Backdoor.Trojanの削除方法について

質問

Norton AntivirusでBackdoor.Trojanが検出され
”ファイルを修復できません”と表示され
残っています！対処方法を教えてください！

回答No.22

heto2 · ベストアンサー

クリーンインストールとはハードディスクをフォーマットしたのち、リカバリーディスクを使って再インストールすることですよ。
この場合、全てのファイルが削除されるので、その後のウィルススキャンでウィルスが検出されるとは思えません。

ただ、リカバリーディスクが汚染されていれば話は別ですが・・・

ハードディスクをフォーマットしない場合、上書きインストールといってます。

回答No.21

heto2

No.16　レジストエディタを起動しようとしましても

かなり重症のようです。
クリーンインストールしたほうがいいかもしれませんね。

取り敢えず　No.19　「SFC」による修復を試してください。

お礼

連絡遅くなりましたが
あきらめてクリーンインストールしました。
その後、別のウィルスチェッカーでチェックしましたら６つもウイルスが削除されました。

ありがとうございました。

回答No.20

heto2

No.11　「Ad-aware 6」

http://download.com.com/3000-2144-10214379.html?tag=pop
調べてみましたが換わっていません。
もう一度お試しあれ

参考URL：

http://download.com.com/3000-2144-10214379.html?tag=pop

回答No.19

heto2

No.15 「clb.dll」

C:\WINDOWS\system32\clb.dll

メモ帳だけでなく、Wordpadも使えなくされているんでしょうか
C:\WINDOWS\system32\clb.dll.bak
というようなファイルがないか調べてください。

「SFC」による修復

１．CDドライブにWindowsのインストーラーディスクを入れておきます。
２．「スタート」「コマンドプロンプト」でDOS画面を開きます。
３．「SFC /SCANNOW」と入力
４．「Windows XP professional のディスクを入れてください」という表示が出ることがあります。
「無視」を選んでスキップしてください

回答No.18

heto2

No.12　

No.6　(3)C:\Documents and Settings\...\count[1].js
No.6　(4)C:\Documents and Settings\...\count[1].js

インターネット一時ファイルを削除したあとマカフィーでスキャンしてください。

「一時ファイルの削除」
１．IEの「ツール」「インターネットオプション」「全般」で
２．「インターネット一時ファイル」「ファイルの削除」をクリック
３．「すべてのオフライン コンテンツを削除する(&D)」をチェックして「OK」

回答No.17

heto2

No.14
>C:\WINDOWS\notepad.exe
>→65KBでこれも一緒の作成日です！

もしこのとおりなら、全ての「notepad」が不正なファイルに書き換えられている可能性があります。

本件私には自信がありません。

他のサイトでの修復例をご紹介します。
C:\WINDOWS\notepad.exe.bakをゴミ箱へ
C:\WINDOWS\system32\notepad.exe.bakをC:\WINDOWS\system32\notepad.exeに
（.bakを消す）

参考：レジストリとの関連
レジストリ設定の中にnotepad.exeのパスが次のようになっている場合があります。
HKEY_CLASSES_ROOT\Applications\notepad.exe\shell\edit\command
　名前：（既定）　データ：C:\WINDOWS\notepad.exe %1

このままではエラーが発生してしまいます。
レジストリを調べるのも大変なので、C:\WINDOWS\フォルダにnotepad.exeをコピーしておくといいでしょう

回答No.16

heto2

No.15 レジストリの調査・やり直し

レジストリエディターを起動して下記のキーを開きます。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
右側の画面で次の設定がないか調べてください。
「名前」AppInit_DLLs
「データ」C:\windows\System32\d3d.dll

この設定があると削除したファイルが復活してしまうんです。
その上、通常の削除方法ではレジストリ設定自体が元に戻ってしまうので特殊な作業が必要です。
下記、参考にして、この行を削除してください。

被害対策の部屋・HKLMの「AppInit_DLLs」キーの削除
http://higaitaisaku.web.infoseek.co.jp/appinitdlls.html

削除後、パソコンを再起動して、もう一度、regAppInit.batを実行してこの設定がなくなっていることを確認してください。

その後、「強削」でC:\\WINDOWS\\System32\\windddd.dllを削除すれば退治できると思います。

補足

すいません！
レジストエディタを起動しようとしましても
＃15の補足に明記したような表示が出て
立ち上がりません！
どうしたらよいでしょうか？

回答No.15

heto2

No.8
>ウィルス警告「Backdoor.Trojan」はまだ出ます！

レジストリの調査

削除しても復活されている可能性があります。
C:\windows\System32\d3d.dll

有害なレジストリ設定を調査する必要があります。

「wordpad」を起動します。
C:"\Program Files\Windows NT\Accessories\wordpad.exe"

下記の行をコピーして貼り付けたのちregAppInit.batという名前でデスクトップに保存してください。

:～～～～～～regAppInit.batはじめ～～～～～～～
regedit/e regAppInit.txt "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows"
C:"\Program Files\Windows NT\Accessories\wordpad.exe" regAppInit.txt
:～～～～～～regAppInit.bat終わり～～～～～～～

デスクトップのregAppInit.batをダブルクリックして実行。

内容をコピーして「補足」に貼り付けてください。

補足

clb.dllが見つからなかったため、アプリケーションを開始できませんでした。と表示され
ドキュメントを開くことに失敗しました。
表示され閉じました！

回答No.14

heto2

No.6　(6)C:\WINDOWS\system32\notepad.exe.bak
　（メモ帳の件）
　さしあたり「wordpad」を使えると思います。
　C:\Program Files\Windows NT\Accessories\wordpad.exe

　結構、謎の多いスパイです。
　どれが本物か確認する必要があります。
　エキスプローラで下記ファイルを探してファイルサイズと作成日をレポートください。
　（表示方法・詳細で表示されると思います。）
　C:\WINDOWS\notepad.exe.bak
　C:\WINDOWS\system32\notepad.exe.bak
　C:\WINDOWS\notepad.exe
　C:\WINDOWS\system32\notepad.exe

補足

C:\WINDOWS\notepad.exe.bak
→このファイルは65KB 2004/6/22 6:13　C:\WINDOWS\system32\notepad.exe.bak
→25KBで上の作成日と一緒です。
C:\WINDOWS\notepad.exe
→65KBでこれも一緒の作成日です！
C:\WINDOWS\system32\notepad.exe
→このファイルは存在しませんでした！

回答No.13

heto2

No.6　(5)C:\WINDOWS\system32\mfplay.exe
　「HijackThis」で下記の行をチェックして「Fix checked」

O2 - BHO: (no name) - {B9B41881-3DB1-4484-9780-731663705F50} - C:\WINDOWS\System32\mfplay.dll

補足

「HijackThis」で
O2 - BHO: (no name) - {B9B41881-3DB1-4484-9780-731663705F50} - C:\WINDOWS\System32\mfplay.dll
がリストの中にありませんでした！

回答No.12

heto2

No.6　(3)C:\Documents and Settings\...\count[1].js
No.6　(4)C:\Documents and Settings\...\count[1].js

省略されている部分の表示「\...\」調べてください。

補足

エクスプローラーで確認して
\count[1].jsが確認できず
わかりませんでした！