Windows Live Messenger Part 5

やばいの踏んだ。

fofo http://〜 ってメッセージが来たらとりあえず踏んじゃダメ！

foto h　t　t　p://www.myspacy.biz/viewimage.php?=自分のアカウント@hotmail.co.jp

これか。exeファイル…どう見てもウイルスです本当に（ｒｙ

ウチにもきた。
なんかものすごい勢いで拡散してる余寒
注意喚起あげ

俺も踏んでしまった
窓は何も開かず勝手に閉じた
やられたわ

おいおいウイルスバスター反応しなかったぜ・・・
いろんなとこに飛び火してるみたいでメールで連絡取ってるわ

これやばいね、ウイルスか？
別スレで話題になってるパス取得型かと思って
感染した奴にパス変えさせたけど無駄だった

〜.jpgってところまでファイル名削って保存して、
起動させてプレビューできなかったんだが、これってやっぱりアウト？
再ログインで発動らしいから、一週間くらいはスタンバイで過ごすつもりだけど

これはひどいクリスマスプレゼントだぜ

うちも友人からfoto〜アドきてＵＲＬ踏んだけど露骨に怪しかったんで保存しますか？→キャンセルしといた。
とりあえず大丈夫だと思う……思いたい。

exeファイル実行したら終わりみたいね

見事にかかりました。

・・・・・酒なんぞ飲んでいなけりゃこんな露骨なexe・・・・・・

>>686-687
実行したらアウト。キャンセルしてればセフセフ。

実行しちまった･･･。
Messengerの調子悪いわ；

メッセアンインストールしたら直るかね？

とりあえずexe実行してまった人はメッセ起動しちゃだめ。
起動して1分くらいするとオンラインの全員にまたメッセージ飛ばしてしまうっぽい。

後、これのせいか
XPのセキュリティセンターが
自動更新ONにしているのに
自動更新が無効ですの警告が出てくる

見覚えのない怪しいプロセス殺せレジストリのオートランとスタートアップを確認しろ
HDDをくまなく探して見覚えのないファイルはググって安全確認
というかそういう怪しいのはVPCで挙動見るのが安全で楽しいな、ｿﾞｸｿﾞｸしちゃう
でもLAN介して家のPCひいては自分のホストOSにアクセスされたらと思うともう昇天しちゃう

ttp://www.virustotal.com/analisis/111c927143bb7dd245f88d90c59a1598
該当のウイルス詳細はこれです。

感染者がオンライン状態だと、
アドレス帳に登録しているメンバーに1〜2分間隔で例のURLを送信するようだ

間違って踏まないように、「会話ウインドウとMessengerのアドレス帳にリンクを表示する」
のチェックボックスを外しておくことを推奨する

>>695
McAfee+ArtemisとMicrosoftってマカフィーとOneCareのことでいいのかな。
だとすると

Onecareオンラインスキャン
ttp://onecare.live.com/site/ja-jp/center/howsafe.htm?s_cid=mscom_msrt

これつかって駆除できないかね？

試しにそのURL貼ってみてくれないか？
勿論間違って踏まないような体裁で

wwwがついてるのとついてないのがありますね。

>>698
>>679のhttp:のスペースを消せば例のURLになるです

これ結構ヤバいみたいだな…
ウイルスソフトで対応できない場合システム復元なりOS再インスコなりしないとダメかも

>>698
>>679のhttpからphp?=
これでなんか落とさせようとしてくる

うわあああああああああああ、なんかそのへんなやつ踏んでしまって変だから、このスレきたけど。どうやら俺もウィルス感染したようだ。

変って具体的にどうなるの？

感染した人、症状を教えてください。

あと、
リンク先をクリック⇒ダウンロードで
*.comファイルが落ちてきたと思うんですが、
クリック時点で感染なのか、ＤＬ⇒実行で感染なのか知りたいです。

メッセをつかって会話ができなくなった。セキュリティ自動更新無効
ＰＣいきなり重くなった。ＰＣの音がいきなりうるさくなってる

IMG455[1].jpg-www.photo.com
っていうファイルしか落とせないんだが

自動更新を有効に出来ん
くそ

実行時点で感染。
DLは未確認。キャンセルしたらセーフ

症状はまずメッセンジャー全般の動作が重くなる。

感染後、1,2分置き程度にフリーズするくらい重くなる。このとき一瞬だけメッセージ画面の窓が勝手に開かれてすぐ閉じる。
これが何回も起きる。
よく見ると一つずつ違う相手とのメッセージを開いているためこれがウイルスメッセージ送信の動作だと思われ

>>706
それ開くと終了する

>>704

過去ログ（ｒｙ
>>686-689

.comを実行した時点でアウトっぽい

セキュリティ板ではまだ騒ぎになってないね

+自動更新が無効の警告が表示される。(自動更新のプロパティ開くと有効状態にはなっている)
ってみんなもそうなのな

飛んだクリスマスプレゼントをもらっちまったぜ。

とりあえずspybotでTrojanってやつ３つ検出された

ttp://valk.blog92.fc2.com/
対処

>>714
なんも対処法になってないじゃねーかｗ

>>712
ごうかーく

>>712
　　　　　　　　　　　 　　 　 ,_/）_
　　　　　　　　　　　　　　 （∴∴）
　　　　　　　　　　　　r"￣￣￣￣"ヽ
　　　　　　　　　　　（ ___________________）　　　
　　　　　　　　　 　r ´ 　　　　　　　　｀ヽ
　　　　　　　　＜（___________________________）＞
　　　　　　　┗━彡ミﾐ彡ﾐ　　 ミ彡ミﾐ彡━┛
　　　　　　　 　ﾐミ彡ﾐ .＼　　　.／ﾐ彡ミﾐミ　
　　　　　　　　彡ミﾐﾐ　　 .＼／　　　.ミﾐ彡
　　　　　　　　ﾐ丿.┃　　 .　●　　　 .┃ヾﾐ
　　　　　　　　　　 ┗━━┛┗━━┛

>>714
隕石が降ってくるってときに
「みんな頑張れ」と言われているようだ

ダウンロードで実行又は、保存した後ダブルクリックでcomを実行したらアウトです。
jpgリネームはビューアにもよりますが、実行してしまうと「Picture can not be displayed.」というエラーメッセージが出るので、
それが出ていない場合は感染していない可能性が高いです。

ウイルスのプロセス名はfxstaller.exeとimgs.exeです。
fxstaller.exeの場所は%WINDIR%\fxstaller.exeです。
fxstaller.exeは72.52.198.177(host.karimradi.com)とTCPセッションを張ります。

%WINDIR%\fxstaller.exeが無ければセーフです。これは実行した瞬間に生成されています。

とりあえず試しに感染したがfxstaller.exeってのがスタートに登録されるね。

まずタスクマネージャを起動してプロセスを表示
fxstaller.exeを終了後

レジストリを起動してスタートアップ
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
に登録されたWindows Udp Control Center：fxstaller.exeを削除

その後ＯＳをインストールしているドライブで
fxstaller.exeを検索(隠しファイルを表示にチェック)
とりあえず削除

自動更新とか細かい事は判らんから偉い人に任せる。

じゃ

とりあえずもっと簡単な方法のコピペはっとく

foto
ttp://xxx.myspacy.biz/[email protected]

こんな具合のURLがメッセンジャーで誰かから送られてきていませんか？
これはウィルスに感染するサイトのURLです！！

・ウィルス名
IRCBot.AKX　トロイの木馬、いわゆるパソコンをのっとれる抜け穴を作り出してしまうウィルスです。

・感染経路
Windows Live Messenger、Skype、Yahoo Messenger、ICQ　他の大手メッセンジャーツール

・特徴
ノートンを素通りする。恐らくウィルスバスターも素通り。
最近のウィルスはどれもノートン・トレンドマイクロに引っかからない構造になっている場合が多いので使うだけ損です。

・感染の有無
Internet Explorerで上記URLを開いてしまった際に、ウィルス対策ソフトが反応して停止しなかった場合は感染しています。
必ずメッセンジャー系のアプリは全て停止させてから、以下の対策を行ってください。

１、http://canon-its.jp/product/eset/trial_ess.html
NOD32アンチウィルス体験版をダウンロード（要メールアドレス）
２、LANケーブルを引っこ抜く、または無線LANをオフにしてパソコンをインターネット・家庭内のLANに接続されていない状態にする。
３、既存のウィルス対策ソフトをアンインストール
４、NOD32アンチウィルスをインストール
５、再起動後、メッセンジャー系のソフトが自動的に立ち上がっていたら全て停止する
６、パソコンをインターネットに接続されている状態にし、NOD３２アンチウィルスのウィルス定義ファイルを最新の状態にする
７、NOD32アンチウィルスでコンピュータの全ドライブを標準スキャン
８、「Win32/IRCBot.AKX トロイの木馬」が検出され、隔離されたら駆除完了

>>719-721
サンクス

とりあえず720の奴で消し去ったら今のところ大丈夫。
再起動しても問題ない。自動更新の問題も直っている

とりあえず様子見

URL踏んだけど何も起きないぞ
vistaだからか？

オフラインのメンバーにも送られてるんだろうか

>>720の方法でやったが自動更新の問題がなおらん

VISTAだけど感染した
やばいなこれ

あんまりＰＣ詳しくない俺が通ります

そのファイル来て何送ってきたのか気になって開いちゃったんだよね
タスクマネージャーでfxstaller.exeないか見たけど、なかったし大丈夫だろうか？

不安だ

ごめん、質問させてくだせぇ
imgs.exe　もウィルスプロセスってことは削除しちゃってOKってことかい？

俺はfxstaller.exeなかったけど、
igms.exeがあった

よくわからん

こいつは開かなければネットワーク感染はしないんだよな？

igms.exeはなかったわ、俺の場合

すまんimgs.exeだた

定期的にメッセージをばらまかなくなったら
とりあえずは対処完了…ってことなのかな？

自分の環境ではimgs.exeは「%TEMP%\IXP000.TMP」に生成されています。
fxstaller.exeを消した後にimgs.exeを実行するとIMG455.jpg-www.photo.comを実行した時と同じ挙動をします。
「IMG455.jpg-www.photo.com実行」→「imgs.exe生成実行」→「fxstaller.exe生成実行」の流れの様です。
imgs.exeとfxstaller.exeは消してokです。

imgs.exe 52,786 byte
メールのようなアイコンから緑色の矢印が飛び出たアイコンをしています
こいつは一緒に生成される（ダウンロードされる？）プログラムのようです

もうみんななおったのか？

imgs.exeってレジストリエディタのどこにある？

>>737
それはタスクマネージャーのプロセスにあるんじゃないか？

>>737

レジストリエディタではどの場所にあるのかが分からなくてな
fxstaller.exeは
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
にあるわけで
imgs.exeはレジストリのどこに食らいついてるのか分からないんだ

>>736
719あたりからの対処で直った。もう寝ないと・・・・

>>737
imgs.exeはCtrl+Fでハードディスク検索かタスクマネージャーで探しな

自動更新だけなおらねーし。なんなんだ

とりあえず>>720の手順はやってみた
また誰かに飛ばないか怖くてメッセ繋ぎたくないけど、さっき切る前にコメント書いておいたし・・・大丈夫かな

imgs.exeってのは見つからないんだけど、どっちもあるわけじゃないのかな？

あいや、imgs.exeあった
一旦確認がてらメッセ繋いで様子見てみる

同じく自動更新だけ治らない、何でだろう
これが治らないと完治してない気がしてメッセ繋ぐのは怖いな…

>>720をやったあとには再起動しないと危ないかも？

VPCにて感染後にできたと思われるファイルをだらだらとあげてみる
以下すべてwindows\system32の中
awtRHwts.dll
ddCRhICu.dll
efcYQKCU.dll
fb7e4723-.txt
opnLEXqR.dll
plohopjb.dll

C:\Documents and Settings\ユーザ名\{3B7A0090-5AB6-4838-B146-968EBE8F54D1}
というフォルダ

HKEY_LOCAL_MACHINE→SOFTWARE→Policies→Microsoft→Windows→

WindowsUpdate→AU　この手順でレジストリをいじろうとしたんだが、まずWindosws Updateというのすら消えている

imgs.exeとfxstaller.exe消して繋いでみたが問題なさそうな感じ。

ついでに2009ベータ入れてみたが、ちゃんとこのURLには警告出るようになってるね。

fxstaller.exeしか見つからないんだけど。これって両方消せてないとだめなのかな

ダメだー
imgs.exeとfxstaller.exe消したけど、再起動したら復活してる

メシウマｗｗｗｗｗｗｗｗｗｗｗｗ

よし、自動更新が有効になった

awtRHwts.dllという語をレジストリエディタ内で検索、出てきたキーを削除
のち再起動

URL踏んじまったんだが
他のフレンドに何もおくってなさそうでimgs.exe　fxstaller.exe
両方見つかんないんだがそのままでいいのかな？

DLしたファイル実行しちゃったんだけど、で、一回コマンドプロンプトみたいな黒い画面出たんだけど、
どこをどう探してもimgs.exeとfxstaller.exeがない、というか、
DLファイルの中にはあったんだけど、タクスマネージャー見てもmsconfigからスタートアップ見ても無い。
で、自分とこは他の人にURLの送り付けをしたりはしていないみたい。

ファイル実行してしまったのになんで？？？
寧ろ何もなくて怖い。
同じかんじのひといる？

あ、自動更新も特にオフになったりはしてない。
怖くて再起動してないんだけど、再起動した途端に発動とかあるんだろうか。

くそｗｗ
>>753のでimgsとかでてきたから、これはカツル！
と思って再起動したらなおらないorz

>>751
もとの保存したファイルは消した？

>>757
スマン、今俺も実験しながらでいろいろ並行しながらやっていたせいだ
ようやく再現できたのが、
>>747のdllをできる限り削除（もしくは別フォルダにでも隔離）して再起動すれば有効になるはず

ただし、awtRHwts.dllは復活するからまだどこかで別のプログラムが動いているらしい・・・・・・

>708
俺の環境だと現時点で症状出てないから
DL時は未感染　.img実行未感染　.txt実行未感染
DL時のファイル名のままでDOS実行すると感染かな

仮想PCで実行してみた。

感染しちゃった人はタスクスケジューラ(コントロールパネル→タスク)も確認。
ランダム文字列のあやしいやつがあればウィルスが作成したものなので削除。
(実行するファイル名が「c:\windows\system32\rundll32.exe "c:\windows\system32\(ランダム文字列).dll",ShellPath」となっている)

あと、windows\system32\開いて、作成日時でソートした時に、
ランダム文字列のDLLファイルがあったらそれもウィルス。
このファイル、どうがんばっても削除できないんだけど、どうやったらいいんだろうか。

くそう。なおらない。

avastでスキャニングしたせいかimgs.exeとfxstaller.exeが見つからない
だけど自動更新はなおらないし
立ち上がりが異常に遅くなったｗ

>>761が言うように、
system32フォルダを今日の日付で検索、
(ランダム文字列).dll（>>747のようなファイル群）
を探し出し、削除
すると1個だけファイルが削除できないものがあるが、自動更新だけは復活する

今回のウィルスの対応度が一番高いのはOneCareなんで、
なんとかしたい人はそれを入れてみるのもいいかも

参考：
http://www.virustotal.com/jp/analisis/d5dff06d4aff06c15180e9bfc2e8a251
http://www.virustotal.com/jp/analisis/0007c12f11b36fdb7d846cda2e31dfb4

あー。fxstaller.exeがあったらアウトか・・・。
さっき思い切りそれあったよ。
だって、それ開いた瞬間、突然、メッセ画面が開いて閉じ始めたから、
これはやばいと思って、メッセとそのアプリケーションをタスクマネージャで殺したし・・・。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
のところに
a05fce85 REG_SZ rundll32.exe"C:\WINDOWS\system32\ceyposeu.dll",b
ってのがあった。
C:\WINDOWS\system32\ceyposeu.dllの作成日時見たら2008/12/25 1:52
これもウィルスかね？

ランダム文字列のdllファイルってのは複数個あるってことかな？

自分は上に書いたとおりのファイルが出来上がりました

まじ簡便。ＰＣ動作すげー重くなったorz
なおらん

治らんぞ・・・治らんぞおおおお！

もう再インスコしようかな。そうすればなおるだろうし

C:\WINDOWS\system32の中にある
rqRHWnNd.dll
opnmMeFy.dll
imon.dll
が削除できないんだがどうすればいいんだorz

fxstaller.exeとimgs.exeも見つからないんだがｗ

同じく
どう削除すればいいんだ！

>>772
削除できないって、削除しようと「使用されているので削除できません」って言われるタイプ？

このウィルス踏んでから、IEを起動してしばらくすると英文で
｢お前のPCはウィルスにやられてるぜ。100％無料のアンチウィルス入れろよ＾＾｣
という意味のポップアップが出るようになったんだが･･･
同じ症状の香具師いるかな？

そうそう、どうすればいいのかな・・＞774

fxstaller.exeが見つからないなぁ・・・

System32にdllファイル以外に、mlJYRlJY.dll_oldってのがいる。
C:\WINDOWS\wininit.iniってのが出来てて、中身見ると
[rename]
c:\tempjunk6200.tmp=C:\WINDOWS\system32\mlJYRlJY.dll_old
nul=c:\tempjunk6200.tmp

ワケワカメ(゜∀゜;)
それとc:\spc.exeってのも12/25に作成されてる。
exeって事はこいつも共犯って事か・・・？

まぁ状況報告してみるだけで何もできんのだが。

やはりスパイウェア込みだったかぁ…？
インターネットのセキュリティレベルを上げれば出なくなるらしいよ
その代り不便なことが多くなるけど。

>>776
おそらくそのファイルを何者かがハンドルしてしまってるのが原因。
俺はunlockerってソフトインストールして、ハンドルしてるプロセスを
強制的に剥がしてから消してる。強引に消すわけだから、自己責任で。

もっとも今回のウィルス騒動には無関係だけど。

なんか盛り上がってるなこのスレ

うぇ。もっかいspybotでスキャンしたら超大量にでてきた
なんじゃこりゃ

>>776
一応紹介サイトのリンク貼っとく
ttp://www.forest.impress.co.jp/article/2005/05/10/unlocker.html　[窓の杜]

順序的にはウイルスの駆除を終わらせてからスパイウェア駆除かなあ。

俺にはまったく来ないな・・
てかなんで送られてきたexeなんて踏んじゃうんだよ

>>775
めっちゃでるぞその文章
ＩＥならでるけど、火狐ならでない

月もでない。

知り合いと会話中にナチュラルに来たからな……
少々不審に思ったが勢いでやっちまった。アドレスが.comで別にexeとかでは無いんだよね

現在はOneCare　pcのフルスキャンやってる
それで直った人も居るらしい

直ってくれ。頼む

>>785
それってこのウィルス踏んでからだよな？
一体何なんだろう･･･教えてエロい人

>>787
アドレスのように見せかけてある
.comは拡張子です
“.exeではない”からかなり騙されやすいのかも？

見た感じ画像のファイルなんだよ
しかも友達から送られてくるから怪しいと思っても
まぁいいか　って思って開いた

>>787
アドレスじゃなくてファイル名（の拡張子）が.comだぞ
exe以外の実行ファイルは.com .scr (.bat)なんかだな

ああ、分かってるよ
昔の実行ファイルだろ。正直、警戒心が足りなさすぎた

普通にmyspaceだと思ったわ

ウィルス駆除しても自動更新直んないんで、今スパイウェア検索中
でるわでるわ・・・

>>788
詳しくないけどレスします
クッキー（Cookie）と関係する“何か”を利用したものだと思われます
たぶん、上にも書いたけどインターネットオプションから
プライバシータブのセキュリティレベルがいじられていないかい？

OneCare結構時間かかるなぁ
30分で5％か･･･

721,734を感染した友人が実行
一時的に治ったようには見えますが、再起動したら何故かまたおかしくなった様子

感染から駆除→WindowsUpdateまでいったので報告

exeを削除
C:\WINDOWS\system32に作成されるランダムファイル名のdllをUnlockerで解除してから削除
ついでに消せなかったdllをレジストリエディタで検索して削除
コンパネでWindowsの自動更新を適用しなおす。

dll消した後は再起動しないと駄目

何がファイル掴んでるかわからないときは可能ならセーフモードでやるのもアリだぞ

OneCareは無料体験版しか無いんだっけ？

NOD32の体験版で一様、駆除したがシステム全体が不安定になってる
あわわ

スタートアップに90a12e04っていうのが登録されてて、
それを解除したらfxなんたらが起動しなかった

直接の解決になるかどうかは不明だけど・・・

起きたらなんかメッセージが届いてた
怪しいと思いながら寝ぼけて実行してしまったorz
nod32入れてるから警告メッセージ出て、対応：削除・隔離と出たんだが大丈夫かな？
まだメッセージ送られてくるし、実行ファイルも見当たらなかった

クソ・・・復元ポイントきれいに消されてやがる…
通常起動させるとフリーズして操作すらできねぇ…こりゃ治せないかもわからんな…
クソ、いくら友人から来たやつとはいえ迂闊すぎた
外付けHDDに中のデータうつせねぇかなぁ…PCいまいち詳しくないからよくわからん

>>800 に追加
90a12e04っていうのを削除するまえに、
fxなんたらとimgsだけを削除して再起したらfxのほうは復活した
imgsのほうは検索かけても出てこなかった
ファイル名がかわっているか、ｆｘの起動には関係ない可能性あり

>>797が現在のところ一番の解決かねぇ？
まぁ、私は踏んでないんだけどな

>>802
TrueImageを購入して
http://shop.vector.co.jp/service/catalogue/trueimage/

TrueImageのCDをドライブに入れて、インストールせずに
PCの電源を切って
外付けHDDを接続して
PCの電源を入れて、TrueImageのCDから起動して
コピーディスク（ディスククローン）を実行

これで外付けHDDが、PCのHDDと同じ内容になる
他のPCで外付けHDDの中身を確認して
それからPCをリカバリー

古いPCや外付けHDDだと、TrueImageのCDからはできないかもしれないが

起動しない
オワタ

>クソ・・・復元ポイントきれいに消されてやがる…

面倒じゃなければ、
システムの復元が無効にされているか、
確認して報告してくれないかな

>>806
これの
http://www.tef-room.net/tips/Safemode-Dos.html
前回正常起動時の構成を選択して起動できないかな

だめっぽかったら、セーフモードとコマンドプロンプトで起動して
http://www.tef-room.net/tips/restore.html
の一番下でシステムの復元

感染後にここ紹介されて今削除中
自分ができたのは>>720参照してfxstaller.exeをまず削除
現在はスタートメニューから検索でimgs.exeをマイコンピュータから隠しファイルもすべて検索
すると
ファイル名　　　　　　　　　フォルダ名　　　　　　　　　　　　　　　　　　　　　　　　　　　　　サイズ　　　種類　
imgs.exe　　　　　　　　　C:\Documents and Settings\ユーザー名\Local Settings\Temp\IXP000.TMP　　　52KB　　　アプリケーション
imgs.exe　　　　　　　　　C:\Documents and Settings\ユーザー名\Local Settings\Temp\IXP001.TMP　　　52KB　　　アプリケーション
IMGS.EXE-27984726.pf　　　C:\WINDOWS\Prefetch 30KB　　　PFファイル
IMGS.EXE-36EA1AEB.pf 　 　C:\WINDOWS\Prefetch 　　　　　　　　　　　　　　　　　　　　　　 　　　14KB PFファイル

これが当たった

とりあえずdllを消せるの消してから再起かけたら起動しなくなった
通常起動もセーフモードも黒い画面にマウスカーソルが表示されたまま進まない
泣きそう(^Ｏ^)

さらにIMGS.EXE-27984726.pfから一つ上のファイルってのを選ぶと
C:\WINDOWS\Prefetchってファイルがあって
そこに
IMG455.JPG-WWW.PHOTO[1].COM-30DFE406.pf
IMG455.JPG-WWW.PHOTO.COM-2DBD01FF.pf
CONIME.EXE-13EEEA1A.pf
これがすべて同じ時間に作られていた模様
今わかってるのはここまで。

>>810
それ、すべてのDLL消したんじゃないよな…？

>>811追記
ほぼ同じ時間に作られたこのファイル起点に
フォルダ内のこれ以後作成されている全ファイル削除
今はここまでやった。
これで再起動して戻って来れたらまた報告します

これ踏むと、復元ポイントがすべて消されてます
踏んだ時間にに
「lost known good configuration」
という言葉だけが残されて後すべて無いです

operaで開いてＤＬキャンセルしたんだがこれはセーフ？
一応復元ポイントは残ってる

>>812
感染したと思われる24夜から25日に生成されたランダムの文字列ファイルだけです

>>807
システム復元は無効にはなってないです
最新の復元ポイントがcom実行してしまった時間になってます
しかし、セーフモードだとスムーズに動くが、通常起動するともはやタスクマネージャーすら開けない
>>721を試してみたら、実際トロイ駆除完了見たいなのは出たんだが、なんか余計ひどくなった感じ

これはうちの友人の感染者の報告をまとめたものなんだが

ＰＣスペックの低いパソコンはこれにかかるだけで急激に重くなり
マウス操作やキーボード操作ができなくなります。

ＰＣスペックの高いやつでも、メッセ系操作とＰＣ起動は確実に遅くなります

>>816
なるほど…。
実はおれも起動しなくなったんだが、
セキュリティ板の対策スレにしたがって、NOD32体験版をインストールしてたときにハードディスクが停止してすぐに動きだした(再度電源が入った感じ)が、青画面。
前から調子悪かったから、たぶん、ウイルスとは関係ないと思うんだが、
同じ症状の人いない？

>>815
おそらくセーフ
確実なのは友達に聞いてみること
ファイルが送られていたら感染してる

自動更新できなくなったんだが
どうすればいいんだ

http://valk.blog92.fc2.com/blog-entry-306.html
http://azurecolor.blog51.fc2.com/blog-entry-315.html
ウイルス情報収集してるサイトさんたち

うかつにファイルを削除したらまずい例があるのかな

HijackThis
http://www.trendsecure.com/portal/en-US/tools/security_tools/hijackthis

これでログとって
ログファイル中に関連dllやexeがどこに含まれているか調べてから、
dllを削除したらよいのかな。

とりあえずメッセンジャーにウイルス送信することはなくなりましたので報告。
C:\WINDOWS\Prefetch内のファイルは必要に応じて再度作られるそうなので
感染後の全ファイル削除でも良い模様です。

変なURLに定期的に誘導されるオワタ

ESET でスキャニング完了！
２つほどトロイが発見されました
win32/IRCBot.AGPトロイの木馬
win32/IRCBot.AKKトロイの木馬

ウィルスバスターのオンラインスキャン
スパイボット検索
ＡＶＧ８．０は全部スルーでした

>>826
私も見つかって駆除できたはずなのに未だにクソ重いままでまともに動かないぜ…
外付けHDD買ってきてデータ写して初期化するかな…

win32内の pmnoOGwT.dll がめちゃくちゃ怪しいんだけど、
どうしても削除できない。
Unlokerで解除しようとすると、エラーで再起動要求。
これどうしたらいいんだ・・・。

unlokerで解除しょうとしたらシャットダウンされた
＼(^o^)／ｵﾜﾀ

　セーフモード上で削除とかできんのん？

>>825
定期的に誘導されるのは、
msconfigからスタートアップでランダムの怪しいやつ外せばOKっぽい

スタンバイ状態にして置いておくと数分後に勝手に復帰する
もうわけわかめ

>>830
無理だった

dll削除しようとしてる人は、unlockerで無理矢理全部削除しちゃだめだよ。
あと、レジストリを残ってdllで検索して見境無く削除もやめたほうがいい。
起動しなくなるぞ。

ttp://systemkaza.web.fc2.com/bin/SRCPY300A.EXE
ここのSRCpyっつーソフトで消せんか？

インターネットエクスプローラー開くと
何かアンチウイルスソフトのダウンロードをせがまれるんだけど
これってこのウイルスと関係ない？

>>835
消えなかったです

>>836
関係ある。IEだと出るようだよ。
他のブラウザでは出てないみたい。

>>836
831

>>838
firefoxでも出たよ。

>>840
上で火狐で出ないって人がいたんだがなぁ。
自分はIEで出て、ルナスケでは出てないです。

ランダム文字列のdllって言われても全部ランダムに見えてしまう・・・

俺もLunascapeでないです

今回の件と無関係なdll無理矢理消して撃沈してる人もいそう

jpgにリネームして起動だけしてしまったんだが、
fxstaller.exeってやつがタスクマネージャーになければいいってこと？

>>840
ドーナツでは出ない。
もうワケワカメ。

dllはなにグーグル先生に聞いてでなければ消していいかね

>>847
ロックされてるやつは消すとまずいのがある気がする。

Unlocker使って消そうと思うけど
これってウィルス感染時作成されたと思われる消せないファイルに対して
右クリ→Unlockerをやって表示されたやつを
左下の項目を｢削除｣にして全ロック解除のボタンを押せばＯＫなんか？
なんか、これをやろうとするとＰＣ止まるのだが

まず本当にウィルスなのかとファイルネームでググって確認するべく

dll消すとか初心者にやらせたら間違いなく>>844だな
不安なヤツはこのスレで上がった怪しいのだけ消しとけ無理に消すな

OK自己解決した
とりあえずUnlockerの使い方はここ→http://fine.tok2.com/home/heto2/0404Unlocker/0001.htm
見て確認した
system32の詳細→作成日時欄でウィルス感染時以降新たに生成されたファイルを全削除
削除できなかったファイルの名前でレジストリを検索して見つかったものを削除
削除できなかったファイルを一つずつUnlocker
Unlockerウィンドウの左下項目を削除にして全ロック解除
ちなみにそれやるたびに成功表示がでたあとPCフリーズ
再起動後削除完了を確認
とりあえず以上の方法を繰り返して自動更新有効まで持っていけたんで報告

レジストリいじんのは初心者にはおすすめできない

これどうなったら駆除できたことになるんだ？

ログ嫁

なんのURLだか分からないのに踏んで、どこのサイトだか分からないのにDL許す
なんのファイルだか分からないのにexeを実行

パソコン初心者でもなければ三段階もあるこんな危険な道は通らないだろ・・・

つい興味本位でな……。
ノートンを信頼しすぎた俺がバカでした。

どうやら復帰できました
まずメッセンジャー切断。
処理が重いようならどうせ悪いんだから電源コード引っこ抜く。
それから電源入れなおして
>>720やってからセーフモードでウイルススキャンしてトロイ削除
そのあと>>809で怪しいもの検索して、踏んだ時間に作られた関連するファイル消去
ここまでやってから再起動。
WINアップデートは手動でやってみましたが、もうノートンさんも動くので多分大丈夫だと思います。
やはりレジストリ関連は下手にいじると怖いので>>720の項目のみで
あとはファイル削除後にレジストリクリーナー起動して残ったレジストリ削除って感じです。

深夜の判断力鈍ってる時間にやられたとはいえ
自分の浅はかさに驚いてるよ

>>853
自分の場合はメッセンジャーに送られたとこクリックだけで起動してしまった
ほとんどがそういう感じで踏んでしまったんじゃないか？
しかもノートンとかほとんどのアンチウイルスソフトは反応しない。
そうなるとこのスレ誘導されたほとんどのものはネットに関する知識はないままに
メッセの友人から送られたからとスキャン結果信じて踏んでしまったのではないかと。
知識自慢して偉そうに言うのはネトゲ板だけのものかと思ったが
ここにも似たような厨はいたんだなｗ

Kaspersky 2009　ヒューリスティックでスキャンしたけど何も検出されん

＞ヒューリスティック最高ね

>>860
アンカー間違えた？それとも誤爆？
君の返してるレスのどの辺が偉そうなのかよくわからん

とりあえず>>720を試してみようと思ったんだが見つからないなぁ・・・うーむ。
初心者は大人しくアンチウィルスソフトを待つかなと思ってんだけど、こういうのって大体日数どのくらいかかるんだろう？

なんでコピペNODなの？とか思った。

いまんとこNOD32しか対応してないの？

>>865

>>765
>>787
OneCareでもいけるみたい。

>>866
ほお・・・。thx

One careでウィルス駆除したら自動更新有効になりました

追記　One careで駆除後ランダム配列のdllが消えていました

OneCare使ってみたが問題はなんも解決していないようだ･･･
今のところの症状
1.変なURLへの誘導
2.自動更新の無効化(システム→自動更新では自動になってる)
3.メッセンジャーへのサインインが不可(ウィルス感染中だから弾かれてるのかも？)

どうしたもんか

一応hosts確認くらいしとけよ

えらく進行してるなと思ったら、ウイルスか。
荒らしかと思ったわ。

OneCareフルスキャンしてみたが、いくつか駆除できないウィルスが見つかり、問題は解決しなかった

現在>>720の作業および、>>811のようにどうみても関連性のあるファイルだけ削除
そして現在、もう一度OneCareフルスキャンしてる

msconfigからスタートアップをいろいろいじってみたけど、
igfxtrayとctfmonのチェックをはずすと、変なＵＲＬに飛ばされることはなくなった。
しかし、この二つってどっちもウィルスに関係なさそうなんだよな。

>>697
これやるときはアンチウイルスソフトきったほうがいいかな？

トロイ感染してから完全復帰なんて無理と思ったほうがいいよ。
何かしらファイル書きかえられてるから。
OSごと入れなおすのが近道＆安全策。

http://azurecolor.blog51.fc2.com/blog-entry-315.html
ここみて解決した
別スレで駆除方法が確立してたみたい

>>721
のNOD32はわりと有名なものらしいな
国立天文台や病院・教育施設・研究機関などで導入されている。(wikiより引用)
上位版は警察庁で使われてるらしい

余計ひどくなったという話もきくが、フルスキャン終わったら試してみる

NOD32でウイルススキャンしたら起動が異常に遅くなった
前まで数秒で起動出来たのに再起動で数分待たされたぞ・・・どういう事だよ

スキャン終わったらNOD32削除してみたらどうだろう
もしかすると起動するごとに何かしてるのかもしれない

>>880
もう削除したぜ
今までavast!入れてたからNOD32を削除して入れ直した
それで再起求められたから再起したら数分待たされた
もう一度再起してみるかな

リネームしてjpgにして開いてみたがなんともなかったぜ
そのまま開くとまずいみたいだな

俺もウイルス作ろうかな面白そうだ

>>883
^^

仮想化ソフトで、仮想化していたおかげで助かったわ。
仮想上では感染したけど、解除したらきれいさっぱり。

ウイルスは何とか駆除できたけど、
感染でwindowsの起動が遅くなったのが残念だ。

何とかならないものか。

NOD、ESETは検知率低いのに今回のマルウェアにはヒットしたか？
でも、AviraやG DATAのような検出率トップのソフトなら対応済みじゃないか？

NOD32はヒューリスティック機能が優秀
午前2時過ぎ頃（急速に蔓延し始めた時点）ではそれらでも検出できなかったと思われる
似たようなもので、Kasperskyのオンラインウイルススキャンでは反応しなかったよ

URL踏んで「IMG455.jpg-www.photo.com」ってのがDLされてきた。
avast4とカスペルスキーWEBにて検知されず。
中身を確認すると「imgs.exe」というファイルが入ってます。
実行しなければ感染しないです。ちなみに.jpgで実行しても問題なし。

ウィルスは削除したが、依然としてwindows セキュリティセンターの自動更新が元に戻らん。
スパイウェアでも居るのか

>>852
削除できないDLLの名前で見つかったレジストリ項目が消しても消しても次の瞬間に復活してくる
削除できないDLLにUnlockerかけると、winlogon.exeとかelplorer.exeが食ってるらしく
Unlockした瞬間にPCが丸ごと落ちてしまう

ここまで知識のあるおまいらが何故こんなものに引っかかるのか

>>892
自分はこんなものに引っかからねえよｗｗ　と思っていたから引っかかったんだと思う。
振り込め詐欺みたいなものかねえ

信用してる奴からURLきたら開く

それでも俺は開かなかったぞ

ウィルスを広めたいと思っているやつの考えそのものだよ>>894
だからウィルスはどんどん広まっていくわけ

といっても今回の場合は仕方ない部分も少なからずあるなぁ

俺も疑いまくったよ
でも疑ったら友情がどうこうってなるでしょ

ウイルス落としてみたけどAviraでもウイルスと認識された
http://www.uploda.org/uporg1883109.jpg

>>896
確かにそれはあるけど、念のため確認は入れるべきだった

まあ俺も知り合いからURL貼られた口なんだが
クリックしてDLさせられそうになったらとりあえずキャンセルして相手に何のファイルか聞いてみたりしないものなのかなと思ってな
んで無警戒にこんなもの実行させてしまうような奴にチャットだけで対処法が上手く伝えられなくてかれこれ8時間ほど経過してるんだが

一々承認するの面倒なのでPlusで自動化させてるわｗ

>>890
サービスが停止されてるんだろ。

途中で書き込んでしまった
foto　URL
といきなり来た場合はー

難しいわなｗ

これが送ってきた相手が占いとか脳内メーカーみたいなものが好き(URL的におれのメッセアドで占ったんだろうな程度の考えだった)な上に、
いつも最初の発言がURLだったりするような奴だから、今回もいつもの類だと思って開いたら本当にウイルスだったな…。

「最初の発言がURLとか、お前ウイルスみたいな奴だな」と冗談で言ってたけど、今日は本当にウイルスでした。

>>902
俺も、俺も、送ってきたのがあいつじゃなければ、あいつじゃなければ、
こんな迂闊に実行したりはしなかったさ…
.comは実行形式と知って実行したからね、俺なんて。

>>896
俺はとりあえずURL貼られたらパソコンがぶっ壊れた+AA張って反応試す

駆除の目処が立ったら、
URL送っちゃった相手に駆除方法含めて説明をせにゃならんなあ

数年前に別れた彼女から久しぶりにメッセージが来て何だろうとワクワクしながら開くとウィルスだった

駆除を諦めてクリーンインストールに走った俺
現在、HDDフォーマット中（ただし２回目）
これはもうダメかもわからんね

つうか情報自体は少なくとも昨日にはメッセンジャー公式に載ってたんだけどな。
予想に反して皆知らなかったみたいで驚いた

公式のどこに載ってるのか教えてプリーズ

>>892
知識があるからこそ、進んで踏んで対処策を早めに練るのだ

やっとランダムdll生成無限ループから脱出できたがまだなんかありそうで困る
なんでこんなことに1日潰さないと･･･まぁ元々ｒｙ

http://messenger.live.jp/

>2008/07/16
>重要！メッセンジャーを使用した「スピム」にご注意下さい！

手口的には似てるんだけど、日付的に別かな？

ICQなどでも確認されてるし、クリスマス狙ってのものだろうな

こういう類のものは前からあるからな

なんてこったい
初期化するしかねえんあ

Windowsが通常起動できんくなってしまったんだが・・・これはウイルスのせい？それとも故障？

もうわからん
HDDの大掃除と行きますか･･orz

>>916
本気で知りたいならもう少しちゃんと情報を書け
難しいこと考えたくないならクリーンインストールが一番だと思うけどね

NOD32で何も検出されなくて、
タスクマネージャのプロセスにfxstaller.exeもimgs.exeもないんだがこれでもう平気なのか？

>>918
例のメッセウイルスに感染していて、駆除の方法を調べていたらブラウザが固まり、ボタンが利かないので強制終了。
そのあとで起動しようとしたら通常起動できず、セーフモードのみ起動できました。

故障なら修理行きですし、ウイルスなら駆除　うーん・・・

深夜でテンション上がってるときにこんなものを…親しい人に…送りつけられて…
無視できるわけないんだが

童貞しか感染していない

合田の仕業か

このウイルスの名前決まった？

クリスマス終了のお知らせ

合田ウイルスか…

ＡＩＤＡウィルスだと……？

しかしうかうかメッセもできんようになってしまったなぁ……

これくらいの事で……
そもそもあんな怪し過ぎる文面、というか変な文字とURLしか載っていないんだからまず疑うだろうに

と普段から言ってるに関わらず今回迂闊にも踏んで何であんなあやしいの踏んだんだって自分を責めてる人が沢山いる

どんだけ絶対の自信があっても明日はわが身

>>927
実は毎年1、2回はこんな感じのウイルスが出回っている

今回は珍しくずいぶん大騒ぎになったしねぇ

OneCareおわらねえええええ
もう３時間たった。

AVGも対応した模様。
今アップデートしてスキャンしたらトロイ４つ検出した。

せっかく？だからスクショ
感染直後
http://up2.viploader.net/pic/src/viploader884527.png
こいつら
http://up2.viploader.net/pic/src/viploader884528.png
通信している様子
http://up2.viploader.net/pic/src/viploader884530.png

ニコニコでもメッセ使えるけど大丈夫なのか？
とりあえず恐いから絶対起動させないけど。

感染者の恥ずかしい画像が続々流出し出したなｗｗｗｗｗｗｗ

デジカメ画像等

なんかすごくクリスマスを体感したよ。
すごいプレゼントをもらっちゃったな。

いまからNOD32でプレゼントと戦ってくる。

wvUlifEw.dllってのがNOD32でずっとヒットする・・・
NOD32がばッグてるだけ？

いかにもランダム生成された感のするdllだな

これはNOD32切っても平気ってこと？

一応全部の工程をやってみたんだが、１，２分ごとに一瞬だけウィンドウが開いて消えるんだ。

だが、メッセ内の誰もメッセージを受け取ってないようなんだ。

やっぱimgs.exeがどっかで悪さしてんのかね？

プロセスに「fxstaller.exe」もしくは「img.exe」がなくて
レジストリから「Windows Udp Control Center」がなかったらもう平気ですか？

俺のAVG Free8.0がアップデートされたからプレゼントと戦ってくる

imgs.exeは抜け穴作成の本体をインストールするプログラム
fxstaller.exeは抜け穴からスパイウェアなどを入れるプログラム
最初にfxstaller.exeの通信を遮断すると被害は最小限（というか皆無）に抑えられる
ってことがわかりました
悪さをしているのはランダム文字列.dllの方

どうすりゃいいのかわかんね−・・・
自動更新も有効になったけど、NOD32がわけわからんdll見つける
こいつ放置するとなんかあるの？

urqRIbcc.dllとかいう名前のどう見てもランダム文字列のやつが何度もNOD32に反応してるな。
「削除によって駆除されました」と出てるが、何度も表示されるあたり、復活してるのか？

>>947
同じ症状
exeは無くなって、タスクマネージャにも表示されないが
dllが消えない
強制削除して再起動してみたが、再生成される
教えて偉い人

俺も同じ
ここで手詰まりだわ

不安なやつはOSクリーンインストールしろよもう
これ以上メッセの友人に迷惑をかけるな

どこかにdll生み出すヤツがいるのかもね

04eb78みたいな名前のtxtも消したった

NOD32をダウンロードしようとしても、
途中で検出アラートと共にウインドウ全部閉じられて
最後までダウンロード出来ないんですがどうしたらいいですか？

つーかさー、IE7を規定にしてるんだけど、リンククリックしてもダウンロードダイアログが表示されるだけで
自動実行はされないんだが、なんで感染してるの?

まあ、ちょっと実行して動作確認してみるか……

AVG Free8.0がありえん量のdllファイル検出してる
これで一掃できればいいが

延々と.dllが作成され続けてる・・・
一部の.dllも使用中とかで削除できんし、さてどうしたもんか

俺のAVG Free8.0は何も言ってくれないぞ。
明らかに怪しいファイルを直接スキャンしてもスルー。
アップデートは、新しいアップデートはありませんと言われた。

⊂ミ⊃＾ω＾ ）⊃　ｱｳｱｳ!!

>>957
アップデートするんだ

検出された脅威93っておま

ってしたのか

もう脅威なくなったんじゃね？
つうか終わる気配しないんだが、終わるのかこれ

友達すくねー俺に隙は無かった

･･･('A`)

>>720とimgs.exeの削除
Windows Live OneCareのオンラインスキャン
で自動更新の問題も直ったしdllも生成されなくなった

2009使いづれーなマジで
戻したいが公式にはバージョン７しか置いてないのか…



つーかアイコンを今まで通りに右側に表示させたいんだがやりかたがまったく分からない…

公式には右になってるSSがあるのに…

知り合いが引っかかって送られてきたのでちといろいろ調べてみた

ダウンロードした状態では自己解凍ファイル
中にはimgs.exe

EXEファイルの後ろには暗号化した形跡のあるファイル

これで復元出来るのかな？
uREbcXCSgbWrVCVSeSfWErvVdsfERtv CurrentUser Console FullScreen sample

つーか、こっちに移動すれ
http://pc11.2ch.net/test/read.cgi/sec/1185780001/

β版の広告消し探してスレ探して来てみたら大変なことになってるな…
とりあえずfofoは踏むなとまわりに告知しておくわ
がんばれおまえら、そしてメリークリスマス

>>720はやったんだが、emgs.exeが見つからない

OneCareフルスキャンはやったが、いくつか削除できないものがあった
emgs.exeは一体どこにいるんだ

>>967
そりゃemgs.exeは無いわ

>>968
確かにそりゃねーわな

じゃなくて、しっかりとimgs.exeで検索してるんだけどなぁ
Cと他のHDDもみてるんだが、見つからない

『感染していない』ことを確認すんのってどうすればいいんだろ？

OS再インスコしようと思うが、マイドキュメント内のファイルには感染してないだろうか･･
色々バックアップ取りたいんだが

msm_slってプロセスにある人いない？それがなんかあやしい
本来msn_slって名前なんだけど。

>>973
たぶんそれは関係ないと思う

コマンド プロンプトで

cd %windir%\system32

dir /od /tw *.dll

とやって、ランダムな文字列の名前のdllが4つあったら感染

Ultimate Boot CDのFreeDOS使ってランダム文字列のDLLファイル削除できた

>>970
起動時にテンポラリフォルダの中身を削除する設定にしてる場合、
既に消えてることも考えられる。

つうかもうどれがランダム文字列なのかもわかんねーよｗ

>>975
１２個あるんだが･･･

一番新しい日付のだろ

>>979
いや、２５日の20時半位に感染したんだが
25日20時以降のが１２個あるんだ

うむ。感染したと思われる日時の奴

URLクリックして保存してダブルクリックしたら

このファイルを開けません
このファイルを開くには、作成者の〜〜〜

ってのが出てきてキャンセルして除去したんだけど、これはセーフ？

それは複数のトロイに感染したな……

>>980
とりあえず、その12個のファイルを \Windows\Temp に移動してみ
移動できないのは感染・実行中

とりあえずシマンテックに送っておいた

とりあえず、次スレ

Windows Live Messenger Part 6
http://pc11.2ch.net/test/read.cgi/win/1230218047/

>>984
全部移動させてみたが、移動出来ないのは１個だけだった

感染したと思われる時間以降のランダムな文字列の名前のdllはひとつもない

だけど、さっきメッセにインしたらまだURL発信してるみたいなんだが

これって移動出来たのは無害と見てsystem32に戻した方が良いのか？

>>987
その名前をメモして、回復コンソールかLinux ブートCD とかでそのファイルを削除すればいい

>>988
それ違うトロイだから分からん

チェックポイント

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ の下
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Authentication Packages
タスクスケジューラ

>>989
ダメ、移動できたのも何らかの準備されたファイルだから戻すのは危険

>>989
いや、多分トロイの残骸。Virus Totalに投げてみるとか

>>991-992
了解

流れぶった切って申し訳ない(´･ω･`)

>>672, >>673
どうやら解決しました。

appwiz.cplでﾒｯｾ本体とおすすめﾊﾟｯｸ削除したのに、2008ｲﾝｽｺしようとすると｢新しいﾊﾞｰｼﾞｮﾝが既にｼﾝﾂﾄｰﾙされてます｣
みたいなのが出て困ってたんですよ。
CCleanerで削除してもまだ残ってたみたいなのでもう一度Windows Installer Cleanup使ってみたら無事ｱﾝｲﾝｽﾄｰﾙ出来たみたいです。

どうもありがとうございました!!

1000ならウィルス収束

クリスマスが終わったんだがらウイルスもおわるよ。

サンタはトナカイだと思ってたんだが…トロイだったか

メリークリスマスのはずが皆でベリークルシミマス（現在進行形）

オプー

N

1000ならさらに感染拡大

このスレッドは１０００を超えました。
もう書けないので、新しいスレッドを立ててくださいです。。。