トロイの木馬への対処方法

質問

トロイの木馬に感染。OSはWINDOWS98SE、現在はネットから切り離しています。
以下は感染したと思われる時の状況です。
先日某掲示板を見ていて、画像リンクがあったので何も考えずにクリックをしました。するとポルノサイトに飛び、ダウンロードのダイアログが沢山出てきたので、
これはまずいと思い全てキャンセルしたのですが、無視されコマンドプロンプト？が出てきて何かが開始されました。焦って即タスクマネージャから終了をしました。
リンク先をウェブ検索したところ、トロイの木馬が仕掛けられていた疑いが強まりました。そこでa-squaredのオンラインスキャンを試してみたところ、
C：WINDOWS\OPTION\～CABS～\internat.exe
が、
Trojan-Spy.win32.Srdl.14
として引っかかりました。（～の部分は覚えていません。すみません）
そのオンラインスキャン上に「delete」という項目があったので、すぐに実行し、そのファイルを消したつもりです。
ファイル検索をしたところ、その場所にあった「internat.exe」は見つからなかったので、どうやらこちらは削除された、と思っていますが、これでこのトロイの脅威はなくなったのでしょうか。
よくトロイの木馬によってレジストリキーを改変されるという事象を耳にしているので、心配を拭うことができません。レジストリは、どの部分が改変されているのか当方にはわからないのでいじっていません。
このような状況ですが、これからどういう対策を採るべきでしょうか？もしくは、採るべきだったということも教えて頂ければ幸いです。
また、この状況においては、バックドアを仕掛けられていると考えたほうが良いでしょうか？
ご回答、何卒よろしくお願い致します。

回答No.3

waros99

まあ、検出はされていても「感染」ではないと思いますね。
HDD上に1ファイル置かれただけかと。起動してメモリ上に展開しないと
感染とは言いませんから。BackDoorも仕掛けられてないかと。
心配なら、カスペルスキーのオンラインスキャンを試して下さい。

お礼

ご回答ありがとうございます。
カスペルスキーの検索結果ではトロイ関連のオブジェクトは検出されませんでした。
No．2の方の言われる様に、誤検出の可能性もありましたね…
誤検出であるかどうかの判断を今後していかなければならないようです。
でもその方が感染よりは喜べますね。

回答No.2

ryu-fiz

う～ん…私の所見は『限りなくシロに近い灰色』です。

>C：WINDOWS\OPTION\～CABS～\internat.exe

正確には"c:\windows\options\cabs\internat.exe"ではないかと。
この検出は、9x系OSにおけるシステムファイルのバックアップ領域内で起こっています。しかもinternat.exeは…システム構成ユーティリティ（msconfig）の『スタートアップ』タブにも表示されるバリバリのシステムファイル、です。

わざわざこの領域を指定してマルウェアが投下されるケースは私の知る限りではありません。

加えて、現行のa-squaredは日本語版の98/Me環境下では正しく動作しないという発表が日本語版販売元から出ています。
http://www.shareedge.com/modules/shareware/view_shareware.php?lid=20050924-002

ページのかなり下のほうにあります『分かっている問題および使用上の注意点』をお読みください。

ということで…今回の検出に関しては私自身は誤検出の可能性が高いのではないか？と見ています。

実を言うと、この記述を知るかなり以前、私自身はa-squared Freeは日本語表示上の問題はあるものの、表示言語を英語に設定すれば機能上問題なく使えると思われる、とのコメントをこの掲示板上で行ったことがありました。もし、そのコメントをご覧になったことがきっかけでa-squaredを利用され、その結果問題が発生したのであれば、お詫びして過去の発言を訂正させていただきたいと思います。申し訳ありませんでした。

さて…可能な限りダウンロードダイアログ上で拒否、タスクマネージャから怪しいプロセスは終了、という対処は正解だったと思いますが、感染の有無については継続して他のツールで調べることが望ましいと思います。

a-squared以外で頼りになりそうなのは…カスペルスキーのオンラインスキャン辺りでしょうか。
http://www.kaspersky.co.jp/scanforvirus/

あとはPandaのActiveScanとか。
http://www.pandasoftware.com/activescan/jp/activescan_principal.htm

お礼

ご回答ありがとうございます。
ご指摘のあった通り、98/me下では誤検出の可能性が高いようですね…
「internat.exe」に関しては、マルウェアによって正常なものから
害を及ぼすものに置き換えられてしまうという記述を見たことがあるので、スキャンの結果を鵜呑みにしてしまいました。
生兵法でしたね。削除以降、１回だけ起動中に挙動がおかしくなったことがありました。これは復元をするべきなんでしょうか…
また、カスペルスキーとPandaのスキャンでは、クッキーがスパイウェアとして検出されたのみで、ウイルス、トロイは検出されませんでした。

回答No.1

Willyt

機敏な措置だったですね。感心しました。危ないという直感が働くようになると一人前ですよね。まず大丈夫でしょう。危ないメールは決して開けないこと、添付ファイルも同様です。

お礼

ご回答ありがとうございます。
そう言って頂けると気が和らぎます。
ですがまだまだ私は半人前です。
もっとPCについて学ぶ必要がある、と改めて実感しました。