締切済み

PE_JEEFO.A（W32/Jeefo）というウィルスに感染しました

2005/04/16 11:56

昨晩立ち上げたらVB（2005）からの発見報告が出ました。すぐさまトレンド社へアクセスし、対応方法であるタスクマネージャーで『確認したファイルの名称のプロセスを終了する』を実行したのですが、（私のは「SVCHOST.EXE」でした）いくつかのプロセスを終了すると突然警告が出てカウントダウンを始め、再起動をしてしまいました。何度か試したのですが結果は同じでした。 VBのメイン画面も起動できず、ファイルを改ざんされてしまったのではないかと心配です。（タスクバーのアイコンは表示されています）今朝も同じことをやって同じ結果になったので対策方法を探しています。ご存知の方がいらしたら、是非回答をお願いします。またこういう場合、トレンド社以外のサイトの対策方法をやるとどうなるかご存知の方も、回答お願いします。

wakamatsu
お礼率16% (1/6)

ウィルス・マルウェア
回答数6
ありがとう数1

みんなの回答 （6）
専門家の回答

みんなの回答

hamahamachan
ベストアンサー率50% (318/624)

2005/04/17 16:14 回答No.6

RunやRunServicesにウイルスファイルのレジストリが置かれることによって、パソコン起動時にウイルスファイルが起動するようになるわけで、それを削除することによって、ウイルスファイルが起動されないようにし、それで再起動してウイルス対策ソフトで検出（隔離）する、というのが一般的な方法と理解しています（ファイルが起動していると隔離できないので。）それ以外の場所にある場合は、サポートに電話してサポートを受けながら駆除すべきと思います。

ログインすると、全ての回答が全文表示されます。

melon433
ベストアンサー率55% (5/9)

2005/04/16 21:38 回答No.5

XPではサービスとして起動するのでコントロールパネル→管理ツール→サービスでPowerManagerというところを探して右クリックプロパティから停止とスタートアップの種類を無効にして、実行ファイルのパスも確認しておきます。あとは再起動させて、手持ちのウィルス撃退ソフトで処理すればいいかと。あるいはこのような、ツールもあります。 http://www.sophos.co.jp/support/disinfection/jeefoa.html

ログインすると、全ての回答が全文表示されます。

hamahamachan
ベストアンサー率50% (318/624)

2005/04/16 18:26 回答No.4

PowerManager = C\Windows\SVCHOST.EXEが、HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesのところにあったのであれば大丈夫。だけれど、削除する前に、必ずバックアップをとっておいてください。レジストリ操作は慎重にしないといけないので。念のため、その方法を書いておきますが、左側のRunServiceをクリックして青くなってる状態で、「ファイル」「エクスポート」を選び、「ファイルを保存する場所」はデスクトップにして、ファイル名を何でもいいけれど「BackupApr16」とかわかりやすいものにして保存します。これでデスクトップにバックアップが作成されます。該当レジストリを削除して、ウイルスの処理が終わってから（これも、検出されたファイルは隔離にしといたほうがいいと思います）、1週間程度は普通にPCを使って動作に問題ないことを確認できてから、レジストリのバックアップファイルと、隔離されていたウイルスファイルを削除したらいいと思います。ごくごくまれですが、誤って検出されたりすることもあるものですから。

質問者

補足 2005/04/16 19:12

何度も回答していただいて本当に申し訳ないのですが…私がPowerManagerを見つけたところはRunServicesではなく、 HKLM/System/CurrentControlSet/Services/というところなんです。 http://www.viruschaser.jp/vi_index/vi_w/Win32.HLLP.Jeefo.36352.html の通りで、トレンド社とhamahamachanさんのいうRunServicesが、レジストリに入っていません。OSがXPだからと思うのですが、XPにもRunServicesはあるのでしょうか？

ログインすると、全ての回答が全文表示されます。

hamahamachan
ベストアンサー率50% (318/624)

2005/04/16 16:59 回答No.3

>別の場所（c:/Windows/System32/）にありました。とのことですが、それはウイルスとして検出されたファイルのフルパス（SVCHOST.EXEのもの）でしょうか。ウイルスのファイルは、よく、本来のWindowsのファイルを詐称します。私は、c:/Windows/System32/svchost.exeはWindows本来のものだと思います。だから、そのレジストリを削除してはいけないでしょう。もし、ウイルスとして検出されたのがc:/Windows/System32/svchost.exeだったのであれば、ウイルスバスターのほうに問い合わせをしてから削除したほうがいいです。Windowsのシステムファイルのレジストリを削除すると、再起動しなくなる可能性があるからです。問い合わせはWebからもできますよ。

質問者

補足 2005/04/16 17:17

回答ありがとうございます！もう一度よく調べてみたところ、c:/Windows/System32/と、トレンド社の公開していたPower Managerのところにありました。（c:/Windows/svchost.exeで合っているなら）これを消してしまえばいいんですよね…？

ログインすると、全ての回答が全文表示されます。

hamahamachan
ベストアンサー率50% (318/624)

2005/04/16 14:29 回答No.2

Windowsの初期設定で、RPC サービスが停止するとWindows 自体を再起動するようになっているので、RPCサービスをホストしているsvchost.exeのプロセスを終了したために再起動がかかるんだと思います。RPCサービスが動いてないことによって、多分ウイルスバスターもうまくいかないのだと思います。こういうときは、タスクマネージャでプロセスを終了せずにセーフモードで起動することによって感染ファイルを起動させずにWindowsを起動し、レジストリの修正を行えばいいです。（セーフモードは、メーカーロゴ画面がでたところでF8を連打して黒背景に白字の画面にして、画面の指示に従って起動します）。レジストリの修正が終わったら、パソコンを今度は通常モードで再起動し、ウイルスバスターで再度検索をかければ、ウイルスファイルが隔離されると思います。隔離されればOKです。

質問者