削除しても、ウィルスが侵入を数秒間隔に試みています。

質問

最近スパイウェアに感染したと思います。掲示板などを探して自分のプログラムに以下の物があったので、プログラムの追加と削除の方からAdssite Browser OptimizerとRightonadz Browser Optimizerを削除しましたが、Norton Internet Security　の統計では、何かが未だに数秒間隔で侵入を試みています。　どうやったらこれを止めることができるのでしょうか？どなたかアドバイスしてくださると助かります。

回答No.4

FMVNB50GJ · ベストアンサー

侵入？
単なるアクセスだとしたら、ボット君からのアクセスなので特に心配ないはず。これは相手のすることだからどうしようもない。

それぞれの不正プログラムについてよく調べ、どんなことをするのか確認したほうがいいと思う。

ノートンのログで、侵入者が自分ではないことを確認できるならば、とめることはできないが、自分が侵入者ならほかに何か感染しているのでは？

「Norton Internet Security　の統計では、何かが未だに数秒間隔で侵入を試みています。」
『何かが』？？
詳細が表示されているはずだが、見てもわからないことかな。その詳細を含めて、ノートンのバージョン、windows XP SP2なのかを補足しては。

オンラインスキャン
http://www.shareedge.com/spywareguide/txt_onlinescan.php

ほかの感染を調べるものとして、
http://fine.tok2.com/home/heto2/0700SecurityApp/BitDefender/0001.htm

お礼

回答ありがとうございました。　早速オンラインスキャンを使い、CnsMin, Banker Gen, NetVisionのスパイウェアを除去しました。ノートンのログで侵入者が自分でないか特定するにはどこを見ればよいのでしょうか？すみません、ド素人な質問で。　私のノートンのバージョンは、インターネットセキュリティがバージョン8.0.7.1　TOSHIBA(90)。　AntiVirusがバージョン11.0.17.1となっています。私のＰＣはwindows XP　です。　これからhijackthisの方にトライしてみようとおもうのですが、このスパイウェアを除去してからも、侵入の試みが止まないという事は、hijackthisを使うしかないのでしょうか？

回答No.9

FMVNB50GJ

ノートンは、２００５ですか？

そのログ、問題なし。
リモートアドレス(KEN-8(192.168.1.7)、13109)→(localhost、1025)
プロセス名は "C:\Program Files\Common Files\Symantec Shared\ccProxy.exe"＝質問者のもの
localhost＝質問者のパソコン
KEN-8　192.168.1.7＝質問者のパソコン

選択
1　スキャンして何もないからリカバリしないで様子を見る
2　スキャンして何もなかったが念のためリカバリする

自分ならリカバリしません。どうぞ、好きなほうを選択してください。

ノートンの設定で、未使用ポートの遮断時に知らせる、という感じの設定にチェックを入れていたら外す。

お礼

ありがとうございました。頂いたアドバイスどうりこのまましばらく様子みてみます。

回答No.8

ryu-fiz

>ファイアーウォールのログに自分のアドレスと一致する物を遮断したと記載されていました。

ちょっと現状では分かりにくいのですが…『アウトバウンド通信』と書かれていませんか？もしそうであれば、パソコンの中から外に向けて不正な通信が行われようとしているのをNorton Internet Securityのパーソナルファイアウォールがブロックしていると見られます。

いずれにしても、単純に怪しいものをアンインストールしただけでは問題がきちんと解消していないように思われますね。HijackThisを使っての対処を私もお勧めします。

>何か途中で失敗して、全くＰＣが使えなくなるのが恐ろしくて。

http://www.higaitaisaku.com/hijackthis.html
を熟読していただければ分かる筈なんですが、HijackThisを実行してログを取るだけなら、PCが起動しなくなるほどのトラブルに見舞われる可能性はまずありません。

ただし、検出された中から問題のあるエントリだけをピックアップして"Fix"を行う作業についてはある程度の危険を伴います。全く予備知識のない方には荷が重いと思いますから、それはご自身で行わずにあちらの質問掲示板に行って相談されるのが良い、というのが３番さんのご意見な訳で。

もし、HijackThisの実行すらおぼつかない、ということなら、もうリカバリしちゃったほうがより確実で早いと思うのでそうしていただきたいのですが。ログが取れるようでしたら、こちらの質問を締め切ってあちらで質問されるのがよろしいかと思います。

お礼

回答ありがとうございます。
アドバイスどうり、hijackthisの方へ行ってみます。　ただ本当に素人なもんで、リカバリも一緒に考えてみます。　どうもありがとうございました。

回答No.7

FMVNB50GJ

{ファイアーウォールのログに自分のアドレスと一致する物を遮断した}
それは、どのようなものだと記録されていましたか。

侵入者はあなた自身でしたか？詳細がはっきりしないとなんともいえませんけど。

ノートン入れていてノートンが検出できないのか、検出されないようにされているのかわかりません。
hijackthisを使ってスキャンをかけ、ログが作られますが、何が不正プログラムかわかりますか。
-----------------------------------
OSは　windows XP SP2かな？
Norton Internet Security　ファイアーウォールは機能しているみたい
↑これは２００７？２００６？

削除したもの
Adssite Browser Optimizer
Rightonadz Browser Optimizer
CnsMin
Banker Gen
NetVision
なのに質問者が侵入者となっているノートンのログが記録される？
------------------------------------
http://fine.tok2.com/home/heto2/0700SecurityApp/BitDefender/0001.htm
↑この結果は？

難しいなら、別のオンラインスキャン
http://www.f-secure.co.jp/v-descs/disinfestation.html
動作プラットフォーム：　Windows98/Me/2000/XP/2003
動作ブラウザ：　インターネット・エクスプローラ5.0 以降

今も続いているんですか、侵入？

お礼

回答ありがとうございます。
「ノートン入れていてノートンが検出できないのか、検出されないようにされているのかわかりません。
hijackthisを使ってスキャンをかけ、ログが作られますが、何が不正プログラムかわかりますか.」　とありましたが、私本当に初心者でわかりません。
ＯＳはWindows XP Home Edition Version 2002です。　頂いたスキャンも試したのですが、以前削除した
Adssite Browser Optimizer
Rightonadz Browser Optimizer
CnsMin
Banker Gen
NetVision
以外の新しい物は発見されませんでした。

これがファイアーウォールのログのコピーです。

ルール「未使用 Windows サービス遮断」が KEN-8(192.168.1.7)、1025 を遮断しました。
インバウンド TCP 接続
ローカルアドレス、サービスは (localhost、1025)
リモートアドレス、サービスは (KEN-8(192.168.1.7)、13109)
プロセス名は "C:\Program Files\Common Files\Symantec Shared\ccProxy.exe"

やはりリカバリが一番の方法でしょうか？

回答No.6

FMVNB50GJ

たとえば侵入者***.***.***.***にIPアドレスが載っているはず。それが自分のIPアドレスなら自分ということです。そうではないなら、相手です。
通知領域の接続アイコン
ローカルエリア接続のサポートタブにあなたの「プライベートアドレス」があり、広帯域の接続アイコンがあれば詳細タブに「クライアントIPアドレス」がある。
ルーターを使っているなら、「プライベートアドレス」を
ルーターを使っていないなら、「クライアントIPアドレス」があなたのパソコンのアドレス。ログで確認するアドレス。

相手のアクセス＝侵入は、とめられません。数秒おきだと、P2Pソフトを使用するものたちからの接続要求かもしれません。ファイアーウォールのログに遮断しているログがあるはず。

hijackthisは、侵入には関係ないです。侵入といっているものは、侵入の試みだと思いますが。

「AntiVirusがバージョン11.0.17.1、インターネットセキュリティがバージョン8.0.7.1」
これってノートン２００６のもの？当方、２００６まで使用経験。

ログの例

2006/**/** 11:51:25,侵入: BD BackOrifice Activity,"侵入: BD BackOrifice Activity 侵入者: FM-41AF86******(60.**.***.***)(1652) 危険度: 高レベル プロトコル: UDP 攻撃された IP: 201.***.***.*** 攻撃された ポート: Back-Orifice(31337)"

このように侵入者がFM-41AF86******のようなパソコンのコンピューター名、と(60.**.***.***)のIPアドレスで表示される。

ログをメモ帳に移して表示できますか。できるならここに貼り付けもできますよ。

お礼

FMVNB50GJさんありがとうございます。言われた通り、ファイアーウォールのログに自分のアドレスと一致する物を遮断したと記載されていました。この後どういう対処をするのが最善でしょうか？　侵入の試みを止めるのにはhijackthisは関係ないとすれば、どうしたらいいでしょうか？

回答No.5

6AV6

小生も侵入されました(モデムのパイロットランプが不自然に点滅します)。オンラインスキャンで検出・駆除しても、しばらくたつと進入されましたので、
１　Ｃ：￥をリカバリしましたが、また進入されました。
２　オンラインスキャンでは無理と判断し、『○○アンチ□□ウェア』を導入しました。
　　オンラインスキャンで駆除した直後でも数種類のウィルスを検出・削除しました。
３　ネット接続後、ウイルス進入をリアルタイムでブロックした情報がでました。
４　その後、モデムの不自然な点滅も無く、スキャンしても正常です。
５　新パターン情報送信もあり、有効でした。

補足

回答ありがとうございます。　アドバイスからいくと、このままhijackthisなどを導入するよりも、６ＡＶ６さんの手段で解決出来るという事でしょうか？　ちなみに、『○○アンチ□□ウェア』を導入とありますが、それはなんでしょうか？

回答No.3

noname#80942

こんにちは。

Adssite Browser OptimizerとRightonadz Browser Optimizerの検索から、
下記サイトでの対処事例がありました。

http://bbs.higaitaisaku.com/cbbs.cgi?mode=all&number=93465&type=0&space=0&no=0

Re1～Re7と長いですが熟読されてください。

こちらを締め切って、「higaitaisaku.com」、別名【アダルトサイト被害対策の部屋】という名前のサイトに移動されて、問題解決されることをお勧めします。

スパイウェアによる被害に「とりあえず解決策を提供しよう」というのがこのサイトの主目的です。

http://bbs.higaitaisaku.com/wizard/wizard.cgi

上記より入ってください、手順が書かれています。

お礼

回答ありがとうございます。　既にAdssite Browser OptimizerとRightonadz Browser Optimizerは取り除いていたのですが、ＳＴＥＰ２のhijackthisを使用していませんでした。何か途中で失敗して、全くＰＣが使えなくなるのが恐ろしくて。　本当に使用すべきなのか躊躇していました。　頑張ってみます。

回答No.2

snowfla

まず、参考URLのように適切に駆除できているでしょうか？

参考URL：

http://okwave.jp/qa3309966.html

お礼

回答ありがとうございます。頂いた参考ＵＲＬにこの質問の前に行ったんですけど、ＳＴＥＰ２のhijackthisについて行なってませんでした。今からトライしてみます。　ありがとうございました。

回答No.1

noname#116235

えーとですね、ウイルスは貴方のPCの「中」にいて動作をする物です。「外」から侵入を企てている物は貴方のPCの「中」にはいません。別々の問題だと思います。

現在のネット環境をもう少し詳しく書けばアドバイスをもらえると思います。

お礼

アドバイスありがとうございます。ＰＣに詳しくないので説明するのにやっとでした。