PE_JEEFO.A（W32/Jeefo）というウィルスに感染しました

質問

昨晩立ち上げたらVB（2005）からの発見報告が出ました。
すぐさまトレンド社へアクセスし、対応方法であるタスクマネージャーで『確認したファイルの名称のプロセスを終了する』を実行したのですが、（私のは「SVCHOST.EXE」でした）いくつかのプロセスを終了すると突然警告が出てカウントダウンを始め、再起動をしてしまいました。何度か試したのですが結果は同じでした。
VBのメイン画面も起動できず、ファイルを改ざんされてしまったのではないかと心配です。（タスクバーのアイコンは表示されています）

今朝も同じことをやって同じ結果になったので対策方法を探しています。ご存知の方がいらしたら、是非回答をお願いします。
またこういう場合、トレンド社以外のサイトの対策方法をやるとどうなるかご存知の方も、回答お願いします。

回答No.6

hamahamachan

RunやRunServicesにウイルスファイルのレジストリが置かれることによって、パソコン起動時にウイルスファイルが起動するようになるわけで、それを削除することによって、ウイルスファイルが起動されないようにし、それで再起動してウイルス対策ソフトで検出（隔離）する、というのが一般的な方法と理解しています（ファイルが起動していると隔離できないので。）

それ以外の場所にある場合は、サポートに電話してサポートを受けながら駆除すべきと思います。

回答No.5

melon433

XPではサービスとして起動するので
コントロールパネル→管理ツール→サービスでPowerManagerというところを探して右クリック
プロパティから停止とスタートアップの種類を無効にして、実行ファイルのパスも確認しておきます。
あとは再起動させて、手持ちのウィルス撃退ソフトで処理すればいいかと。
あるいはこのような、ツールもあります。
http://www.sophos.co.jp/support/disinfection/jeefoa.html

回答No.4

hamahamachan

PowerManager = C\Windows\SVCHOST.EXEが、HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesのところにあったのであれば大丈夫。

だけれど、削除する前に、必ずバックアップをとっておいてください。レジストリ操作は慎重にしないといけないので。

念のため、その方法を書いておきますが、左側のRunServiceをクリックして青くなってる状態で、「ファイル」「エクスポート」を選び、「ファイルを保存する場所」はデスクトップにして、ファイル名を何でもいいけれど「BackupApr16」とかわかりやすいものにして保存します。これでデスクトップにバックアップが作成されます。

該当レジストリを削除して、ウイルスの処理が終わってから（これも、検出されたファイルは隔離にしといたほうがいいと思います）、1週間程度は普通にPCを使って動作に問題ないことを確認できてから、レジストリのバックアップファイルと、隔離されていたウイルスファイルを削除したらいいと思います。

ごくごくまれですが、誤って検出されたりすることもあるものですから。

補足

何度も回答していただいて本当に申し訳ないのですが…私がPowerManagerを見つけたところはRunServicesではなく、
HKLM/System/CurrentControlSet/Services/というところなんです。

http://www.viruschaser.jp/vi_index/vi_w/Win32.HLLP.Jeefo.36352.html

の通りで、トレンド社とhamahamachanさんのいうRunServicesが、レジストリに入っていません。OSがXPだからと思うのですが、XPにもRunServicesはあるのでしょうか？

回答No.3

hamahamachan

>別の場所（c:/Windows/System32/）にありました。

とのことですが、それはウイルスとして検出されたファイルのフルパス（SVCHOST.EXEのもの）でしょうか。

ウイルスのファイルは、よく、本来のWindowsのファイルを詐称します。私は、c:/Windows/System32/svchost.exeはWindows本来のものだと思います。だから、そのレジストリを削除してはいけないでしょう。

もし、ウイルスとして検出されたのがc:/Windows/System32/svchost.exeだったのであれば、ウイルスバスターのほうに問い合わせをしてから削除したほうがいいです。Windowsのシステムファイルのレジストリを削除すると、再起動しなくなる可能性があるからです。

問い合わせはWebからもできますよ。

補足

回答ありがとうございます！
もう一度よく調べてみたところ、c:/Windows/System32/と、トレンド社の公開していたPower Managerのところにありました。（c:/Windows/svchost.exeで合っているなら）これを消してしまえばいいんですよね…？

回答No.2

hamahamachan

Windowsの初期設定で、RPC サービスが停止するとWindows 自体を再起動するようになっているので、RPCサービスをホストしているsvchost.exeのプロセスを終了したために再起動がかかるんだと思います。RPCサービスが動いてないことによって、多分ウイルスバスターもうまくいかないのだと思います。

こういうときは、タスクマネージャでプロセスを終了せずにセーフモードで起動することによって感染ファイルを起動させずにWindowsを起動し、レジストリの修正を行えばいいです。（セーフモードは、メーカーロゴ画面がでたところでF8を連打して黒背景に白字の画面にして、画面の指示に従って起動します）。

レジストリの修正が終わったら、パソコンを今度は通常モードで再起動し、ウイルスバスターで再度検索をかければ、ウイルスファイルが隔離されると思います。隔離されればOKです。

補足

回答ありがとうございます！
しかし説明を受けたようにセーフモードでレジストリ修正を行う際、トレンド社が公開している場所に削除すべき値がなく、別の場所（c:/Windows/System32/）にありました。これを消してしまえばよいのでしょうか？ちなみにOSはXPです。

回答No.1

ikeikeikeikeike

参考までにどうぞ

トレンドマイクロ
PE_JEEFO.A
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=PE_JEEFO.A

シマンテック
W32.Jeefo
http://www.symantec.com/region/jp/sarcj/data/w/w32.jeefo.html

マカフィー
W32/Jeefo
http://www.mcafeesecurity.com/japan/security/virJ2003.asp?v=W32/Jeefo

お礼

とても参考になりました！
回答ありがとうございます！