トロイの木馬RogueWin32/FakeVime

質問

Windows XPのパソコンで、最近“Smart Internet Protection 2011”というソフトがインストールされたので、システムの復元でこれ自体は消えた形にしたのですが、異常な状態が残ったので、セキュリティソフトMicrosoft Security Essentialsをアップデートしてからスキャンしたところトロイの木馬　“RogueWin32/FakeVimes”に感染していることが分かり、これを除去しました。

　このトロイの木馬　“RogueWin32/FakeVimes”について、少し詳細に知りたいと思っています。このウィルスはパソコン内部の情報を盗み出すようなことをするのでしょうか、お教えいただきたいと思います。（上記の異常状態のまま数日間使い続けました。）

　異常状態というのは、IEでサイトを移動するとき、正しく移動しないで、英語で「ページが移動した」というようなメッセージが出て、次の瞬間無関係なページが現れるということが時々発生し、また、変なメッセージのボックスが現れて、IE自体を閉じることができなくなり、パソコンを終了するしかなかったことがあった、という状態です。

回答No.2

John_Papa · ベストアンサー

特にここ半年では、セキュリティソフトとかOSやアプリのアップデートの対策は無駄ではないが、それでも感染する状況になってしまいました。
ＩＥはリセットしてみてください。
http://windows.microsoft.com/ja-JP/windows-vista/Reset-Internet-Explorer-8-settings
パスワードなどＩＥに記憶させて入力省略している場合はクッキーをエクスポートしておいてリセット後にインポートします。

以下は
http://questionbox.jp.msn.com/qa6518263.html
や
http://questionbox.jp.msn.com/qa6521452.html
の私の回答と重複内容になりますが、

現在の主たるマルウェア（ウイルスなどの総称）は、セキュリティソフトに検出されないか事前チェック（virustotal.com のようなシステム）をして感染してきますので、感染を防止できず駆除もできません。ただただ発見解析されセキュリティソフトのデータベースに追加されるのを待つしかありません。
下記URLは、virustotal.comでの検出例です。
http://www.virustotal.com/file-scan/report.html?id=85aa49f587f69f30560f02151af2900f3dc71d39d1357727ab41b11ef828a7ff-1265991617
このように検出を妨害するRootkitでも稼動していなければ、ただのファイルなので検出が可能になります。
しかし、原則的に感染したＯＳで起動したセキュリティソフトでは、マルウェア（ウイルスなど悪意のソフトウェアの総称）の支配下にありますので、隠ぺい工作されたり妨害で検出駆除する事ができません。システムの復元も妨害され大きなダメージを受けたりします。
囮ウイルスを駆除させて本体を温存させる感染手法は数年前からありました。また、半端な駆除をすると仕返しをされます。

そこで、感染していないクリーンなＯＳで起動して検出駆除作業をする仕組みが開発されてきています。
この方法しか手がないでしょう。
AVG Rescue CD
http://www.avg.com/us-en/avg-rescue-cd-download
Dr.Web LiveCD
http://dw-pro.jp/support/LiveCD.html
F-Secure Rescue CD
http://www.f-secure.com/linux-weblog/2009/09/22/rescue-cd-311/
BitDefender RescueCD
http://download.bitdefender.com/rescue_cd/
があり無料で使用できます。
誤検出やWindowsのシステムファイルが改ざんされてマルウェアになっていた場合は駆除によりWindows起動に不具合が出る可能性もあります。
ウイルスパターンデータベースの対応が遅れ気味（2008年までの新種発生総数を2009,2010年共に一年でオーバーする爆発的発生状態）なので、一週間後・二週間後・一ヶ月後にも新しいデータで再検査する事をお忘れなく。

更には
KNOPPIX6　産業技術総合研究所のLiveDVD
http://www.rcis.aist.go.jp/project/knoppix/
や、Ubuntuデスクトップ版
http://www.ubuntulinux.jp/
を一端LiveCDを作っり起動時のメニューからUSBにインストールして、USBから日本語Linuxを起動してウイルススキャン（両方ともClamAVを利用）したり、LinuxなのにWindows独自のNTFSフォーマットドライブのファイル名を日本語で読み書きできるので、重要なデータを救出したり、少し高度なスキルになりますがWindowsからではアクセス権限で拒絶されるシステムホルダーRECYCLERやSystem Volume Informationの中に入り込んで(内部のファイル名はWindows管理番号に変更されている)編集したりできます。もちろんマルウェアが独自に作成したシステムホルダーにもアクセス可能です。

必要に応じてこれらを活用してください。

修復後もＭＳＥを使い続けるなら
無料のSecunia PSIを使ってアプリの更新をしましょう。
http://www.forest.impress.co.jp/docs/news/20101221_416120.html
感染の可能性を楽に減らす事ができます。

お礼

John_Papa さま、大変詳細かつ丁寧な解説をありがとうございます。

　システムが素人の私にはちょっと荷が重いように思えますが、お教えいただいたいくつかのステップをよく理解するようにしながらリカバリーを実行しようを思います。
　先に回答をいただいた jugemu_chosuke さまからのお勧めにあるように全体のリカバリーを実行するのが早道かもしれませんね。
　よく考えてから進めることにします。

回答No.1

jugemu_chosuke

》上記の異常状態のまま数日間使い続けました。

・現在は異常はなくなったのですか。そうであってもトロイの木馬は何をしていたか分からない、何が残っているか分からないので、私なら思い切ってリカバリー(初期化)しますね。

・なおシステムの復元で感染が消えるというような間違った情報は今回限りで忘れましょう。感染したら基本はセキュリティソフトで除去が正解です。

お礼

jugemu_chosuke さま、ご忠告ありがとうございます。

　セキュリティソフトで除去しても、なにか不具合を起こすものが残っている可能性があるということでしょうか。
　リカバリーにはバックアップを完璧にするのに手続きに手がかかるので躊躇しがちですが、今回はご忠告に従ってトライしてみようかと思います。