BKDR IRCFLOOD.EMに感染しました。

質問

BKDR IRCFLOOD.EMに感染しました。

ノートンでは発見されなかったのですが、ウイルスバスターのオンラインスキャンで発見されました。

駆除方法で判らないことがあります。

場所：
HKEY_CLASSES_ROOT\irc\Shell\open\command
値：
・修正前：
(標準)=”＜手順1）で検出されたハッキングツールのパス名、ファイル名＞ -noconnect”
・修正後：
(標準) = ＜正規のmIRCのパスとファイル名＞
例：C:\mIRC\ mIRC32.exe

の、正規のmIRCのパスって何のことでしょうか？

回答No.5

wirelessml · ベストアンサー

ウサギさんはmIRC 6.16をお使いなのでしょうか？
　私も試しにインストールしてみましたが、このソフトは英語なのでよくわかりません。
　C:\mIRC\ mIRC32.exeというのはこのチャット・ソフトの正式な場所（パス）です。
　このmIRCというソフトを利用したハッキングツールを探し出して削除してしまおうということですね。
　私ならこんな危ないチャット・ソフトは使用停止（アンインストール）にしてしまいますが・・・

ハッキングツールのファイル名を確認します。最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「BKDR_IRCFLOOD.EM」で検出したファイル名を確認してください。
システムのプロセス上に常駐しているハッキングツールを強制終了します。手順 1)で検出されたファイル名を以下の手順でタスクマネージャを起動し終了します。
・Windows 95/98/ME の場合 CTRL+ALT+DELETEを押します。
・Windows NT/2000/XP の場合 CTRL+SHIFT+ESCを押します。

参考URL：

http://www.mirc.co.uk/translations/japanese.html

お礼

ありがとうございました。
とても参考になりました。

補足

回答ありがとうございます。
下の質問にも書いたのですが、

いろいろ考えて、ｍＩＲＣはチャットソフトらしくて、わたしは使った覚えがないので、
ウイルスに感染していた、ファイルがある行を削除しました。
で、もともとあったirc とかChat Fileとかも削除してしまいたいのですが、良いのでしょうか？

あと、プログラムの追加と削除　にmIRC　があったので
削除したのですが、すでに削除されていて、現在項目だけあるので削除しますか？
と聞かれたので、はい　を選択しました。
これで、このソフトは無くなったと考えて良いのでしょうか？
いったいいつの間に入ったのか・・・？

回答No.6

hoihence

#4です。

IRCクライアント=IRCチャットソフト

IRCというのは昔からあるチャットで、WEBチャットとは別のタイプのものです。

>もともとあったirc とかChat Fileとかも削除してしまいたいのですが、良いのでしょうか

いいです。

>あと、プログラムの追加と削除　にmIRC　があったので
削除したのですが、すでに削除されていて、現在項目だけあるので削除しますか？
と聞かれたので、はい　を選択しました。
これで、このソフトは無くなったと考えて良いのでしょうか？

たぶん、フリーソフトか何かをインストールしたときに紛れ込んだかもしれません。で、当該元ファイルが削除されたので、「項目を削除しますか」と表示されたと思います。

念のため、再スキャンをして、駆除が完了したかどうかを確認して下さい。

お礼

ありがとうございました。
再スキャンの結果何事もありませんでした。
これからもウイルスに気をつけます。

回答No.4

hoihence

こんにちは。

レジストリの修正だけに関していえば、

レジストリエディタで、検出されたファイル名で検索し、削除。

「正規のmIRCのパス」に関しては、IRCクライアントを使ってればの話です。

補足

いろいろ考えたのですが、ｍＩＲＣはチャットソフトらしくて、わたしは使った覚えがないので、
ウイルスに感染していた、ファイルがある行を削除しました。
で、もともとあったirc とかChat Fileとかも削除してしまいたいのですが、良いのでしょうか？

あと、プログラムの追加と削除　にmIRC　があったので
削除したのですが、すでに削除されていて、現在項目だけあるので削除しますか？
と聞かれたので、はい　を選択しました。

回答No.3

noname#40123

No1ですが、No2の方が紹介しているページの日本語版は次の通りです。

MIRC トロイの木馬に関連する攻撃の検出と修復
http://support.microsoft.com/?scid=kb%3Bja%3B328691&x=14&y=14

この中でも触れられていますが、復旧について以下のように書いています。

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
一般的にトロイの木馬などの侵害を許してしまった場合、
システムを侵害されていない安全なバックアップから復旧するか、
再構築することをお勧めいたします。

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

要約すると、ウィルスに感染していない時点でのバックアップファイルの状態に戻すか、
リカバリをして、初期状態に戻してくださいと言うことなのです。
ですから、リカバリをすることを勧めます。

なお、今回検出されたウィルスに関しては、シマンテックサイトでは、ウィルス検知していないのですから、
サポートページを通じて、ウィルスの鑑定をしてもらうようにしてください。
そうしないと、ノートン利用者はこのウィルスには対抗できないようですので。

補足

すごい！日本語版はどうやって見つけたのでしょうか？
私もMicrosoft Japanで　ＭＩＲＣで検索したのですが見つかりませんでした。

ウイルスの鑑定依頼はどのように、依頼したらいいのでしょうか？
今回のウイルスはもう削除してしまったので、次回以降のために教えて下さい。

回答No.2

doki2

下記に詳しい解説があります(全文英語です。)

MIRC Trojan-related attack detection and repair
http://support.microsoft.com/default.aspx?scid=kb;en-us;Q328691

私はIRCをやったことが無いので、修復のお手伝いはできません。

ウィルスバスターの体験版を使うという方法もあります。
http://www.trendmicro.com/jp/products/desktop/vb/evaluate/trial-dl.htm

ただし、現在御使用のウィルス対策ソフトやファイアウォールソフトをアンインストールしてからウィルスバスターをインストールしてください。

また、首尾よく駆除できた際は、次回ウィルス対策ソフトの更新時にウィルスバスターも購入対象にいれてあげるようにしてください。

お礼

回答ありがとうございます。
翻訳ソフトで翻訳してみたのですが
良くわかりませんでした。
もうちょっと考えてみます。

回答No.1

noname#40123

BKDR_IRCFLOOD.EM
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=BKDR_IRCFLOOD.EM

上記の内容を見て疑問に思ったのでしょうね。
オンラインスキャンですから、サポート対象外になるので質問をしても受付できない可能性はありますね。
このように書かれているので、修正前の部分を削除して、例として書かれているような命令文に訂正すると言うことなのでしょう。

でも、万が一のことを考えて、時間は掛かりますがリカバリした方が安全で確実に駆除できます。

念のために、レジストリのバックアップを採ってから、修正をしてみるか、
リカバリをするかのどちらか一つしか方法はないでしょう。

お礼

回答ありがとうございました。
どうしても、拉致があかなければリカバリ　してみます。
出来ればしたくないんですが・・・