毎日、トロイの木馬を検出します

質問

自分なりに調べて、トロイの木馬についてはリカバリーを試すつもりですが、
細かいことがわからないのと、今後また似た状況になったときのために
アドバイスいただけないでしょうか。

会社のパソコンで、今週月曜日から毎日、パソコン起動後しばらくすると
「トロイの木馬を検出しました」と表示されるようになりました。
仕事がWebデザインなので、毎日多数のサイトを見ていますが、
特に怪しいURLを踏んだり添付ファイルを開いたりした覚えはありません。

検出後は、Kasperskyの指示通り、駆除→再起動→完全スキャンをしています。
他の動作等は特に異常はないのですが、毎日のことなので困っております。

環境は下記の通りで、アップデートがあれば必ずしています。
OS：Windows7 Professional
ブラウザ：Firefox（検証でIEなども使用しますが基本的に自社サイトのみ）
メーラー：Thunderbird
セキュリティ：Kaspersky Internet Security 2012

トロイの木馬が検出されるファイルは、いつも
C:\Users/ユーザ名/AppData/Local/Temp/ の中の
arg******.exe（******は3～6ケタの数字）というファイルです。

この形式の名前がついたファイルがTempの中に常に3個ほどあります。
このファイルは何でしょうか？
個別にスキャンしてみたところ、問題は見つかりませんが、
これらのファイルは、右クリックからプロパティを見ると、
同じディレクトリ内に勝手にショートカットができます。
このファイルは手動で削除しても良いのでしょうか？
そのままにしておくべきですか？

検出されたトロイの木馬の名前です。
3/19(月) Trojan-Downloader.Win32.Agent.uwkg
3/20(火) 祝日のため出社せず
3/21(水) Trojan.Win32.FakeAV.lldb
3/22(木) Trojan.Win32.FakeAV.llvo
3/23(金) Trojan.Win32.FakeAV.lmfl

駆除しても翌日になるとまた検出されるということは、
毎日、新しく入ってきているということでしょうか。
初日の名前にDownloaderと入っているのが少し気になりますが・・
きちんと駆除できていないのでしょうか。

というのも、初日の駆除の終わり頃にアラートが何重にも出まして、
（closeボタンを押すとまたアラートが開いて・・という状態）
内容をメモせず閉じてしまいました^^;
また、毎日、駆除→再起動後の完全スキャン中に下記内容のアラートが表示されます。
16 bit MS-DOS Sybsystem
Error while setting up environment for the application. Choose 'Close' to terminate the application.
英語の内容自体はわかるものの、
どういう状況でこの表示が出るのかがわかりません。
初日のアラートもこのような感じだったような気がします。

以上になります。
恐れ入りますが、情報の不備がありましたらご指摘ください。
どうぞよろしくお願いいたします。

回答No.1

aero1 · ベストアンサー

会社のPCという事なので、管理者の方に相談される事が一番かと思いますが、セキュリティ対策ソフトも利用されているという事ですからメーカーのテクニカルサポートにも問い合わせて、詳細な対処法を聞いてみると良いと思います。
「Kaspersky Lab」
http://www.kaspersky.co.jp/support

＞毎日多数のサイトを見ていますが
＞Trojan.Win32.FakeAV

「FAKEAV」
http://about-threats.trendmicro.com/RelatedThreats.aspx?language=jp&name=Mass+Compromise+Leads+to+FAKEAV+and+WORID+Infections
閲覧したサイト自体が怪しいサイトでなくても、この手の物には感染する危険性があると思います。

「その他プログラムのアップデート」
https://www.ccc.go.jp/flow/04/410.html
http://jvndb.jvn.jp/apis/myjvn/index.html
アップデートは、必ずされているという事ですがメールソフトもブラウザも、ブラウザの拡張機能（アドオン）も全てが最新版になっているでしょうか？
リカバリ後は、そんな詳細な部分まで確認してみてはどうでしょうか。

お礼

お忙しいところご回答いただきましてありがとうございます。
解決の目途がたってからお礼をするつもりでいたら、お返事が遅くなってしまいました。大変失礼いたしました。

リカバリーは保留にして、アドバイスいただいたとおり、テクニカルサポートに相談しました。
途中で新たにトロイの木馬に感染しているファイルが見つかったりして時間がかかりましたが、親切に対応していただけて、先ほど無事に解決できました。

少人数の会社で、パソコンやインターネットに一番詳しいのが自分なので、管理者もなんとなく自分・・という状態です。
緊急や手詰まりの場合は詳しい知人に相談しますが、今回は対応そのものはリカバリーで良いと判断しまして（結局しなくて済みました）、謎のファイルのことをご存じの方や、もし同じような経験をして解決した人がいたら何かお話が聞けるかもと思ってこちらで相談させていただきました。

セキュリティソフトをきちんと設定して使っていれば大丈夫と安心しすぎていたところがありました。
また、アドオンをチェックしたら、前のバージョンのままで使用しているものがありました。
この機会に設定やアップデートなど、もっとしっかり気を配るようにします。
お世話になり、どうもありがとうございました。

回答No.2

rebind

KIS 2012使用者です。

おそらく、最初のダウンローダーが駆除できていないために再度外部から送り込まれてる可能性があります。

とりあえず、autorunsをDLしてくる。PCをセーフモードで起動してautorunsでスキャンしてそれらarg数字.exeがヒットしないか「検索」で調べる。ヒットしたらチェックボックスのチェックを外す。

なお、KISに限らず高性能対策ソフトではデフォルト設定で使うものではない。

お礼

お忙しいところご回答いただきましてありがとうございます。
ある程度解決の目途がたってからお礼をするつもりでいたら、お返事が遅くなってしまいました。大変失礼いたしました。

アドバイスいただいたとおり、セーフモードでautorunsを試しましたが、残念ながらarg～.exeファイルはヒットしませんでした。
このファイルが何なのかいまだにわかりませんが、今週はこの名前のファイルからトロイの木馬は検出されていないので、触らないようにしておきます。
ちなみに、Kasperskyの設定はさすがにデフォルトではありません^^;
お世話になり、どうもありがとうございました。