駆除できないスパイウェア

質問

http://okweb.jp/kotaeru.php3?q=1026306
上記アドレスで先日質問しましたhiro0825です。

あれからほとんどのスパイウェアを除去できたのですが除去できないスパイウェアがあります。スパイウェアだという証拠はないのですが。

症状ですが勝手にページを開きます。内容は白紙です。
私はオペラを使っています。オペラを起動していないときでも勝手に起動しページを開きます。

この症状が出たのは先日質問した症状と同時期ですので、一緒にスパイウェアに感染したのだと思います。

Ad-Awareで検索しているのですがヒットしません。

駆除するにはどうしたらよいでしょうか？

パソコンの環境です。
OS WinXP
Operaのバージョン 7.23

補足が必要であればします。

よろしくお願いします。

回答No.8

zoro2 · ベストアンサー

追加情報補足のお願い

（１）O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
　C:\Windows\SOUNDMAN.EXEのプロパティ教えてください。
　「全般」サイズ：
　「全般」作成日時：
　「バージョン情報」会社名：

（２）MSNToolBarをインストールされていますか？

（３）また、これに関連して、「HijackThis」のログに下記の行があるか教えてください。
　O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST\01.02.3000.1001\en-xu\stmain.dll
　O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.3000.1001\ja\msntb.dll
　O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.3000.1001\ja\msntb.dll
O4 - HKLM\..\Run: [msnappau] "C:\Program Files\MSN Apps\Updater\01.02.3000.1001\ja\msnappau.exe"

（４）下記設定は通常スタートアップやDPFには登録されないものですが、何か心当たりはありますか。
　O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_04\bin\jusched.exe
　O16 - DPF: {CAFEEFAC-0014-0001-0001-ABCDEFFEDCBA} (Java Runtime Environment 1.4.1_01) -

（５）下記の行をチェックして「Fix checked」をクリックして改善されるか試してください。
O4 - HKLM\..\Run: [loads.exe] C:\WINDOWS\medload.exe

お礼

先ほど電源を切ったところmedload.exeが終了出来ないという警告がでずに電源を切ることが出来ました。

補足

（１）
サイズ　46,592バイト
作成日時　2003年3月15日、22:00:09
会社名　Avance Logic, Inc.
（２）
インストールしています。
（３）
すべての行があります、。
（４）
心当たりはないです。ファイル名を見ただけですとどんなファイルか分からないです。
（５）
改善されませんでした。ですがいつもパソコン終了時にプログラムが終了できない状態だといわれ「すぐに終了」をクリックし終わらせています。放っておいてもずっと終了されません。この症状は今回の問題と同じ時期に出てきました。

よろしくお願いします。

回答No.7

zoro2

以下、駆除方法です。
http://www.spywareguide.com/product_show.php?id=794

☆「HijackThis」を使う
とは言うものの、このウィルスは感染の都度、ランダムなファイル名になります。
ファイル名がわからないのでは作業が出来ません。
「HijackThis」スキャンログのなかに不審なものが無いか調べてください。

O4 - HKLM\..\Run: で始まる行
O4 - HKCU\..\Run: で始まる行
O16 - DPF: で始まる行

解らなければそれらの行をコピーして貼り付けてください。

お礼

O16 - DPF: {4085F8D0-D76A-4B1D-A82E-D580BDF14FD8} (HanGamePluginJP12 Class) - http://www.hangame.co.jp/gamenc/HanGamePluginJP12.cab
O16 - DPF: {41F17733-B041-4099-A042-B518BB6A408C} - http://a1540.g.akamai.net/7/1540/52/20030530/qtinstall.info.apple.com/bonnie/jp/win/QuickTimeInstaller.exe
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (ウイルスバスター On-Line Scan) - http://a840.g.akamai.net/7/840/537/2004033001/housecall.antivirus.com/housecall/xscan53.cab
O16 - DPF: {B469C508-9A75-4A62-BFA9-62802D653A4B} (HanGamePluginJP15 Class) - http://down.hangame.co.jp/jp/dist/hgstart/HanGamePluginJP15.cab
O16 - DPF: {C71C8580-B76B-4FA4-8592-1160E8CE2BBC} (AvatarBooster Class) - http://www.hangame.co.jp/gamenc/HanGamePluginJP13.cab
O16 - DPF: {CAFEEFAC-0014-0001-0001-ABCDEFFEDCBA} (Java Runtime Environment 1.4.1_01) -
O16 - DPF: {E56347B0-6C2B-4C2E-939F-EE513EAC80BC} (Creative Product Registration ActiveX Control Module) - http://www.creative.com/register/OCXs/CtORWebClientNoMFC.cab

スキャンしました。自分ではどれが不審なのか見当つきませんでした。よろしくお願いします。

補足

O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [LoasMouse] C:\Program Files\Loas\Mouse Pack\LoasMApp.EXE
O4 - HKLM\..\Run: [RealTray] C:\Program Files\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [pccguide.exe] "C:\Program Files\Trend Micro\Virus Buster 2004\pccguide.exe"
O4 - HKLM\..\Run: [PCClient.exe] "C:\Program Files\Trend Micro\Virus Buster 2004\PCClient.exe"
O4 - HKLM\..\Run: [TM Outbreak Agent] "C:\Program Files\Trend Micro\Virus Buster 2004\TMOAgent.exe" /run
O4 - HKLM\..\Run: [msnappau] "C:\Program Files\MSN Apps\Updater\01.02.3000.1001\ja\msnappau.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_04\bin\jusched.exe
O4 - HKLM\..\Run: [loads.exe] C:\WINDOWS\medload.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Mozilla Quick Launch] "C:\Program Files\Netscape\Netscape\Netscp.exe" -turbo
O16 - DPF: ppctlcab - http://69.44.122.156/scanner/ppctlcab.cab
O16 - DPF: Yahoo! Chat JP 2 - http://cs1.chat.yahoo.co.jp/c300/chat.cab
O16 - DPF: {29F5DFC6-6A4B-47DB-BCF4-5A74F7CBFF43} (HanGamePluginJP13 Class) - http://www.hangame.co.jp/gamenc/HanGamePluginJP13.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {2FC9A21E-2069-4E47-8235-36318989DB13} (PPSDKActiveXScanner.MainScreen) - http://69.44.122.156/scanner/axscanner.cab
O16 - DPF: {347CA4E0-EAD6-459B-8D02-A7CA49858B0C} - file://C:\Documents and Settings\****\My Documents\My Music\My Playlists\3月\（アルバム）[2004.02.25] 玉置成実 - Greeting\リスト.txt.exe

回答No.6

zoro2

★IEが強制終了？
　例のURLへアクセスします。
　一瞬、IEが強制終了されたように見えます。
　その理由は下記スクリプトが埋め込まれているためです。
　　self.resizeTo(1,1);
　　self.moveTo(5000,5000);
　サイズを （1X1）ピクセルに縮小し、表示位置を（5000,5000）ピクセルに変更しているためです。

★タブブラウザーの場合
　Opera等、タブブラウザーでは画面のサイズや位置を個別に変更する設定はありませんので通常のサイズで表示されます。

★WindowsXPでSP2にバージョンアップされている場合
　画面表示サイズの最小値と、表示位置の最大値に制限が加えられたようで、画面右下に約3センチ四方で表示されます。

★タスクバーの表示
　タスクバーにはIEのアイコンが表示されます。

★タスクマネージャの表示
　アプリケーション画面で起動中のIEを確認できます。

★ポップアップの表示
　HTMLに書き込まれたスクリプトによって、乱数を発生させ、ランダムなページを不規則な間隔で表示させようとします。

★空白のページ
　ブラウザーのポップアップブロックが働いているためか、または、スポンサーが無いため白紙のページになっていると思います。
　古くからある低レベルのトリックで、どこもスポンサーが付かないんでしょうね。

以下、駆除方法へ

回答No.5

yokotarou

こちらのサイトのソフトを試されては
いかがでしょうか。
スパイウェアで防ぐ事ができないのもあります。
「スタート」→「設定」→「コントロールパネル」を開き、その中にある「インターネットオプション」でレジストリの状態を初期に戻すといけるかもしれません。

参考URL：

http://virus.client.jp/spy.html

お礼

有難うございます。参考にします。

回答No.4

zoro2

「Roimoi」というアドウエアのようです。
下記参照ください。
http://www.symantec.com/region/jp/avcenter/venc/data/adware.roimoi.html
感染しているファイル名がわかれば比較的簡単に削除できると思います。
ファイルを削除できない場合はセーフモードで再起動して削除してみてください。

運がよければ「Ad-aware SE」で自動的に削除できると思います。

ダウンロード
http://www.download.com/3000-8022-10045910.html
Ad-awareの使い方
http://www.dream-seed.com/server/spy.html

お礼

回答有難うございます。ad-awareでは削除されないようです。ウイルスバスターをインストールしておりノートンは持っていないのです。

回答No.3

noname#40123

それでは、次のサイトにアクセスしてみてください。

アダルトサイト被害対策の部屋　被害対策手順
「スパイウェア除去ウィザード － 順を追って作業を行うことで問題解決（たぶん）－ 2004.5.8改訂」
http://higaitaisaku.web.infoseek.co.jp/removewz01.html

このHPのアドレスは、前回質問してNo3で回答した方の紹介しているページです。
おそらく、全体のページを読んでもわからなくなると思いましたので、
まずは、このアドレスにある手順通りに試してください。

それで解決が出来なければ、「質問専用掲示板」も設置されています。
そちらで質問をしてください。

お礼

有難うございます。参考にします。

回答No.2

zoro2

URLの先頭の「http://」を「ttp://」にしても削除されるか試してください。

回答No.1

zoro2

>症状ですが勝手にページを開きます。内容は白紙です。

白紙でも多分URLが表示されると思います。
補足してください。

補足

書いていましたがOKWebから修正されました。