Lovgateに感染の疑い？（長文）

質問

業務に関係したサイトをいくつか見た後、弊社サイトを見ていたところ、Nortonの警告画面が出て「Lovgate.G@mm」に感染している旨が出ました。シマンテック社サイトより修復ツールをダウンロードしましたが、「Lovgateは見つかりませんでした。」ウイルススキャンもかけましたが「見つかりませんでした。」とのこと。

活動ログには「C\WINNT\system32\Net Services.exeはW32.HLLW.Lovgate.G@mmに感染しています。このファイルを修復できません。」「（上記）ファイルへのアクセスが拒否されました。」とあります。

果たして感染しているのでしょうか？また、感染していたとすればどこから感染したのでしょうか？ウイルスのupdate、ウイルススキャンも定期的に行っています。添付ファイル付きメールは受信しておらず、windows updateも行っています。なお当ＯＳはＮＴ、社内ＬＡＮを組んでいるうちのホストコンピューターです。他機もウイルススキャンをかけましたが現在何も見つかっていません。

なお似た質問としてq403015、q407666等を参考にしています。これまで何らかのトラブルは過去の回答例を参考にして全て解決できたのですが、今回は自信がなく、どなたかアドバイスを頂ければと思います。長くなりましたがよろしくお願い致します。

回答No.2

noname#72132 · ベストアンサー

Nortonの警告画面が出たのなら、その段階でガードされているはずです。
ウイルス対策ソフトの妨害をするウイルスは沢山ありますが、これはたしか違ったと思います。
そういうウイルスであっても最初からウイルス対策ソフトが監視していれば大丈夫です。
感染した後にあわててウイルス対策ソフトを入れてもダメと言うだけです。

活動ログの「このファイルを修復できません」は丸ごとウイルスなんで元になんて戻せません。元なんてありません、ぐらいの意味です。感染はしていないと思いますよ。
専用の駆除ツールは当然ながらそのウイルスより後に作っていますからそのウイルスに発見されてジャマされると言うことはありません。
感染経路ですが、ＨＰ参照から感染するものではなく、メールとあとはＬＡＮ経由です。
前者なら気にすることは無いんですが、後者だとやっかいです。こちらの可能性が高いかと。
だとするとＬＡＮ上のどこかに感染ＰＣがあることになる。確証は無いですが。

このウイルスが有名になったのは有りそうなパスワードのリストを持っていて
「ローカルネットワーク上のすべてのコンピュータをスキャンし、次のパスワードを使って管理者としてログイン」することです。
リモートコンピュータのログインに成功した場合、そこにコピーするファイルに
・・\system32\netservices.exe　があります。
貴方のＰＣのパスワードがどうなっているのかチェックしてみて下さい。
この中に該当があるか
http://www.symantec.com/region/jp/sarcj/data/w/w32.hllw.lovgate.g@mm.html

次ぎにＬＡＮの出口のルータ（ファイアーウォール？）で使っていないポートがちゃんと閉じられていることを確認して下さい。
外部からアクセス出来るＷＥＢサーバなどが有るなら重点チェックです。
このウイルスはバックドア機能を含んでいる、つまりハッキングツールでもあります。

貴方の会社にネットワーク、あるいはセキュリティ管理者が居るなら即座に連絡、警戒態勢だと思います。
杞憂だと良いのですが。

お礼

一文一文読ませて頂き、冷静になることができました。
＞ウイルス対策ソフトの妨害をするウイルスは沢山ありますが、これはたしか違ったと思います。
はい。確かに。
＞専用の駆除ツールは…ジャマされると言うことはありません。
そうですね。いつもならそう理解しているはずが今回ばかりはあわててしまいました。
パスワードは該当ありません。（ホッ）ポートはこれより確認します。また、ＬＡＮを徹底してチェックします。

私事で恐縮ですが、弊社にはネットワーク、セキュリティ管理者等おらず、全体としてセキュリティに関する意識は高くなく、危惧を抱いております。近々ＬＡＮの再構築があり、信頼できる筋よりアドバイスを頂き、セキュリティに関して一層の強化を図る次第です。

丁寧なアドバイスを頂き、本当にありがとうございました。お礼申し上げます。

回答No.1

hiro715

感染源ですが、可能性としてはjpegなどの画像ファイルにウィルスが埋め込まれていたりして、そのファイルをDLしブラウザが表示したときに感染と言うことも考えられます。
はっきりしたところは判りませんが。。

ウィルスに感染してしまった以上、感染したPCにインストールされているウィルス対策ソフトの動作は信用できません。また、サーバーが感染してしまったようなので、DLした対策ファイルについても信用できないと思います。

感染したサーバーと繋がっていない、かつ、クリーンであることが確認されているPCを使って対策ファイルをDLし直す必要があります。そしてそのファイルをフロッピーなどを使って感染しているマシンに導入し、駆除を行って下さい。

駆除後、トレンドマイクロのオンラインスキャンなどで確認すれば安心できるでしょう。

補足

早速のお返事ありがとうございました。
＞感染したサーバーと繋がっていない、かつクリーンで…
ＤＬした対策ファイルについても信用できないと…
ありがとうございます。おっしゃる通りですね。教えて頂いた方法、早く試してみます。何か進展ありましたらまた補足させて頂きます。

なお、感染ファイルとされるC\WINNT\system32\NetServices.exeというファイルを検索したのですが、見つかりませんでした。一応補足しておきます。