- ベストアンサー
DOS_AGOBOT.HMを検出しましたが、元になっているワームを検出できず、駆除できません
症状：１．Norton AntiVirusや、Outlook Expressが正常に動作しない ２．ウィルス対策系のサイトにアクセスできない ＜これまでの経過＞ 上記のような症状が現れたので、トレンドマイクロ オンラインスキャンにかけたところDOS_AGOBOT.HMというウィルスが検出されました。このウィルスは症状２を引き起こしているようです。そこでトレンドマイクロのサイトにある駆除方法で駆除しましたが、症状２はなくなりませんでした。また、このウィルスはAGOBOT系のワームによって引き起こされるとの記述があったので、そのワームを駆除しない限り、再起動するごとに自動的に元の位置に作られてしまうようです。 そこでそのワームの特定をしたいのですが、トレンドマイクロ オンラインスキャンではワームは検出されませんでした。また、トレンドマイクロ ウィルスデータベースで「WORM_AGOBOT」で検索すると127タイプのAGOBOT系ワームが表示されましたので、その駆除方法をしらみつぶしに見て、レジストリの改変パターンで当てはまるものがないか全てチェックしましたが、どれも当てはまりませんでした。 また、確証はないのですが、ウィルスに感染したと思われるのは、あるサイトでShockwaveをダウンロードした際ではないかと思います。 トレンドマイクロのサイトにも症状２によって、基本的にアクセスできませんが、www.trendmicro.co.jpは（trendmicro.comと違い）ウィルスがアクセスを妨害するサイトのリストに入っていないため、アクセスでき、オンラインスキャンを受けることができました。 以上が今までの経過です。 どうしてもパソコンを直さなければならない状況で、大変困ってます。どなたかよいアドバイスをよろしくお願いします！
- agobo
- お礼率50% (10/20)
- ウィルス・マルウェア
- 回答数20
- ありがとう数28
- みんなの回答 （20）
- 専門家の回答
質問者が選んだベストアンサー
その他の回答 (19)
- heto2
- ベストアンサー率43% (227/525)
かなり進展してきましたね！！ 大変うれしく思います<(_ _)> １つ、この場を借りて聞いてみたいことがあります。 セーフモードでの立ち上げの件ですが、 セーフモードで立ち上げなくても、 (1)msconfigでスタートアップを無効にして再起動。 (2)通常に立ち上がった状態で、タスクマネージャーを起動させ、あやしいプロセスを終了する。 「セーフモードで起動」を上の(1)OR(2)でカバーできないでしょうか？？ ウイルスがなくなってしまった今（笑）試しようがありません＾＾； どうでもいいことなんでしょうが、少し気になりましたので、書かせていただきました。
お礼
書き込みありがとうございます。 スレッドは進展すれど、私はいまだパソコンが戻らず何もできず…。申し訳ありません…。
- heto2
- ベストアンサー率43% (227/525)
補足に補足の件 >「ウイルスは大体ここ（レジストリの場所）に現れる→ここに現れているのが >（隠しなしで）全てなら、 ウィルスは大体ここ（レジストリの場所）に・・・というのは誤解です。 こんな判りやすい場所に書き込むのはウィルスの中でも初歩的なやり方です。 レジストリは巨大なデータファイルですから、わかりにくい場所に書き込まれると一般ユーザーには殆ど見つけることが出来ません。 AV(AntiVirus)ソフトやアンティスパイウエアのお世話になるしかありません。 ついでに警戒警報を出しておきましょう。 ☆Windowsの脆弱性を狙ったウィルスが続発 といわれても、なんのこっちゃ判りませんね。 平たく言えば、ネットワーク関連のセキュリティの甘さを突いて一般ユーザーのパソコンに侵入するウィルスが沢山出てきたということです。 DCOMとかIRCとかRPCとか一般ユーザーにはなじみの薄いチャンネルを通じて、インターネットに接続するだけでどんどん送りつけられるタイプのウィルスです。 Gaobotの侵入方法と同じだと思います。 ☆RPCサービスに重大なセキュリティ・ホール（MS03-039） http://www.atmarkit.co.jp/fwin2k/hotfix/ms03-039/ms03-039.html ☆Windows の DCOM サポートを無効にする方法 http://support.microsoft.com/default.aspx?scid=kb;ja;825750 ☆IRCとは http://irc.nahi.to/what.html ついこの間まで、ウィルスメールの乱発で大混乱していました。 この場合は添付ファイルを開かず削除しておけば殆ど被害はありませんでした。 しかし、今度はそうは行かないのです。 インターネットに繋ぐだけでどこからとも無く飛び込んできます。 怪しげなサイトへ行かない。 怪しげなリンクはクリックしない。 ウィルス被害にあったことが無い。 だから、私は大丈夫。と考えて、今までセキュリティに関心の無かったユーザーが大量に犠牲になりそうです。 この連休明けにどっと表面化する可能性があります。 ネットワーク内での感染。 外部から持ち帰り、ネットワークに接続したノートパソコンからの感染。 ファイアウォールソフトが必須です。 アラームがうるさければルーターが必要になってきます。 ☆二次被害 セキュリティサイトやWindowsUpdateへの接続が殺到して、接続不能。 汚染したパソコンからのDDoS攻撃の発生による金融機関等への影響 下手をすると何が起こるかわかりません。 一体誰が何を狙っているのか。 私ごときに判るわけがありません。 ☆W32.Sasser.worm ウイルスの発生について（平成１６年５月２日警察庁） http://www.cyberpolice.go.jp/important/2004/20040502_071225.html
お礼
>ウィルスは大体ここ（レジストリの場所）に・・・というのは誤解です。 >こんな判りやすい場所に書き込むのはウィルスの中でも初歩的なやり方です。 >レジストリは巨大なデータファイルですから、わかりにくい場所に書き込まれると一般ユーザーには殆ど見つけることが出来ません。 >AV(AntiVirus)ソフトやアンティスパイウエアのお世話になるしかありません。 なるほど…これはわかりやすい場所なんですね。 私のパソコンはNorton AntiVirus2003を使ってまして、ちゃんとUpdateもされてたのですが、 （おそらく）ウイルスの入ったファイルを自分でダウンロードしてしまい、 その後はNorton自体の働きがウイルスでストップされ、他のオンラインスキャンでは検出されず…という 状況だったので、AVソフトの力がほとんど借りられなかったんです。 辛いところです…。でも素人の当てずっぽうながら、「update service.exeが怪しいかも？」 という推測に、私の場合はそれが怪しそうだとheto2さんに言って頂けたので、 しらみつぶしに駆除方法を見たのも無駄ではなかった、と自分を慰めてます（苦笑） まあ、でも他の場所にある可能性もありってことですから、当たってるかどうかはわからないですね…。
- heto2
- ベストアンサー率43% (227/525)
補足の件 ＞「このウイルスはsoundを含むファイルを隠す」 これは、マカフィのサイトからの引用です。 私自身、どうやって隠すのか知りません。 ただ、Windowsのエキスプローラから見えなくてもコマンドプロンプトを使うと見えてしまうという例はあります。 例えば、C:\WINDOWS\Downloaded Program Filesフォルダ エキスプローラで見る景色と、DOSで見る景色はまったく違います。 >レジストリの中もそのように実際はあるものを隠すことができるのでしょうか？ 多分できないと思います。（希望的観測です。） >またセーフモードで起動しているときと、普通に起動しているときとでは、 >レジストリの中身の表示のされ方は変わりますか？ セーフモードでは必要最小限のプログラムだけが起動されます。 スタートアップ関連でレジストリを書き換えるファイルや設定があれば、セーフモードと通常モードではレジストリの中身が違ってきます。 具体的には、レジストリを書き換えるスクリプトファイルがあるときなどです。 >update service.exeが最も怪しいのでは？ ウィルスやスパイウエアの場合、変幻自在に名前を変えたり、プログラム自体をすり変えたりする例が珍しくありません。 対策ソフトによって検知、削除されるのを避けるためです。 いわゆる、いたちごっこです。 貴方の場合、それが最も怪しい。 しかし、それが他の方全てに当てはまるわけではありません。 ただし、貴重な情報の一つであることには違いありません。
お礼
heto2さん、ありがとうございます。 私の方は相変わらずパソコンが戻ってきません。 戻るはずだったのに戻ってこない…ということに不安を感じています。 heto2さんがおっしゃったように新種のウイルスなら、修理を専門にしてる方でも わからないこともあるかも知れませんし、手こずっていそうな気がします。 まあ、カナダなので適当なだけかもしれませんが…（笑） >>またセーフモードで起動しているときと、普通に起動しているときとでは、 >>レジストリの中身の表示のされ方は変わりますか？ >セーフモードでは必要最小限のプログラムだけが起動されます。 >スタートアップ関連でレジストリを書き換えるファイルや設定があれば、セーフモードと通常モードではレジストリの中身が違ってきます。 >具体的には、レジストリを書き換えるスクリプトファイルがあるときなどです。 なるほど。よくわかりました。ありがとうございました。
- heto2
- ベストアンサー率43% (227/525)
No.9 rocky_77さんの書き込みを切っ掛けに、悩みが次々解決！ 嬉しいでね。 一言余分かもしれませんが。 C:\WINDOWS\system32\svchost.exe と C:\WINDOWS\system32\scvhost.exe 上はWindowsで使われる正規のファイル、下はウィルスです。 間違って、上のファイルを削除すると色々なエラーが発生して訳がわからなくなってしまいます。 非常によく似ているので注意してください。
お礼
どうもありがとうございます。 私はというと、パソコンが修理に出されたまま帰ってきておらず、まだ結果がわからない状態です。こんなにたくさんの方に書き込んでいただいているというのに、自分では何もできない状態で、本当に皆さんに申し訳なく思っています。 ただ私のパソコンは、修理に出す前に調べた際にはHKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices にscvhost.exeが存在していませんでした。 また何か新たにわかったことなどありましたら、よろしくお願いします。
補足
heto2さん、いつもながらご協力本当にありがとうございます。 私はまだパソコンが修理から戻っておらず何もできない状態で、heto2さんはじめ、 回答してくださっている皆さんに対して、本当に申し訳なく思っております。 けれどおっしゃって下さったとおり、多くの貴重な情報がこちらに集まっていて、 同様の症状をお持ちの方の役に立っているようで嬉しい限りです。 ところで、レジストリの値が書き換えられることに関して質問なのですが、 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices というレジストリの場所（←表現おかしい気がしますが…）が書き込みの中に多くあります。 また、最初の質問で書きましたように、私は「WORM_AGOBOT」で検索された127タイプのAGOBOT系 ワームの駆除方法を全て見て、レジストリの改変パターンで当てはまるものがないかチェックしましたが、 その9割以上が同じレジストリの場所の値の改変でした。 そして私が見たところ、もちろんトレンドマイクロで検索された127のAGOBOTには当てはまりませんでしたし、 今回皆さんに書き込みいただいたどれにも当てはまりません。 svchost.exeはタスクマネジャで４つ起動されていたのを確認していますが、かのレジストリの場所にはありませんでした。 では代わりに何があったかというと、 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runと HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices に共通して、Update Service="update service.exe"というのがありました。 \Runの方にはたくさん（値が）あったので覚えていないのですが、\RunServicesの方には（Default）と、 このUpdate Serviceしかありませんでした。 また、soundmanの所で、「このウイルスはsoundを含むファイルを隠す」とありましたが、 レジストリの中もそのように実際はあるものを隠すことができるのでしょうか？ またセーフモードで起動しているときと、普通に起動しているときとでは、 レジストリの中身の表示のされ方は変わりますか？ 話が長くなってきましたが、私が思ったことは、 「ウイルスは大体ここ（レジストリの場所）に現れる→ここに現れているのが（隠しなしで）全てなら、 update service.exeが最も怪しいのでは？」 ということです。パソコンについて全く詳しくないので、見当はずれな推測かもしれませんが、 heto2さんがこれについてどう思われるか教えていただけたら幸いです。 よろしくお願いします。
- heto2
- ベストアンサー率43% (227/525)
- heto2
- ベストアンサー率43% (227/525)
- kazfel
- ベストアンサー率0% (0/1)
何度もすいませんが、、 ウィルスが見つかった場所は C:\WINDOWS\SYSTEM32\CONFIG\systemprofile\Local Settings\Temporary Internet Files\Content.IE5 で、ファイル名は bot[1].exe です。 このほかにも同じ名前で[]内の数字が違うファイルが４つほどありました。 あと、最初にさかのぼってみると、突然大量のアプリケーションファイルがＣドライブにダウンロードされてきました。それでウィルスに汚染されていることを知りました。 実行しなかったので内容は分かりませんが、名前は全て違うものでしたが、ほぼ全てのファイルが１３６Ｋバイトで、恐らくウィルスを実行するためのファイルだったと思います。 参考になれば幸いです。
お礼
何度も丁寧な経過報告をしていただいて、ありがとうございました。 質問をした当事者の私は、まだパソコンが修理から戻っておらず何もできない状態で大変申し訳ないのですが、heto2さんによると新種のウイルスのようであるとのことなので、経過報告はとても貴重なものだと思います。 また何か新しい発見などありましたら、よろしくお願いします。
- kazfel
- ベストアンサー率0% (0/1)
- heto2
- ベストアンサー率43% (227/525)
- 1
- 2
お礼
長い間ありがとうございました。今日やっとパソコンが戻ってきました。 めでたくウイルス駆除されていたのですが、私のいない間だったので、原因や駆除方法は聞けずじまいでした…。 heto2さんをはじめとして、皆さんに色々助けていただき、たくさんの情報をいただいたのに、 私は最後まで何も有用な情報を出せず、本当に申し訳ないです。 けれど今回のことで本当に勉強になりましたし、質問したウイルス以外の最新のセキュリティ事情についても 色々な回答をいただいたので、これからのウイルス対策にそれをちゃんと役立てていこうと思います。 本当にみなさんありがとうございました。