました。
そうなんですよ・・・消しちゃったから関連してるファイルが一切わからなくて・・

この辺を消しておけば確実っていうレジストリ値ってないですか？
一応バックアップは取りました

\Runと\RunServicesを全て消して再起動したら再構築されるんでしょうか？
それが可能ならそうしたいと思います

>>498
全部消すのは止めとけ。
俺ノートン使いじゃないんだが、
ログに検出した結果は残って無い？

>>499
自分で見極められなければ晒してアドバイスを待つのもひとつの手かと。
あとOSの種類とノートンのVerを書いた方がいい。

最近、定期的に広告（オンラインカジノっぽい）が開いてたんですが
今回のウィルスとも関係あるんでしょうか？
もうかれこれこの一連の問題で4時間余り苦悩しております・・・

>>502
今から見てみます。

>>503
OSは98SEでノートンはv5.0です。

ログにはテキストしか残ってなかったです。

ﾌｧｲﾙ
C:\My Documents\tool\haktek-j\haktek.exe
は Backdoor.Trojan ｳｨﾙｽに感染しています｡
このﾌｧｲﾙは検疫されました｡

505もおれです。
今ふと思ってhaktek.exeで検索をかけてみたところ、
http://pc.2ch.net/sec/kako/1021/10211/1021137509.html
このスレの756に同じのに感染した人がいました。
761を見る限りでは大したウィルスじゃないようですが・・・

>>505
一応regeditでRun&RunServiceを覗いて
haktek.exeを参照するものが無いかチェックだ！

被害も今のところ>>503に書いたようにポップアップの
広告が開いていただけなんですけど、やっぱり不安なんで
ノートンは定期的にかけることにして、もし次回また見つかったら
そのときは今度こそレジストリ削除をして完全に安心という形にしておこうと思います

>>507
今確認してみました。無いようです。
少し前にも、もう一度ノートンかけたんですけどそのときも何も出ませんでした。
多分もう大丈夫そうです。ありがとうございました

>>496 >>509
念のため、電源を完全に切っといた方が良いですよ。
メモリに生き残ってたら復活する危険がありますから。

ウィルスバスターにも引っかからなくて、疑問なんですが、
Thumbs.dbというデータベースファイルが作成されていて、
ＨＰをアップするフォルダにいつも入っているんです。
削除は、ＦＴＰソフトで転送する時と、ＨＤＤ検索して出てきたときで、
「隠しファイルを見る」で、見ようとしても見つからないんです。
ウィルスバスターに解析依頼を出しましたが、
ウィルスなし、の判定ですた。
なんか怖いんですけど、わかる人いますか？
（スレ違いだったらごめんご）

>>511
文章がわかりにくいですね。そのThumbs.dbファイルはどういう時に
見れて、どういう時に見れないのかわかりません。
それからＦＴＰソフトが何かわかりません。（聞いてもFFFTP以外は
わかりませんけど）
もしかしたらＦＴＰソフトかプロバイダーの関係で出てくるTemporary
ファイルの類ではないでしょうか？
心配なら無料版アンチドートでチェックされたらどうですか？
http://www.vintage-solutions.com/Japanese/Antivirus/Super/index.html
まず、一番上のボタンを押して「コード解析」「圧縮ファイル」「メール
検索」にチェック入れてスキャンしてください。それから最初の
画面に戻って上から３番目のボタンでレジストリチェックしてください。

>>511
WindowsXPでは，画像が含まれるフォルダを開いたときに，
「Thumbs.db」という隠しファイルが作成される。
これはフォルダ内の画像を表示するときに利用される，
縮小画像のキャッシュだ。
ただし，隠しファイルを表示するように設定していると，
ホームページ用の画像を転送するときに，
間違えて一緒に転送してしまったりと，邪魔に思うこともあるだろう。
そのときは，キャッシュファイルが作成されないように設定してしまおう。

http://www.zdnet.co.jp/help/tips/windows/w0438.html

2002/12/15 10:28:25 IP#2: rx filtered UDP from AAA/53 to 192.168.0.10/137
これはルータのLogなんですが、
AAAはプロバイダーのDNSサーバーIPアドレスです。
こちらのNetBIOSへ向けてアタックがイッパイあります。プロバやられてますか？
それとも踏み台にされてる？　Tikitikiマンセ〜！なんだけど・・・
先日DNSサーバーを変更しろと案内されてからなんだけど。

>>514
出かける直前なんで手短に。
これではないんかい、と思いまする。試して味噌。
http://www.rtpro.yamaha.co.jp/RT/FAQ/Windows/NetBIOS-DNS.html

2000やXPなら、TCP/IPのプロパティ→詳細設定→WINSタブで、NetBIOS over TCP/IPを無効にしれば、何とかならないのかなぁ、ひょっとして。

報告希望。

5 ：J053224.ppp.dion.ne.jp ：02/12/15 10:40 ID:Hl/DvHL1







http://freeweb2.kakiko.com/dengeki/indexs.htm

今日も荒らされてるね。質問者はhttp://pc.2ch.net/test/read.cgi/sec/1038273005/l50みて
自分で判断するように。

>>509 メモリに常駐するタイプのウイルスはMSDOSの頃はあったがWinでは仮想記憶が
使われているので、メモリイメージだけに寄生することはできなく、ファイルに寄生
する必要がある。でたらめ信じて他人に吹聴しないように。(電源切るのは当然害はないが)
>>511 >>513の言っていることが正しい。

>>512
ハズレ〜。ウィルスとは関係なし。
なんでもウィルスにしたがるんだな（ｗ

>>519
そんなことはありませんよ、ただ、ANTIDOTEを薦めているだけでつ･･･

昨日、友人からどうしてももらいたい.exeをメールにて送ってもらったのですが、
ノートンがメールチェックでウイルス反応を示しました。

検疫項目にその.exeにどうやらBackdoor.Torojanってのが含まれて検疫
修復されてましたが（http://securityresponse.symantec.com/region/jp/sarcj/data/b/backdoor.trojan.html）
みると駆除方法にレジストリを参照して削除というのがあります。
一応、参照しましたが変なレジストリ情報はなかったです。
この.exe実行してませんが、実行しなければ感染してないということでしょうか？

>>521

４９６の方ですか？そうでなかったら>>496-510を参考にしてください。
心配なら無料版アンチドートでチェックされたらどうですか？
http://www.vintage-solutions.com/Japanese/Antivirus/Super/index.html
まず、一番上のボタンを押して「コード解析」「圧縮ファイル」「メール
検索」にチェック入れてスキャンしてください。それから最初の
画面に戻って上から３番目のボタンでレジストリチェックしてください。

>>521
実行してないなら気にスンナ

せっかくだからコレクションしとけ

>>523
ありがとうございます。

>474
自分は>467とは反対なんですが、
今NIS2002使ってて、FW以外の機能は使ってません。
NAVだけにして、FWは簡素なフリーものにしようと思っていますが、
どうでしょうか？

>>520
ヒント：WinXPサムネイル画像

あとは検索かけて調べよう　＞　特に薮

抜けてました。
ルーター使ってるし、ノートンのって、何かがちがちに固められてるような気がするんです。
あと、この部分だけ言えば、ZAはブロックした時に表示するのが良いと思うし、
Outpostはログが残るのが良いと思います。
(ノートンも残るけど、判別しにくそう)

>>518

>メモリに常駐するタイプのウイルスはMSDOSの頃はあったがWinでは仮想記憶が
>使われているので、メモリイメージだけに寄生することはできなく、ファイルに
>寄生する必要がある。でたらめ信じて他人に吹聴しないように。


あなたはしつこくつきまとわれてますが、嘘を初心者に言いふらすのはいい加減
にしていただけませんか？精神異常ですか？
それとも基本的な事も全く知らないのですか？

たとえば Code red やチェルノブイリはメモリ常駐型です。
http://www.zdnet.co.jp/news/0107/31/e_codered_m2.html
>Code Redはメモリ常駐型，つまりハードディスクや他の固定ストレージ装置
>にではなく，サーバの揮発性物理メモリ上に棲息しているため，サーバを
>リブートするだけでも感染は消去できる。

http://inet.trendmicro.co.jp/virusinfo/isp/howto/howto_famous.asp
> PE_CIH（ チェルノブイリ）
>「チェルノブイリ」の通称で有名なメモリ常駐型のファイル感染型ウイルス
>です。Windows 9x系のOSでのみ活動が可能で、32bit実行可能形式（PE形式）
>に感染します、特定の日付に起動されるとハードディスクやBIOSを破壊して
>しまう非常に悪質な破壊活動を行います。