AGOBOT.HMの駆除はしたものの・・・

質問

初めて質問させていただきます。
AGOBOT.HMに感染してしまったのですが
ウィルスバスター2003のパターンファイルを最新にしても駆除ができなかったため
AGOBOT.hmの情報を元にセーフモードでファイルを削除し
レジストリの書き換えも行った上で
ダメージクリーンナップサービスをかけました。

そこで，ウィルス１件の駆除には成功したのですが
相変わらずトレンドマイクロのHPにアクセスできません。
（trendmicro.comにはつながりませんがtrendmicro.co.jpにはアクセス可能です）

agobotによって，ウィルス駆除ソフトメーカーのHPにアクセスできなくなっているようなので
ウィルス本体はいなくとも（もしかしたら潜伏中？）
不具合だけが残ってしまっているのでしょうか。
agobot.HMの記載には「悪さをしているファイルのタスクを終了する」とあるのですが
実際にはウィルス本体のタスクは表示されませんでした。
本当はほかに終了すべきタスクがあるのかもしれませんが
Win初心者の私には判断がつきません。

解決法をご存じの方がいらっしゃいましたら
ご教授願えないでしょうか。
どうぞよろしくお願いいたします。

なお，当方win2000を使用しているのですが
脆弱性対策のパッチは当てました。

回答No.3

heto2 · ベストアンサー

No.2です。

「私なら、クリーンインストール」といったものの、ここ一両日で事態は急変。
さすがは、トレンドマイクロさんというところです。
TredMicroで駆除できるようであれば、そのままお使いになるに越したことはありません。

１．「WORM_AGOBOT.HM」
Pattern No.818（情報公開日: 2004/03/18）で対応しているようですね。
現在、早くも、830、どんどんUpgradeされてますね。

２．「トレンドマイクロ ダメージクリーンナップサービス」（tsc.com）
Damage Cleanup Engine (DCE) 3.5(Build 1119)
Pattern File（tsc.ptn）2004年3月18日、8:00:18

もうご存知かと思いますが、デスクトップに「auto_tsc」というフォルダが作られます。
この中に「report」フォルダがあり、中にログファイルが残っているはずです。
修復されたファイルや設定の一覧が記録されていると思います。
（勿論、別に公開する必要はありませんが、なにかの参考になるかも。）

３．私も試してみましたが、「Ad-aware 6」や「Spybot-S＆D」で削除されなかったレジストリの残骸が、いくつかクリアできました。
このツール、今後も、難問の解決やごみ掃除に役立ちそうです。

偉そうにでしゃばって、反対に、色々勉強させていただきました。
有難うございました。（恥ずかしそうに退場）

お礼

いろいろと情報をいただきありがとうございました。
情報を見れば見るほど怖いウィルスだと思います。

パターンファイル818で検出は可能だったのですが
完全に駆除ができたのはパターンファイル828でした。
「トレンドマイクロ　ダメージクリーンナップサービス」も
感染当初は対応していなかったのですが
現在では対応リストのなかに「agobot/HM」が入っております。

「auto_tsc」のログファイルの中には
駆除したウィルスの数が記録されているのは確認しましたが
どの階層にあったファイルを削除したかまではチェックしていませんでした。
もう一度，確認してみます。

soundman.exe削除後も，どうも釈然としなかったので
ネットワークに繋がずに，ずっと別のパソコンからパターンファイルを落としていたのですが
これでネットワークに戻せます。

いろいろとご助言いただき，ありがとうございました。

回答No.2

heto2

morinokonekoさんご紹介のページを読んで驚いています。
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=WORM_AGOBOT.HM&VSect=T

１．恐ろしいウイルスにやられているように思います。
　一般の人ではこの状態を復旧できないと思いますし、熟練者でも、このページの説明を読めばあきらめるかもしれません。
　おまけにDoS攻撃の踏み台に利用されている可能性があります。
　私なら、即、ハードディスクをフォーマットして再インストールです。

２．もし、KaZaa、Winny、WinMX、Napster等、ファイル交換ソフトを使っておられれば、おやめになった方がいいとおもいます。
　折角、Trendmicroの説明どおり、正確に、駆除作業を進めても、また入ってくることがあります。

３．被害とその対策

　"SOUNDMAN.EXE"ファイルの削除
　レジストリ設定の修正
　サービスの停止

　この辺までは比較的簡単に作業できますが、それ以降、私には、殆どお手上げです。

　ファイルやフォルダの隠蔽
　Windowsのセキュリティホールを利用した外部からのコントロール
　アクセス権者のユーザ名とパスワードを使ったログイン
　IRCクライアントエンジンを利用した、ありとあらゆる活動
　特定の攻撃対象サイトへのDoS攻撃
　セキュリティー関連のプログラムを殆ど使用不能にする
　Hostファイルを書き換えてセキュリティサイトへの接続を不能にする
　その影響でtrendmicro.co.jpにはつながるが、trendmicro.comにはつながらない

　「ダメージクリーンナップサービス」というのが果たしてこれらの被害を修正してくれるのかどうか私にはわかりません。

４．参考情報
　RPCサービスに重大なセキュリティ・ホール
　http://www.atmarkit.co.jp/fwin2k/hotfix/ms03-039/ms03-039.html

５．参考情報
　今年2月ごろから、欧米の主だったセキュリティーサイトが軒並みDoS攻撃を受け接続不能になっています。
　ウィルスの「踏み台」にされた２０００～３０００の不特定のコンピューターから毎分数千のアクセスが浴びせられているそうです。

　「merijn.org」　 http://merijn.org/
　「TomCoyote.org」http://tomcoyote.org/

☆「SpywareInfo」 http://spywareinfo.com/
　DoS攻撃への対策がある別のサーバーへ移転して再開されています。

私のレベルではこの程度しかわかりません。
他の方のご意見も参考にしてください。

お礼

書き込みいただきありがとうございます。
No.3の方にも記入いただいておりますので
そちらの方にコメントさせていただきます。

回答No.1

morinokoneko

素人ですが検索しました
trendmicro.comを打つと
http://www.trendmicro.com/jp/home/enterprise.htm
のURLになります
trendmicro.co.jpを打つと
http://search.msn.co.jp/dnserror.aspx?FORM=DNSAS&q=trendmicro.co.jp
となりURLは私の場合表示されませんです
環境は98SE　IE6.0SP1　VB2004搭載のPCで閲覧してます

WORM_AGOBOT.HMのことを調べてみますと
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=WORM_AGOBOT.HM
上記にはSOUNDMAN.EXE が関係しているとなっています
Windows NT/2000/XPではCTRL+SHIFT+ESCを押して
プロセスタブをクリックしてくださいとなっています
以下操作は英語が読めれるご質問者であるため翻訳
をしませんがおわかりになっているとおもいます

再度ウイルス検索をVB2003を最新にしてからしてみてください　ちなみにVB2004にアップグレ―ドしてもよいのでは
ありませんか。（無料で出来ますのでこの際不具合がないのであれば実行してください）

どうしても駆除ができないばあい
以下URLにお問い合わせください

ウイルスバスタークラブセンターお問い合わせ
http://www.trendmicro.com/jp/support/vbc/inq/overview.htm

お礼

詳細な情報ありがとうございます。

昨日（3/18）夕方に，再度パターンファイルのアップデートをしましたところ
ウィルスバスターで駆除が可能となりました。
agobot.HMの情報も日本語で表示されています。

HPには「Soundman.exe」がウィルスとあったので，
既にこちらのファイルは削除しておりました。
ところが，実際にはこれ以外にもファイルが2つ作成されていて
（すみません，ファイル名は失念してしまいました）
http://www.trendmicro.com
へアクセスできなかったのは
それらを削除しなかったことによる不具合のようでした。
「Soundman.exe」以外の2つのファイルを
ウィルスバスターで駆除したら
http://www.trendmicro.com
の閲覧が可能になりました。

トレンドマイクロHPには対応パターンファイル818とありましたが
これは検出が可能となるパターンファイルのようで
実際に駆除が可能になったのはパターンファイル828でした。

VB2003のサポートも今年の12月で終わってしまうようなので
VB2004へのアップグレードしようと思います。

どうもありがとうございました。