TROJ_PROXY.BKに感染した？

質問

トレンドマイクロのauto_tscを利用して
WORM_SDABOT.CDSの感染を確認しました。

念のため体験版をダウンロードしてチェックして問題なかったのですが、次の日に体験版がたまたまスキャンをかけたら
c:\winnt\winsock\csrss.exeに
TROJ_PROXY.BKと言うウィルスがいて削除できないというメッセージが表示されました。

仕方がないのでセーフモードで立ち上げて削除しましたが
システムの起動時、エラーメッセージの表示されるようになりそれが邪魔なため、同じ型番の別のコンピュータからc:\winnt\winsock\csrss.exeをコピーして入れたらまた、同じウィルスに感染していますと出てきました。

TROJ_PROXY.BKはトレンドマイクロのデータベースにないので正体が不明なので教えて下さい。

c:\winnt\winsock\csrss.exeはそもそも存在して良いファイルなのかが分からないのです。

よろしくお願いします。

回答No.2

koooosuke

う～ん、そのウイルス名とは違うのですが、
検索により以下の情報を手に入れました。

http://www.viruschaser.jp/vi_index/vi_w/Win32.HLLM.generic.325.html

どうやら
smss.exe
winlogon.exe
csrss.exe
はウイルスのようですね。駆除して間違いないような気がします。
しかし、レジストリもいじられているみたいで、そのせいでエラーメッセージなどが表示されるみたいです。

http://www.symantec.com/region/jp/avcenter/venc/data/jp-w32.sober.n@mm.html
レジストリの削除の仕方はこのページの
「5. レジストリから値を削除する」
を見ていただくと判りやすいと思います。

ただ、ウイルス名が違う為？レジストリの内容も違うかもしれませんが、参考までにどうぞ。

一度ウイルスに感染するとウイルス駆除ソフトの重要性がわかりますよね～。

補足

いろいろ調べてみた結果
csrss.exeと言うファイルは昔流行したnimdaとかの感染ファイルにもなっていたようなのですが、\winsock\csrss.exeと今回作成されているフォルダーと組み合わせると検索に引っかかってこないのです。…
別の同じ型番のコンピュータにもあったので必要なファイルと思っていたのですが。

回答No.1

yoshi-thk

厳しい回答を示しますけれど、すぐにデータ類を別の媒体に移動させてください。
そして、リカバリしてください。ハードディスクはフォーマットしてください。
その後、ウイルス対策ソフトとスパイウェア対策ソフトを入れてください。

おそらく、そのウイルスは、感染ファイルの削除だけでは済みません。
レジストリの改修も必要なウイルスです。それをしないと再び同じウイルスに感染します。

最初のウイルスに関してはどのように処置したのでしょうか？
このウイルスは、修正プログラムを実行している限り感染する可能性はないのですが。

WORM_SDBOT.CDS
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=WORM%5FSDBOT%2ECDS

最初のウイルス駆除に失敗しているようですので、感染を確認しているパソコンに関しては、リカバリして、
その上でウイルス対策ソフト等の導入することを勧めます。

補足

WORM_SDBOT.CDSは
トレンドマイクロのシステムクリーナー(auto_tsc)を使用して正常に削除されました。
念のため、ウィルススキャンの体験版を実行したところ今回の様になりました。

ウィルススキャンはTROJ_PROXY.BKに感染しています。
と出力するのですが、トレンドマイクロで調べるとそのようなウィルスはないのです。

よろしくお願いします。