締切済み

ウイルス　AGENT．F？

2004/02/27 01:12

今月14日に、ウィルスに感染したらしく、コンピューターがフリーズしました。メモリを食うものが立ち上がっていたようで、セーフモードでレジストリの項目をいくつか消し、知らない間にインストールされていたEWF0HLW２D9.EXEなるアプリケーションファイルを削除したところ、どうにか動くようになりました。ただし、いまだ物理メモリの空き分は300KBそこそこですし、エクスプローラーのWebのページも妙なところに常に飛び、標準の設定に復旧しようとしても、立ち上げごとにそのページが復活してしまいます。ソフトで検索をかけたところTROJ_AGENT.Fと出てきましたが、対策が見つけられません。症状としてはむしろCODEREDに近いような気もします。どなたか御情報をいただけましたら幸いです。

paccan
お礼率20% (1/5)

ウィルス・マルウェア
回答数5
ありがとう数2

みんなの回答 （5）
専門家の回答

みんなの回答

morinokoneko
ベストアンサー率43% (395/902)

2004/03/03 20:30 回答No.5

＃2です　詳しい情報ありがとうございました＃4さまいつも補足説明ありがとうございますどうもこの情報をみますとOSはMEではないでしょうか。ＳpybotとAd-aware(スパイウェア除去　無料です）SpywareBlaster( 無料でスパイウェアが予防されるソフトです）を＃4様がおっしゃっているようにまず以下をご覧になってＤＬをお勧めします http://higaitaisaku.web.infoseek.co.jp/menu5.html CnsMinについても上のURLが一番詳しく書かれていますＳpybotとAd-awareはどちらも最新版にアップデートしてセーフモードでスキャンをしてみてください SearchAssistant=http://freshvideogals.com/search/small.html CustomizeSearch=http://freshvideogals.com/search/ OCustomizeSearch=http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchcust.htm OCustomizeSearch=http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchcust.htm OSearchAssistant=http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchasst.htm に関してはレジストリエデイタを起動して HKEY_LOCAL_MACHINE>Software>Microsoft> Internet Explorer>Search があるか確認 1名前"SearchAssistant"で右クリックして〔変更〕を選んでください 2〔値のデータ〕の古い記載とタイプを削除してください空白にしてしてOK 3名前"CustomizeSearchで右クリックして〔変更〕を選んでください 4〔値のデータ〕の古い記載とタイプを削除してください空白にしてしてOK 5名前"OCustomizeSearch"で右クリックして〔変更〕を選んでください 6〔値のデータ〕の古い記載とタイプを削除してください空白にしてしてOK 7名前"OSearchAssistantで右クリックして〔変更〕を選んでください 8〔値のデータ〕の古い記載とタイプを削除してください空白にしてしてOK レジストリエデイタを終了してくださいただ上のレジストリに関しては私の推測ですので名前があっているかどうかは自信はありません。インターネット・エクスプローラのホーム・ページおよび検索ページを再セットします 1全てのInternet Explorer windowsを閉じてください 2スタ－ト→設定→コントロールパネルで 3インターネットオプションのアイコンをダブルクリックします 4インターネットプロパテイでプログラムタブをクリック 5WEBの設定のリセットのボタンをクリック 6ホームぺージもリセットするを選んではいをクリックします 7OKをクリックしますウイルスバスタークラブセンターお問い合わせをご案内します　回答は早く丁寧ですシリアル番号をご用意して連絡をお願いします http://www.trendmicro.com/jp/support/vbc/inq/overview.htm

heto2
ベストアンサー率43% (227/525)

2004/03/03 15:37 回答No.4

情報が充分ではありませんがとりあえず参考にしてください。 ☆一番あやしいのがこれ！ AdobeFonts=C:\WINDOWS\FONTS\fonts.hta フォントファイル以外のVBSファイル等をインストールするスパイウエアがよくあります。 HTAファイルというのはスクリプトファイルが仕込まれたHTMファイルのようなものでスパイウエアがよく使います。 HTAファイルの中身を検証する必要があります。 ☆メモリーを無駄食いするだけで必要ないものがこれ！ CnsMin=Rundll32.exe C:\WINDOWS\DOWNLO~1\CNSMIN.DLL,Rundll32 「プログラムの追加と削除」で削除。「Spybot-S＆D」や「Ad-aware 6」で残滓を削除。「C:\WINDOWS\Downloaded Program Files」フォルダをDOS画面で開き「CnsMin.dll」があれば削除以上の順序を間違えると「CnsMin」を再インストールしてやり直す必要があります。 ☆ブラウザーハイジャックというのがこれ！ SearchAssistant=http://freshvideogals.com/search/small.html CustomizeSearch=http://freshvideogals.com/search/ OCustomizeSearch=http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchcust.htm OSearchAssistant=http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchasst.htm 試しにIEの「ツール」「インターネットオプション」「プログラム」で「Web の設定のリセット(&R)...」をクリックしてみてください。レジストリエディタを開いて以前の設定が消えていれば成功です。残っていればレジストリエディタで削除してください。

heto2
ベストアンサー率43% (227/525)

2004/02/27 18:37 回答No.3

TROJ_AGENTには色んなものがあるようで、動作もさまざまです。検出されたファイル名と保存場所がわかればもっと具体的に駆除方法を説明できると思うんですが。ファイル名がわかれば対応するスパイ対策ソフトを見つけられるかもしれません。

morinokoneko
ベストアンサー率43% (395/902)

2004/02/27 06:29 回答No.2

一部翻訳しました。宜しければご質問者様または閲覧者様ご利用くださいなお翻訳に関してトレンドマイクロ社からお問い合わせがございましたら速やかに削除となることをあらかじめご了承ください 2004/2/21発見だそうです。トロイの木馬と分類をしてますが私の感覚的にはスパイウェアだと思っています。別名　Downloader-EX, TrojanDownloader.Win32.Agent.f, Trojan.DownLoader.129, TR/ClsLdr.Dummy. *駆除方法* 最初に最新版のパターンファイルをDLしてスキャンをしてください TROJ_AGENT.Fとして検出されたものは削除してくださいレジストリのバックアップを取ってください http://service1.symantec.com/SUPPORT/INTER/tsgeninfojapanesekb.nsf/jdocid/20020308022342953 （上は図入りでシマンテック社が解説してます。デスクトップにバックアップのアイコンがあるか確認してから下の作業をしてください。間違って操作した場合デスクトップのアイコンをダブルクリックしてください。元にもどりますのでご安心ください。駆除作業が最後まで出来て感染ファイルがみつからない場合はこのアイコンを削除してもらってかまいません）レジストリエデイタでの操作 1スタ－ト→ Regedit と打ってEnterを押すレジストリエデイタが起動します 2左側パネルで HKEY_LOCAL_MACHINE>Software>Microsoft> Windows>CurrentVersion>Run をみつけます HKEY_LOCAL_MACHINE ＋Software 　＋Microsoft 　　＋Windows 　　　＋CurrentVersion 　　　　＋Run ＋をクリックしますと展開します 3＋Runをクリックしたら右側パネルデータに有害プログラムのパスまたはファイル名があるので削除します注意　前に述べられたメモリ-から有害プロセスを終了できなかったらOSを再起動してくださいレジストリから他の項目を削除 1さらにレジストリエデイタを起動して HKEY_LOCAL_MACHINE>Software>Microsoft> Internet Explorer>Search があるか確認 2名前"SearchAssistant"で右クリックして〔変更〕を選んでください 3 〔値のデータ〕の古い記載とタイプを削除してください空白にしてしてOK 4名前SearchURLを右クリックして〔変更〕を選んでください 5〔値のデータ〕の古い記載とタイプを削除してください空白にしてしてOK 6名前Search Barを右クリックして変更を選んでください 7 〔値のデータ〕の古い記載とタイプを削除してください空白にしてOK 8名前"Search Page"を右クリックして〔変更〕を選んでください 9　〔値のデータ〕の古い記載とタイプを削除してください空白にしてOK 10レジストリエデイタを終了してくださいインターネット・エクスプローラのホーム・ページおよび検索ページを再セットします 1全てのInternet Explorer windowsを閉じてください 2スタ－ト→設定→コントロールパネルで 3インターネットオプションのアイコンをダブルクリックします 4インターネットプロパテイでプログラムタブをクリック 5WEBの設定のリセットのボタンをクリック 6ホームぺージもリセットするを選んではいをクリックします 7OKをクリックしますリストアに残った場合ME/XPは復元を無効にします　以下URLは日本語です http://www.trendmicro.co.jp/esolution/solutionDetail.asp?solutionID=7260 VBを起動して TROJ_AGENT.F. と検出したものは削除ですこれで駆除作業は終わりです *詳細* OS　Windows 95, 98, ME, NT, 2000, XPに感染しますこのトロイの木馬は以下のようにレジストリに追加されます HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\ CurrentVersion\Run Random = <Malware path and filename> また以下のようにレジストリに追加します HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer ctldate ctlid "51926" ctlguid "{05911E33-3CED-4096-BCED-9020048F86D4}" ctltc dword:00000000 ctluc dword:00000004 ctlui dword:00000001 ctluii_1 "searchmyrequest.com" ctluii_Id_1 dword:00000001 ctluii_Date_1 "" ctluii_2 "msupdater.com" ctluii_Id_2 dword:00000000 ctluii_Date_2 "" ctluii_3 "msupdater.net" ctluii_Id_3 dword:00000000 ctluii_Date_3 "" ctluii_4 "msupdater.org" ctluii_Id_4 dword:00000000 ctluii_Date_4 "" 以下省略 ------- お疲れ様でしたあとわからない点がございましたらVB会員クラブトレンドマイクロ社へご連絡ください又は返信欄にお書きください知ってる範囲でお答えしますなおVBでの英語版を探す場合今後どのようにしたらよいかをご案内します http://www.trendmicro.com/jp/home/personal.htmで　上にグローバルサイトがありますそこで▽の印をクリックすると一番下のUnited　State/Canadaを選択します　すると以下URLが出てきます http://www.trendmicro.com/en/home/us/enterprise.htm そこでSecurity Info をクリックすると http://www.trendmicro.com/vinfo/ がでてきて　真中あたりの右にVirus　Search　が出てきます　そこに日本語で出てこないウイルス名のときは　いれるとほとんど出てきます（Googleでも検索できない場合これが一番有効です） ------------------ *トレンドマイクロ英語バージョンテクニカルサポ－ト代理＾＾；森の仔猫より

質問者

お礼 2004/02/27 23:58

ありがとうございました。ウィルススキャンにて見つかったのは、Restoreの中ですから、入ってきた本体自体は削除したのだろうと思います。レジストリはよくわかっていないし、いじったこともないのですが、エディタ起動法などはわかりましたので、慎重に対処する所存です。どうもありがとうございました。

質問者

補足 2004/03/02 23:51

テクニカルサポート代理　森の仔猫様　レジストエディタにて対処してみましたが、ご紹介のスパイウェアとは症状が違うようです。＋Current　Version 　　　＋Run 　の中身は internat.exe=internat.exe ScanRegistry=C:\WINDOWS\scanregw.exe /autorun TaskMonitor=C:\WINDOWS\taskmon.exe PCHealth=C:\WINDOWS\PCHealth\Support\PCHSchd.exe -s SystemTray=SysTray.Exe LoadPowerProfile=Rundll32.exe powrprof.dll,LoadCurrentPwrScheme AtiPTA=Atiptaxx.exe CountrySelection=pctptt.exe PCTVOICE=pctvoice.exe LoadFujitsuQuickTouch=C:\Program Files\Fujitsu\Fujitsu Quick Touch\QuickTouch.exe LoadBtnHnd=C:\Program Files\Fujitsu\BtnHnd\BtnHnd.exe Adaptec DirectCD=C:\PROGRA~1\ADAPTEC\DIRECTCD\DIRECTCD.EXE pccguide.exe="C:\Program Files\Trend Micro\Virus Buster 2002\pccguide.exe" PCCIOMON.exe="C:\Program Files\Trend Micro\Virus Buster 2002\PCCIOMON.exe" PCCClient.exe="C:\Program Files\Trend Micro\Virus Buster 2002\PCCClient.exe" Pop3trap.exe="C:\Program Files\Trend Micro\Virus Buster 2002\Pop3trap.exe" REGSHAVE=C:\Program Files\REGSHAVE\REGSHAVE.EXE /AUTORUN CnsMin=Rundll32.exe C:\WINDOWS\DOWNLO~1\CNSMIN.DLL,Rundll32 AdobeFonts=C:\WINDOWS\FONTS\fonts.hta にて、これといっておかしなものはなさそうです。　一方、＋Internet　Explorer 　　＋Search 　の中身の方は SearchAssistant=http://freshvideogals.com/search/small.html CustomizeSearch=http://freshvideogals.com/search/ OCustomizeSearch=http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchcust.htm OSearchAssistant=http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchasst.htm にて、怪しげではあります。　どのように対処すればよろしいでしょうか？　ご紹介のsearch URLなどは存在していないようです。ご情報をいただけましたら幸いです。 Paccan