検出、隔離の繰り返し・・

質問

こんにちは。
プロバイダのサービスのセキュリティ対策ソフト(見た目ウィルスバスターと同じ)を利用してるのですが、最近になってリアルタイム検索で下記の画面がでます。

『リアルタイム検索中にウイルス/スパイウェアが見つかったため、自動的に処理しました。処理の結果は次のとおりです。』

『処理の結果: ウイルスが見つかったため、ファイルを隔離しました。ご安心ください』

『ウイルス/スパイウェア名: TSPY_WOW.QG (クリックで詳細情報を表示) 』

隔離は出来てる様なのですが、問題はこれが頻繁に出るので困ってます。
アップデートした状態でウィルススキャンで全てをスキャンしても特に検出もされないので、スパイウェア検索して検出したものを削除しても症状はかわりません(>_<)

どうすればこの症状を直せるのかわからなく困ってます(^^;
アドバイスできる方いたら教えてください。宜しくお願いします。

回答No.6

mama_ane · ベストアンサー

>小文字のは関係ないのかもですが・・。
それは正規のファイルです。

>文字数が多いからでしょうか？(>_<)
ですね・・・文字制限がなんとも辛い。

えっと、デュアルブートで使用しているのですか？(Fドライブって？？)

>F:\DOCUME~1\taka\LOCALS~1\Temp\55.exe
Tempファイルなのでセーフモードで起動して
[スタート] ＞ [ファイル名を指定して実行] ＞「%Temp%」と入力するとTempフォルダが表示されます。
「Ctrl」＋「A」でファイルすべて反転させて削除します。

>F:\WINDOWS\Downloaded Program Files\SAHUninstall_.exe
.exeなので↓こちらの方法で探せませんか？
http://wiki.higaitaisaku.com/wiki.cgi?action=ID&b=_f48VAdgE6WSAG1bjW6SYg

★で・・・問題はこちら
>F:\WINDOWS\system32\dumpreps.dll
Systemに入り込んでます。
.dllファイルは結構やっかいな場所に食い込んでいるのが多いです。
大概はPC起動と同時に動き出せるような場所に棲みついているケース多いです。
システムのどこに食い込んでいるか不明で場所次第では簡単には無理です。

※他にも影響出ている可能性大でこればっかりはアダ被でログを詳しく見てみなきゃ判断難しいです。
　中華系の駆除数回やってますけどウイルス対策ソフトが検知しないファイル多いです。
　これらを複数のログを取って判断しますので素人さんにはまず無理。

ご自身でなんとか・・・と思うのならリカバリが最善
XPでのリカバリ手順は↓No6参照を
http://okwave.jp/qa2269177.html

駆除をと思うのならサイトの移動を行って下さい。
http://bbs.higaitaisaku.com/cbbs.cgi

お礼

色々と丁寧にアドバイスありがとうございました。
当方、素人なもので詳しい事はよくわからなく・・。
色々と試しているものの改善の兆しが一向に現れず、ストレスだけが溜まっていく状態に(^^;
もうリカバリして初めからやってみる事にしました。
本当にご親切にありがとうございました^^

回答No.5

yoshi-thk

No2ですけれど、他にも多数のウイルス感染しているようですね。
完全にハードディスクをクリーンフォーマットしたほうがよいです。

トレンドマイクロ
セキュリティ情報 > ウイルス対策Web > ウイルス対策Web一覧 > ウイルス対策Web - 2004年12月
エージェント（TROJ_AGENT）対策Web
http://www.trendmicro.com/jp/security/web/archive/overview/agent.htm

一つのウイルスに感染して、それが他のウイルスを呼び込んで、他のウイルスにも次々と感染している状態です。
ですから、一つのウイルスを駆除しても、別のウイルスが感染しているという状態でしょう。

リカバリして、全部フォーマットした上で、ウイルス対策し直した方がよいです。

お礼

親切にアドバイス、ありがとうございました(^.^)
リカバリする事にします(^^;

回答No.4

ryu-fiz

一応、トレンドマイクロのQ&Aを載せておきます。
http://esupport.trendmicro.co.jp/supportjp/viewxml.do?ContentID=JP-211925&id=JP-211925

リアルタイムで検出される場合、活動を始める前に阻止出来ていると思われますので、少なくとも検出されたTSPY_WOW.QGに関しては心配いらないと思います。

>問題はこれが頻繁に出るので困ってます。

どのタイミングで出るかによって対処の仕方も変わると思うので、一概に言えないのですが…取り敢えず次のことをやって様子をみてください。

１）コントロールパネルの『インターネットオプション』から、インターネット一時ファイルを削除する。
２）マイコンピュータからCドライブを右クリックして『プロパティ』を開き、『ディスクのクリーンアップ』を使って一時ファイルの削除を行う。
３）XP/Meをご利用の場合は、一旦『システムの復元』を無効にする。

要するに、感染が潜伏しやすい場所を一度クリアしてみる、ということです。これで同じものが何度も見つかる現象を改善出来る可能性があります。

それでもダメな場合…例えば同じサイトを訪問した時に決まって検出される、というときはそのサイトが感染源と考えられますから、場合によっては訪問は控えたほうが望ましいかも知れません。単に『危険とは知らずに危険なサイトにアクセスしている』ことが同じものが何度も見つかる原因である可能性も、全くないとは言えないと思います。

さて、全くイレギュラーに同じものが度々検出される場合…これが一番心配です。ウイルスバスターで検出出来ていない隠れた感染が残っている、という可能性が高いと思われますので、ウイルスバスターを使っての対処には限界があると考えられます。方法としては…

１）パソコンをリカバリする。

２）一般的なウイルス対策ソフトでは対処し切れないものにも効果がある無償のツール、例えばa-squared Freeのようなものを使ってみる。
http://www.emsisoft.jp/jp/software/free/

３）HijackThisのようなツールでの解析、および対処法のレクチャを受けることが出来るhigaitaisaku.comの質問掲示板に移る。その場合、ここでの質問は事前に締め切ること。
http://bbs.higaitaisaku.com/wizard/wizard.cgi
質問作成ウィザードを利用すると、質問がしやすいです。

１つ覚えておいていただきたいことがあります。
数年前と比べると各種感染はより多様化し、ウイルス対策ソフトを入れておくだけでその全てを防ぎ切ることは難しくなっています。新たなタイプの感染も効果的に防ぐための方法については、次の２つのサイトを参考にしてください。
http://www.higaitaisaku.com/korobanu.html
http://www.geocities.jp/iespyad_jpn_manual/quick_guide/txt.html

補足

お返事ありがとうございました。
１）コントロールパネルの『インターネットオプション』～
２）マイコンピュータからCドライブを右クリックして～
３）XP/Meをご利用の場合は、一旦『システムの復元』～
を試してみます<(_ _)>

回答No.3

mama_ane

どこから検出されているか？で処置は変わってきます。
バスターがどこまで食い止めているか…ですね。

バスターログをチェックしてください。
★各ログの出し方参照
http://wiki.higaitaisaku.com/wiki.cgi?action=ID&b=nt5vCg60d6DEKKnQO-D8AA

ログが判断難しい場合は返信に内容を貼って下さい。

それとタスクマネージャーを出してプロセスのチェックを・・・。
大文字の「LSASS.exe・SMSS.exe」が走っていたら感染しています。

ちなみに感染していた場合

TSPY_WOW系…今急激に感染例が増えてきてます。
かなりの箇所レジストリを改竄してきます。

htmlファイルに有害サイトへの誘導タグを挿入します。
(もしHP持ってらっしゃるならサイトを一時閉鎖)

同じ系統感染例
http://bbs.higaitaisaku.com/cbbs.cgi?mode=all&number=85158&type=0&space=0&no=0

駆除は程度にもよりますが数回の処置で直ります。
ただこの場合はログを数種類取って判断する為駆除専門サイトへ移動をお勧めします。
http://bbs.higaitaisaku.com/cbbs.cgi

自力でならリカバリが最適になります。

補足

お返事ありがとうございました<(_ _)>

タスクマネージャーでのプロセスのチェックを行なってみたのですが、大文字での「LSASS.exe・SMSS.exe」は確認できませんでしたが、小文字のは有りました。
小文字のは関係ないのかもですが・・。
内容が全然わからないもので(^^;

ログについては、ログを貼って投稿しようとするとエラー表示になってしまします(^^;
文字数が多いからでしょうか？(>_<)
"11:18","リアルタイム検索","ファイル","TSPY_WOW.QG","F:\DOCUME~1\taka\LOCALS~1\Temp\55.exe","隔離 済み(安全です)",""
"11:24","リアルタイム検索","ファイル","TROJ_AGENT.GAV","F:\WINDOWS\system32\dumpreps.dll","隔離 できません","
"11:34","リアルタイム検索","ファイル","TROJ_AGENT.GAV","F:\WINDOWS\system32\dumpreps.dll","隔離 できません",""
"16:40","リアルタイム検索","ファイル","TSPY_WOW.QG","F:\DOCUME~1\taka\LOCALS~1\Temp\55.exe","隔離 済み(安全です)",""
これと同じ内容がもっと短い間隔でいっぱいログには残ってます。
その他に、"22:03","リアルタイム検索","ファイル","ADW_SAHAGENT.B","F:\WINDOWS\Downloaded Program Files\SAHUninstall_.exe","アクセス拒否(手動処理が必要です)",""
こんなのも有りました・・・。
このログから対策のアドバイスが可能なら宜しくお願いします<(_ _)>

回答No.2

yoshi-thk

おそらく、サーバ側でウイルスバスターの月額版を販売していて、それに加入しているようです。

出来る限り、どこから検出しているのか補足情報を書き込みした方がよいです。
検出されている場所を特定できると思われます。

でも、単純に削除して終わりとしいうタイプではないようです。
レジストリを直して、パスワード類も変更する必要のある、悪質なタイプのスパイウェアに感染した可能性があります。

そのウイルスの情報は見つからないのですが、その系統のウイルスの情報は次で、だいぶ悪質です。

TSPY_WOW.FK
http://www.trendmicro.co.jp/vinfo/grayware/ve_GraywareDetails.asp?GNAME=TSPY_WOW.FK

TSPY_WOW.BU
http://www.trendmicro.co.jp/vinfo/grayware/ve_graywareDetails.asp?GNAME=TSPY_WOW.BU

ですから、リカバリして、パスワード類を変更した方がよいです。

回答No.1

violet430

考えられるのは二つ
・隔離したフォルダを検索して、再表示している（ソフトのバグっぽい）
・システム復元用のデータフォルダに当該ファイルが残っていて、そこを検索するために表示している。
前者についてはメーカのサポートへ問い合わせる
後者についてはシステム復元を一度解除し、再起動すれば出なくなります。

システム復元の無効化方法
http://support.microsoft.com/kb/310405/ja