まだウィルスに感染？？

質問

初めての質問です。宜しくお願いします。
ウィルスに感染後からと思われるのですがインターネットへ接続(ADSL)すると私のＰＣよりイメージ名"wugrds.exe"を介して別のＩＰアドレスのポート：１３５へ大量に接続して送受信のモニタランプが点滅しっぱなしとなります。
タスクマネージャにて"wugrds.exe"を終了すると点滅は、ＩＥの画面操作時のみとなりポート１３５への接続も終了します。
ウィルス等に、まだ感染しているのでしょうか？
※ウィルスバスターにて隔離したウィルス名は、WORM_KORGO.G、BAT_SASSER.Aの２ウィルスでした。

回答No.1

NetAdmini · ベストアンサー

お察しの通り、まだウイルスにやられているようです。

同様のことが以下のサイトでディスカスされています。（英語ですが…）
http://servicenews.symantec.com/cgi-bin/displayArticle.cgi?article=27514&group=symantec.support.generic.virus_corporate.general&tpre=ent&

ご質問にあるように、ポート135を使用して大量のデータ送信を行うウイルスのようです。WORM_KORGO.G、BAT_SASSER.Aの変種のようですが、シマンテックでいうところのW32.Gaobot.AQS の亜種の可能性が高いと思います。
http://www.symantec.co.jp/region/jp/sarcj/data/w/w32.gaobot.aqs.html
ただ、このウオームが使用するファイル名はwuamgrd16.exeですので、この点は違いますし、場所もすこし違います。ただ、削除の際の参考にはなるでしょう。

すくなくとも、まだSymantecのサイト（日・英とも）にはこのウイルスは掲載されていないようです。

私はまだ経験していないのですが、すでに「wugrds.exe」プロセスを終了してトラフィックが通常のレベルになるのですから、すでに対処の仕方もわかっているようですね。

Windowsのバージョンによりますが、「wugrds.exe」プロセスを殺した後、Windowsのシステムディレクトリを調べて、「wugrds.exe」を削除しましょう。

Win2000の場合 c:\winnt\system32\wugrds.exe
WinXPの場合 c:\windows\system32\wugrds.exe

次にレジストリを調べて、このファイルを参照している部分を削除するなどすればよいのではないかと思いますが、比較的簡単な方法としては、HijackThisでスキャンして、このファイルのエントリを削除するのが手っ取り速いのではないかと思います。

HijackThisについては、以下のサイトをご覧ください。
http://higaitaisaku.web.infoseek.co.jp/hijackthis.html

また、「スタートアップ」の項目もチェックしておきましょう。変種のウイルスやスパイウェアには、システムの状態をスキャンして、いかにもそれらしい名前に自分自身をリネームして、スタートアップに入れておくものもあります。（たとえば、ダイヤルアップやDSL、ケーブルで使用しているプロバイダの名前を利用するとか…）

また、作業後はオンラインスキャン、フリーのアンチウイルスなどをダウンロードしてさらにスキャンすれば良いのではないかと思います。

オンラインスキャン
Symantec
http://www.symantec.co.jp/region/jp/securitycheck/index.html

Panda Software
http://www.pandasoftware.com

McAfee
http://jp.mcafee.com/

AVG Anti-Virus （Free）
http://www.grisoft.cz/us/us_dwnl_free.php

他にもたくさんありますが、詳しい方のようなので、上の情報もたぶんすでにご存知でしょう。

また、Norton アンチウイルスやインターネットセキュリティの体験版をインストールするのも良いと思います。30日は試用できるのでお勧めです。2004バージョンからはインストール時にメモリースキャンするようになりましたから、システムにウイルスが入っている場合でもきちんとインストールでき、スキャンできるようです。
http://www.symantec.co.jp/region/jp/trial/index.html

もしその気がありましたら、「wugrds.exe」をZIPなどで圧縮し、ウイルスバスターなどのベンダーに送れば、解析して対策を立ててくれます。

もしWinXPやWinMEを使用しているのであれば、システムの復元機能をオフにしてから作業してください。

レジストリ操作やシステム復元機能などについては、シマンテックのW32.Gaobot.AQSに関する記述が参考になります。改めてリンクを以下に。
http://www.symantec.co.jp/region/jp/sarcj/data/w/w32.gaobot.aqs.html

お礼

NetAdmini様、早速の詳しい回答をありがとうございました。
ご指導の通りにファイルの削除、レジストリからの削除を行いました。
その後は、ポート:135 への大量接続は無くなりました。
念の為に"Nortonアンチウィルス(30日試用版)"をインストールして実行した
結果、"winapis32rnd.exe"へ"W32.Spybot.Worm"の感染も発見されました。
どうも、このウィルスが根本の原因と思われます。
ウィルススキャンを厳密にやるとしたら複数のソフトが必要かも？...
どうも、ありがとうございました。