Backdoor.Win32.Prorat.19が駆除できません

質問

OSはWindows XP Home Editionです。

タイトルのウィルスを駆除することができません。
ウィルスに関係しているプログラムは
C:\WINDOWSに　　　　　 services.exe
C:\WINDOWS\systemに　　sservice.exe
C:\WINDOWS\system32に　fservice.exe
C:\WINDOWS\system32に　　winkey.dll
が確認出来ます。他に、ウィルス対策ソフトでは
C:\WINDOWS\system32にreginv.dll
というのも引っかかります。（system32内では発見できませんでした）

タスクマネージャにて動作している事が確認出来るのは、
services.exeというプログラム（ユーザー名はOwner）だけです。（ユーザー名がSYSTEMのservices.exeとは別）
また、なぜか「重要なプロセスです」と表示され終了する事が出来ません。
よって、services.exeは動作中である為消去できませんでした。
sservice.exeは消去出来ますが、数秒後すぐに自動作成されます。
fservice.exeも同様に、数秒後すぐに自動作成されます。
winkey.dllも動作中と表示され消去出来ませんでした。

システムの復元も復元ポイントが消されてしまったので出来ません。（これはこのトロイのせいなのか分かりませんが、他にもウィルス感染していたので）

セーフモードで起動も試してみましたが、通常起動と同様に、はじめからservices.exeが起動されており、消去は出来ませんでした。

駆除できる方法はあるのでしょうか？

回答No.2

ryu-fiz

a-squared Freeならこの感染を検出、対処出来るようです。
http://www.emsisoft.jp/jp/software/free/

通常のウイルス対策ソフトよりもトロイ系感染に強く、起動中のプロセスであっても何らかの対処が出来る可能性が高いと思われます。試してみる価値はあると思います。通常モードで上手く対処出来ない場合は、システムをセーフモードで起動後もう一度トライしてみてください。

あと…こういうものも見つけました。
http://www.softpedia.com/get/Antivirus/Anti-prorat.shtml

Prorat系感染専用のツールのようです。どれ程の効果があるかについては未知数ですが…使ったユーザーの評価は悪くないようです。当方のWin2000機上でも問題なく動作することは確認出来ました。

次のページが公式サイトのようです。
http://azpc.no-ip.org/support/anti_prorat.html

"Bug / Suggestion ? "と書かれた下の"i"アイコンをクリックするとチュートリアルビデオファイルのダウンロードが出来るようです。詳細は当方では未確認ですが…。rar形式で圧縮されてますので、この形式をサポートする解凍ソフトが必要となります。また、実際のビデオファイルの形式も不明ですので悪しからず。

おそらくは、Scanボタンをクリックするだけで可能な対処は自動的に行われるように思うのですが。

あと、
>C:\WINDOWS\system32にreginv.dll
>というのも引っかかります。（system32内では発見できませんでした）

ルートキットの技術を利用してファイル本体が隠蔽されている可能性があります。各社が提供するルートキット対策ソフトも利用する価値がありそうです。
http://www.higaitaisaku.com/blacklight.html
http://www.sophos.co.jp/products/free-tools/sophos-anti-rootkit.html

他にも数社から提供されていますが、日本語による情報源が少ないため、ここでは割愛させていただきます。

ただ、１番目の方も示唆されてるようにこの感染はバックドア型で、あらゆる感染を引き込んだり不正侵入を助長したり、あるいは情報を漏洩させたりする可能性が高いものです。必要なデータをバックアップ後、リカバリを行い、PC上で利用したアカウントやパスワードなどについては極力変更をかけるようにしたほうが良いでしょう。

お礼

結果として、Proratを駆除することが出来ました。
ご丁寧な説明ありがとうございました。

回答No.1

yoshi-thk

ウイルスファイルの削除だけでは、対処出来ないです。
レジストリの改修が必要ですし、起動スイッチプログラムを削除する必要があると考えられます。

以下のサイトのウイルスと同じものと考えられるので、リカバリした方がよいです。
リカバリ後は、各種パスワード変更を進めます。

BDS/Prorat.M.B.38（AVIRA）
http://www.avira.com/jp/threats/section/details/id_vir/1794/bds_prorat.m.b.38.html

BDS/Prorat.RC（AVIRA）
http://www.avira.com/jp/threats/section/details/id_vir/1840/bds_prorat.rc.html