Trojan Vundo感染。WinXP SP2のSafe Mode立上げ困難

2005/11/17 14:01

このQ&Aのポイント

先日、WinMAX2005経由でTrojan.Vundoに感染した模様。
NortonのTrojan.Vundo駆除ソフトを実行すると感染ファイルは駆除されたが、Nortonの完全スキャンでは感染ファイルが検出される。
Windows XPのシステムの復元機能を無効にした上でSafe Modeで立上げを試みるが、立ち上げられず行き詰まっている。

Dell-kun
お礼率100% (1/1)

ウィルス・マルウェア
回答数1
ありがとう数2

みんなの回答 （1）
専門家の回答

質問者が選んだベストアンサー

ベストアンサー

doki2
ベストアンサー率51% (440/860)

2005/11/18 13:23 回答No.2

☆「WinMAX2005」　「WinMX2005」のことと思います。　十分な知識なしにこの種のソフトを使われるのは問題があります。。　使い方を誤ると、機密情報が外部に漏洩したり、著作権法違反で訴えられ多額の賠償金を請求されたり、悪質なウィルス・スパイウエアに感染したりします。　もし、正しい使い方をしておられるかどうか疑問がある場合、これを機会にもう一度考え直してください。 ☆「Vundo」について　「Vundo」を、ここの掲示板で駆除できるかどうか試してみませんか。　かなり面倒な作業にはなりますが、理屈さえわかればそれほど難しいことはありません。以下、Dell-kunさん、ある程度の知識がおありのようですのでご説明します。 ☆「DLL」ファイルについて　「DLL」（Dynamic Link Library）ファイルというのはプログラムの一種です。　http://www.atmarkit.co.jp/icd/root/55/5787155.html 　「DLL」ファイルはRUNDLL32.exeというプログラムを使ってメモリーに呼び出すこともできますが、Explorer.exeやWinlogon.exeから呼び出すこともできます。　Explorer.exeやWinlogon.exeから「DLL」ファイルを呼び出すという手法は一般のアプリケーションソフトでも使われる手法で、今まで、スパイウエアに使われることは殆どありませんでしたが、最近、この手法がアドウエアでも使われるようになり駆除に苦慮しているのが現状です。　RUNDLL32.exeを使って呼び出された場合は、「Regsvr32 /u」というコマンドを使って「DLL」ファイルを終了させて簡単に削除することができます。　所が、Explorer.exeやWinlogon.exeから呼び出された場合、Explorer.exeやWinlogon.exeを終了させなければ「DLL」ファイルを削除できません。 ☆Explorer.exeの終了　タスクマネージャを使ってExplorer.exeおよびExplorer.exeから呼び出されている「DLL」ファイルを終了させることができます。　タスクマネージャのプロセス画面でExplorer.exeを選択し、右クリックしてメニューの「プロセスツリーの終了」を選択します。　エキスプローラの画面、タスクバー等、Explorer.exeから呼び出されているプロセスがすべて終了されるので驚くと思いますが異常ではありません。　Explorer.exeから呼び出されている「DLL」ファイルは、この状態で削除できるようになります。　しかし、ファイルを削除のためエキスプローラを起動すると元の木阿弥に戻り駆除できません。　コマンドプロンプトで「Del」コマンドを使って「DLL」ファイルを削除します。 ☆Winlogon.exeの終了　タスクマネージャのプロセス画面でWinlogon.exeを選択し終了させようとすると下記表示になり終了できません。　「重要なシステムプロセスです。タスクマネージャはこのプロセスを終了できません。」　この場合、「ProcessExplorer」というツールを使ってWinlogon.exeを終了（Kill）させることができます。　http://www.sysinternals.com/Utilities/ProcessExplorer.html 　所が、Winlogon.exeを終了させるとWindowsも終了してしまいファイルの削除どころではありません。 ☆バッチファイル　そこで登場するのがバッチファイルです。　バッチファイルには「Cmd.exe」というのが使われますが、Winlogon.exeを終了させたのちも「Cmd.exe」が起動されている間はプログラムやコマンドの実行が可能なのです。　バッチファイルを使って、「ProcessExplorer」でWinlogon.exeを終了させ、有害なファイルを除去することになります。 ☆「HijackThis」　また、駆除作業には「HijackThis」というツールが必要になります。　HijackThis 1.99.1 　http://www.download.com/HijackThis/3000-8022_4-10379544.html?tag=lst-0-1 　ただし、使い方がわからずに操作すると重大な支障が発生することがあります。　十分な知識なしに指示されたこと以外の操作をしないように注意してください。　下記参考にしてください。　HijackThisによるレポート出力と手動でのスパイウェア除去　http://www.higaitaisaku.com/hijackthis.html 　HijackThisログ解析入門　http://www.higaitaisaku.com/htkaiseki.html ここまでの説明で、「もううんざり」という場合は、リカバリをお勧めします。質問者さんのお気持ちとか、わからないことがあれば補足してください。また、下記参考にしてください。 Windows XP を Safe モードで起動するには http://support.microsoft.com/default.aspx?scid=kb;ja;880414

質問者