Windows￥Ｔｅｍｐフォルダ内のトロイ増殖

質問

最近、パソコン（Win XP） の調子が悪く、「Ｃドライブ内」の「Windowsフォルダ」の「Ｔｅｍｐフォルダ内」に、トロイ系の変なファイルが増殖するようになりました。
*（検疫もしましたし、手動削除もしましたが、増殖は止む気配がなく、イタチゴッコです）

増殖のせいで、Ｃドライブ容量が足りなくなり、不必要なファイルを削除したり、使っていないアプリケーションをアンインストールしました。この時、”au music port”とゆう携帯電話用ソフトも、アンインストールしました。

それからです。
ＰＣの起動時に、"au music port"のインストールを勝手にしてしまうのです。
アラートウインドウが出て、「Windowsに、au Music Portを設定しています。しばらくお待ちください。」と出て、キャンセルボタンを押し、取り消しても、すぐに同じアラートウインドウが出て、インストールを進めようとするのです。今も、アラートウインドウを放置した状態で、書いています。

Ｔｅｍｐフォルダ内のトロイ増殖と共に、"au music port"の暴走インストールに関連した情報やアドバイスなどありましたら、お知らせいただけると助かります。

回答No.1

yoshi-thk · ベストアンサー

ウイルス対策ソフトで、ウイルス検索してますか？
検索したのであれば、その時のウイルスの名前を補足してください。
ウイルス検索してないのであれば、オンラインのウイルス検索サイトを紹介するので、
そこでウイルス検索した結果を、補足してください。
それから、きちんとしたウイルス駆除を始めた方がよいです。

ウイルス対策ソフトのオンラインチェックサイトは次のところです。

トレンドセキュリティフレックスオンラインスキャン
http://www.trendflexsecurity.jp/security_solutions/housecall_free_scan.php

シマンテックセキュリティチェック
http://www.symantec.com/region/jp/securitycheck/index.html

カスペルスキー：オンライン ウイルス＆スパイウェアスキャナ
http://www.kaspersky.co.jp/virusscanner

ウイルス検索している間は、他のサイトにアクセスすることをやめた方がよいです。
以前にアクセスしたサイトで拾っている可能性が高いので、怪しいところは、再びアクセスしないことです。

補足

ありがとうございます

ノートンアンチウイルスを使用していますが、ウイルスは検出されません。
C\Windows\Temp　を開くと、中に
DFC5A2B2.TMP
tmp40.tmp
tmp42.tmp
tmp45.tmp
tmp59.tmp
の、5つのファイルがあります。
これを、右クリックすると、ノートンからの「ウイルス警告」のアラートが出ます。
それぞれのファイルの正体は、すべて同じで"Trojan.Haradong"とゆうものらしく、「ファイルを修復できません」とゆう内容のアラートと、「ファイルへのアクセスを拒否されました」とゆうアラートが、同時に出ます。
結局、手動での削除は不可能です。

ファイルサイズは
DFC5A2B2.TMP --- 1KB
tmp40.tmp --- 132,128KB
tmp42.tmp --- 814,685KB
tmp45.tmp --- 191,040KB
tmp59.tmp --- 22,112KB
です。

そして、同じフォルダに、tmp5A.tmpとかtmp90.tmpなど、ファイル名がランダムに無限に変化していくものが、ひとつあります。これは、しばらく見ていると消えたり、そのうちまた出てきたりしています。

とりあえず、Trojan.Haradong　をやっつける方向で、進めるべきでしょうか？
もしよければ、更なるアドバイスをお願いいたします。

回答No.6

FMVNB50GJ

パソコン1台ですか。

それならリカバリを決意したほうがいいと思うよ。

治ったらどうして削除したものがインストールするのか聞いてみたらいい。
http://www.au.kddi.com/ezweb/service/lismo/faq.html

データの保存
感染原因にまったく心当たりがないなら全部あきらめるのはつらいかな。

回答No.5

ryu-fiz

"ArcBomb"がどういったものなのかを説明したページも見つけたので、参考までに。

http://www.viruslistjp.com/glossary/?glossid=189208204

http://www.hippo.azimech.net/AtTheSpring/KnowledgeMalware_TrojanHorse.html
（"ArcBomb"についての記述は、上記ページのおしまいの方にあります）

もっとも…今回の現象が必ずしもアークボム系の感染によるものだとも言えないのですが…。

回答No.4

ryu-fiz

Trojan.Haradong
http://www.symantec.com/ja/jp/security_response/writeup.jsp?docid=2006-061914-4127-99

いわゆる『原田ウイルス』と呼ばれるものです。
http://internet.watch.impress.co.jp/cda/news/2006/06/22/12428.html

P2Pファイル共有を行った上での感染であれば、これ以上この質問を続行できないと思われます。おとなしく観念してリカバリしてください。違う可能性もあるので、とりあえず回答を続行します。

>ＰＣの起動時に、"au music port"のインストールを勝手にしてしまうのです。（中略）今も、アラートウインドウを放置した状態で、書いています。

はっきりしたことは何とも言えませんが…Windowsインストーラを利用するアプリケーションソフトの場合、既にアンインストール済みのソフトウェアのアンインストール用の情報が何らかの理由で残るなどした場合に、別なソフトのインストールを行った際に、別なソフトのインストール画面が立ち上がったりするケースはあったりするようです。

今回のケースは、それに該当する『誤動作』だと思われます。
もし、Windowsインストーラ絡みの現象だとすれば、その症状に関してはWindows Installer CleanUpユーティリティで解消する可能性が高いです。

http://support.microsoft.com/default.aspx?scid=kb;ja;290301

起動後、既にアンインストール済みの筈のアプリケーションが表示されていたなら、それを選択して"Remove"すれば誤動作はなくなると思います。

ただし、ある種の感染がWindowsインストーラを利用して何かをインストール、もしくはアンインストールしようとしている可能性は高そうですので、それ自体を阻止するための方法は別に必要かも知れません。そして…それについては全く見当がつきません。

いずれにしても、現在ご利用になっているウイルス対策ソフトでは検出出来ない感染が大元に存在すると思われます。

Googleで調べてみた感じ、もし２番さんが言うような"ArcBomb"が絡んでいるとすれば、この種の感染を特定出来そうな対策ソフトは限られてくると思われます。一例を挙げると…

・カスペルスキー、およびカスペルスキーのエンジンを利用する対策ソフトやオンラインスキャン。
・KingsoftおよびRisingのエンジンを利用した対策ソフト。つまりキングソフトもしくはウイルスキラー。

そして…a-squared Freeでも、どうやら出来そうな予感が。
http://forum.hijackthis.de/showthread.php?p=120825

ということで、まずはa-squared Freeを使ってみてください。
http://www.emsisoft.jp/jp/software/free/

で、検出されたものは一通り『隔離』して様子を見てください。

改善の兆しがないなら、カスペルスキーオンラインスキャンで感染の実体を探ることが問題解決に繋がるかも知れません。でもその場合は、感染除去そのものは手動で行う必要があるので、まだまだ苦労が必要ですが。

個人的意見としては、a-squared Freeで解決を見なければ即パソコンをリカバリされるか、あるいはここでの質問を締め切った上でhigaitaisaku.comの質問掲示板に移動されるのが得策ではないかと。
http://www.higaitaisaku.com/

回答No.3

yoshi-thk

シマンテックのホームページに、駆除手順が書いてますが確認してますか？
必ずシステムの復元は、無効にしてください。

Trojan.Haradong（駆除方法）
http://www.symantec.com/ja/jp/security_response/writeup.jsp?docid=2006-061914-4127-99&tabid=3

このウイルスは、ウイルス対策ソフトの機能を妨害するタイプのウイルスですから気を付けた方がよいです。

回答No.2

waros99

こんにちは。

ボクはその筋のコミュニティーの潜入調査やVirtual Machine上でAVのスキャンやPFWの検知をすり抜けるMalwareの動作解析みたいなことをやってます。

で、当方Kaspersky Antivirus 7.0ですが、「検疫」ということはNortonをお使いでしょうか？ボクが察するにArcBombの類だと思いますが。検出されたウイルス名および該当するファイル名をここに書き込めば適切なアドバイスがもらえる可能性が高くなります。

とりあえず、今の時点でボクからアノバイスするとすれば、該当ファイル名を頼りにタスクマナージャで稼動プロセスを当たってください。もし見つかった場合は停止させて、ドライブ検索で該当ファイルを削除します。また、レジストリエディタでも検索を行って該当エントリを削除します。

あと、セーフモードでのスキャンを行ってみるという手もあります。

お礼

ありがとうございます

先の方へのお礼へ書きましたが、"Trojan.Haradong"とゆうものみたいです。
タスクマナージャで稼動プロセスを見ましたが、この名前らしきものは、見つかりませんでした。。

セーフモードでの起動の方法を忘れてしまいました、、恐縮ですが、どのようにすればよいか、教えてください。
同時に、セーフモードで起動した状態のＰＣで、普通にノートンのウイルススキャンか可能なわけでしょうか？