一部翻訳しました。宜しければご質問者様または閲覧者様ご利用ください
なお翻訳に関してトレンドマイクロ社からお問い合わせが
ございましたら速やかに削除となることを
あらかじめご了承ください
2004/2/21発見だそうです。
トロイの木馬と分類をしてますが私の感覚的にはスパイウェアだと思っています。
別名 Downloader-EX, TrojanDownloader.Win32.Agent.f, Trojan.DownLoader.129, TR/ClsLdr.Dummy.
*駆除方法*
最初に最新版のパターンファイルをDLしてスキャンをしてください
TROJ_AGENT.Fとして検出されたものは削除してください
レジストリのバックアップを取ってください
http://service1.symantec.com/SUPPORT/INTER/tsgeninfojapanesekb.nsf/jdocid/20020308022342953
（上は図入りでシマンテック社が解説してます。デスクトップにバックアップのアイコンが
あるか確認してから下の作業をしてください。間違って操作した場合デスクトップのアイコンを
ダブルクリックしてください。元にもどりますのでご安心ください。駆除作業が最後まで出来て感染ファイルがみつからない場合は
このアイコンを削除してもらってかまいません）
レジストリエデイタでの操作
1スタ－ト→ Regedit と打ってEnterを押す
レジストリエデイタが起動します
2左側パネルで
HKEY_LOCAL_MACHINE>Software>Microsoft>
Windows>CurrentVersion>Run をみつけます
HKEY_LOCAL_MACHINE
＋Software
＋Microsoft
＋Windows
＋CurrentVersion
＋Run
＋をクリックしますと展開します
3＋Runをクリックしたら
右側パネルデータに有害プログラムのパスまたはファイル名があるので削除します
注意 前に述べられたメモリ-から有害プロセスを終了できなかったらOSを再起動してください
レジストリから他の項目を削除
1さらにレジストリエデイタを起動して
HKEY_LOCAL_MACHINE>Software>Microsoft>
Internet Explorer>Search
があるか確認
2名前"SearchAssistant"で右クリックして〔変更〕を選んでください
3 〔値のデータ〕の古い記載とタイプを削除してください
空白にしてしてOK
4名前SearchURLを右クリックして〔変更〕を選んでください
5〔値のデータ〕の古い記載とタイプを削除してください
空白にしてしてOK
6名前Search Barを右クリックして変更を選んでください
7 〔値のデータ〕の古い記載とタイプを削除してください
空白にしてOK
8名前"Search Page"を右クリックして〔変更〕を選んでください
9 〔値のデータ〕の古い記載とタイプを削除してください
空白にしてOK
10レジストリエデイタを終了してください
インターネット・エクスプローラのホーム・ページおよび検索ページを再セットします
1全てのInternet Explorer windowsを閉じてください
2スタ－ト→設定→コントロールパネルで
3インターネットオプションのアイコンをダブルクリックします
4インターネットプロパテイでプログラムタブをクリック
5WEBの設定のリセットのボタンをクリック
6ホームぺージもリセットするを選んではいをクリックします
7OKをクリックします
リストアに残った場合ME/XPは復元を無効にします 以下URLは日本語です
http://www.trendmicro.co.jp/esolution/solutionDetail.asp?solutionID=7260
VBを起動して
TROJ_AGENT.F. と検出したものは削除です
これで駆除作業は終わりです
*詳細*
OS Windows 95, 98, ME, NT, 2000, XPに感染します
このトロイの木馬は以下のようにレジストリに追加されます
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\
CurrentVersion\Run
Random = <Malware path and filename>
また以下のようにレジストリに追加します
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer
ctldate
ctlid "51926"
ctlguid "{05911E33-3CED-4096-BCED-9020048F86D4}"
ctltc dword:00000000
ctluc dword:00000004
ctlui dword:00000001
ctluii_1 "searchmyrequest.com"
ctluii_Id_1 dword:00000001
ctluii_Date_1 ""
ctluii_2 "msupdater.com"
ctluii_Id_2 dword:00000000
ctluii_Date_2 ""
ctluii_3 "msupdater.net"
ctluii_Id_3 dword:00000000
ctluii_Date_3 ""
ctluii_4 "msupdater.org"
ctluii_Id_4 dword:00000000
ctluii_Date_4 ""
以下省略
-------
お疲れ様でした
あとわからない点がございましたらVB会員クラブトレンドマイクロ社へご連絡ください
又は返信欄にお書きください
知ってる範囲でお答えします
なおVBでの英語版を探す場合今後どのようにしたらよいかをご案内します
http://www.trendmicro.com/jp/home/personal.htmで 上にグローバルサイトがあります
そこで▽の印をクリックすると一番下のUnited State/Canadaを選択します すると以下URLが出てきます
http://www.trendmicro.com/en/home/us/enterprise.htm
そこでSecurity Info をクリックすると
http://www.trendmicro.com/vinfo/
がでてきて 真中あたりの右にVirus Search が出てきます そこに日本語で出てこない
ウイルス名のときは いれるとほとんど出てきます（Googleでも検索できない場合これが
一番有効です）
------------------
*トレンドマイクロ英語バージョンテクニカルサポ－ト代理＾＾；森の仔猫より
お礼
ありがとうございました。ウィルススキャンにて見つかったのは、Restoreの中ですから、入ってきた本体自体は削除したのだろうと思います。レジストリはよくわかっていないし、いじったこともないのですが、エディタ起動法などはわかりましたので、慎重に対処する所存です。どうもありがとうございました。
補足
テクニカルサポート代理 森の仔猫様 レジストエディタにて対処してみましたが、ご紹介のスパイウェアとは症状が違うようです。 ＋Current Version ＋Run の中身は internat.exe=internat.exe ScanRegistry=C:\WINDOWS\scanregw.exe /autorun TaskMonitor=C:\WINDOWS\taskmon.exe PCHealth=C:\WINDOWS\PCHealth\Support\PCHSchd.exe -s SystemTray=SysTray.Exe LoadPowerProfile=Rundll32.exe powrprof.dll,LoadCurrentPwrScheme AtiPTA=Atiptaxx.exe CountrySelection=pctptt.exe PCTVOICE=pctvoice.exe LoadFujitsuQuickTouch=C:\Program Files\Fujitsu\Fujitsu Quick Touch\QuickTouch.exe LoadBtnHnd=C:\Program Files\Fujitsu\BtnHnd\BtnHnd.exe Adaptec DirectCD=C:\PROGRA~1\ADAPTEC\DIRECTCD\DIRECTCD.EXE pccguide.exe="C:\Program Files\Trend Micro\Virus Buster 2002\pccguide.exe" PCCIOMON.exe="C:\Program Files\Trend Micro\Virus Buster 2002\PCCIOMON.exe" PCCClient.exe="C:\Program Files\Trend Micro\Virus Buster 2002\PCCClient.exe" Pop3trap.exe="C:\Program Files\Trend Micro\Virus Buster 2002\Pop3trap.exe" REGSHAVE=C:\Program Files\REGSHAVE\REGSHAVE.EXE /AUTORUN CnsMin=Rundll32.exe C:\WINDOWS\DOWNLO~1\CNSMIN.DLL,Rundll32 AdobeFonts=C:\WINDOWS\FONTS\fonts.hta にて、これといっておかしなものはなさそうです。 一方、 ＋Internet Explorer ＋Search の中身の方は SearchAssistant=http://freshvideogals.com/search/small.html CustomizeSearch=http://freshvideogals.com/search/ OCustomizeSearch=http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchcust.htm OSearchAssistant=http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchasst.htm にて、怪しげではあります。 どのように対処すればよろしいでしょうか？ ご紹介のsearch URLなどは存在していないようです。ご情報をいただけましたら幸いです。 Paccan