USBメモリからトロイの木馬が検出？

質問

普段はウィルス対策にavast!を使用しているのですが、先日別のウィルス対策でAVGを使って
みたところUSBを差したらトロイの木馬を検出と出ました。
感染ファイル名を確認すると、買ったときからUSBメモリに搭載されているFORMAT.exeを
トロイの木馬だと言っていました。

一方で、avast!では驚異なしと出ます。

最初から搭載されているソフトにトロイの木馬が入っているなんて本来ありえないと思うので
すが、FORMATする予定も無いので指示通りに削除してしまいました。

ですが、少し気になったので、同じUSBメモリの色違いでほとんど使用していないものを持って
いる事を思い出し、それを差してトロイの木馬を検出した場合は、誤検出だろうと思って試した
ところ、今度は何も出ませんでした・・・。

そこで質問なのですが、

(1)　私の認識では、トロイの木馬の定義と言うのは、他のファイルに対して感染して増えたり
　　せず、既存のファイルに寄生したり書き換えたりする事で実行を促したりもせず、あくまでトロ
　　イの木馬が含まれるソフトをなんらかの形で実行した際に感染すると考えていますが、これは
　　正しいのでしょうか。

(2)　(1)の認識ですと、今回のケースは購入時からあるファイルを少なくともトロイの木馬に途中
　　から改変されることは無いと思うので、誤検出の可能性が高くなると思うのですがどうなので
　　しょうか？あるいは、そうした状況を誘発する他の要因があるのでしょうか。

(3)　なぜ、同じUSBの同じFORMAT.exeで片方はトロイの木馬、片方は正常なのでしょうか？
　　ただ、色違いであったり同時期に購入とは言え、厳密にそのファイルがまったく同じである
　　かはわかりません。

(4)　最悪トロイの木馬であったとしても、FORMATはしたことも無ければこのファイル自体起
　　動したこともないので開かなければ感染しないと思うのですがどうなのでしょうか？さすが
　　にFORMATをオートランされることは無いと思うので・・

なお、当該USBの使用状況は、個人での自宅利用で、自宅内のPC間のデータ移行が主目的
であり、持ち出したことや貸し出したことなどはありません。ただ、データ移行時に毎回ウィルス
検索を行っているとは言え、年単位で使用してきたので不安です。

トロイの木馬には膨大な数の種類があると聞くので一概には言えないかもしれませんが、
ご教授いただければと思います。

回答No.2

nekobox

あの、まずはAVGにおいて何という検出名で検出されたのか確認しないと。

で、AVGのウイルスに関する情報やAVGのフォーラム行って聞くとか。

一般的にはTrojanは単独動作ですね。下のお方はサーバー動作なんて言ってるけど、必ずそうした動作が伴うわけではないです。PC内の情報盗んでその筋の世界ではMeltと呼んでいますが、自己消去してほなさいならみたいなことだってあるし。知らないなら無理して答えなくてもいいのにｗ

そもそもTrojanは特定動作するものではなく、自身の正体を偽っている何らかの悪意をもったプログラムのことを言います。

で、作業としてはオンラインスキャンを活用することをお勧めします。

http://freesoft-100.com/web/onlinescan.html

お礼

回答ありがとうございます。
今回のトロイの木馬のAVG上の名称はSHeur4.avahでした。質問内容に入れるべきでしたね・・申し訳ないです。
一応、このファイル名で検索したのですが、他の質問板でも私と同じくUSBを指したらAVGが反応したと言う質問が多かったので、何かご存知の方がいらっしゃるかと思って書き込みました。ただ、それがどういった性質のものかはわかりませんでした。

オンラインスキャンについてはノートンやウィルスバスターについても行っていますが、今のところ異常はありません。

回答No.1

chie65536（@chie65535）

＞(1)　私の認識では、トロイの木馬の定義と言うのは

基本から間違っています。

トロイの木馬とは「実行すると、サーバになって、外部のクライアントパソコンとの接続を許可する、悪意あるプログラム」の事です。

つまり「内側から、コッソリと裏口のドアを開けるプログラム」です。

トロイの木馬自身には感染力や自己増殖能力はありませんので「他のウイルスによって、何かに植え付けられる」のが普通です。

今回は「USBメモリの中に入っていたformat.exeに、他のウィルスによって、トロイの木馬が植え付けられた（正規のformat.exeが改変された）」と思われます。

＞(2)　(1)の認識ですと

(1)の認識が間違ってますから、(2)も間違いです。

今回は「USBメモリの中に入っていたformat.exeに、他のウィルスによって、トロイの木馬が植え付けられた（正規のformat.exeが改変された）」と思われます。

＞(3)　なぜ、同じUSBの同じFORMAT.exeで片方はトロイの木馬、片方は正常なのでしょうか？

「他のウィルスがトロイを植え付けした時に、片方のメモリだけUSB端子に刺さっていた」からです。

もし、２本とも挿していたら、２本とも「植え付け」が行われたと思われます。

＞(4)　最悪トロイの木馬であったとしても、FORMATはしたことも無ければこのファイル自体起動したこともないので開かなければ感染しないと思うのですがどうなのでしょうか？

「感染」は既に発生していますよ。

貴方のPCで、過去に「何らかのウィルス」が実行され感染し、その感染の結果として「トロイの木馬の植え付け」が行われました。

運よく「植え付けられたトロイの木馬を実行していない」ので「裏口が開かず、泥棒に入られずに済んだだけ」に過ぎません。

---

トロイの木馬による被害は、以下のようにして発生します。

１．ダウンロードしたファイル、外部から持ち込んだメモリやメディアに「トロイを植え付けるウイルス」が潜んでいて、それを実行。

２．「トロイを植え付けるウイルス」が実行され、パソコンに元々あった実行ファイルに、「トロイの木馬」が植え付けられる。

３．実行された「トロイを植え付けるウイルス」自身は、スキャンによる発覚を避ける為、自分自身を消去する。

４．パソコンに元々あった実行ファイルが実行され、「トロイの木馬」が起動し、裏口の鍵を開ける。

５．開けられた裏口から「泥棒」が侵入し、カード情報や、ID・パスワードなどの個人情報を全て盗まれる。

６．盗まれたカード情報や、ID・パスワードにより、実質的な被害が発生する。

質問者さんの場合は、３の時点でとまり、４まで行かなかったので「助かった」のです。

お礼

回答ありがとうございます。
ウィルスがトロイの木馬を連れてくるなんてこともあるんですね・・・
初期状態のファイルが改変されるケースもありえることを可能性の一つとして頭に入れておきます。