【CashBackBuddy】と言うプログラムを消す方法

質問

こんにちは、宜しくお願いします。
昨日、同僚が私のPC（WIN XPです）を使ったらしく、その後見ると変なプログラムが。
私が使用していた時には無かったので、同僚が使ったせいでどこかで引っ張ってきてしまったようです。
コンパネの「プログラムの追加と削除」を見るとこのプログラムが見つかりました。
（C:\Program Files\CashBackと言うフォルダも出来ています）
「削除」をクリックすると、英文のアンインストール画面が出てきます。
「next」→「next」と進んでいくと「LastStep to comple the uninstall」と言う画面に。
そのまま「uninstall」をクリックすると「Please fill out all the questions,thank you!」と出ます。それを「OK（しかないので）」をクリックすると、さっきの「LastStep～」と言う画面に戻り、堂々巡りです。
「LastStep～」と言う画面に1～4の質問があり、それに答えないと駄目なのか！と思い、質問に答えて「uninstall」とクリックしても、結果は同じです。
もうどうして欲しいのよ！日本語で判りやすく説明せぇ！！と怒ってみたところで、進展はありませんでした…。
変なの拾ってきた張本人は、今日休暇を取って逃げました。

いくつか検索してみると「スパイウェア」なのではないか？と言う様な言葉も見つかりました。
C:\Program Files\CashBackのフォルダを消したくらいでは全然解決にはならないですよね？
何年かPC触っていますが、誰かが勝手に触って被害を受けたのは初めてで少々ぱにくっています。

また、symantecで検索してみたところ、「Adware.BargainBuddy」と言う項目に駆除方法が載っていました（多分）。
この駆除方法で正しいでしょうか？URLはここに掲載できないそうなので、どなたかの補足に参考URLを張りたいと思います。

お詳しい方、削除の方法を教えて下さい。

回答No.11

doki2

No.10さんの情報参考に・・・

「HijackThis」では下記の表示になると思います。

O2 - BHO: CB UrlCatcher Class - {CE188402-6EE7-4022-8868-AB25173A3E14} - C:\WINDOWS\System32\mscb.dll
O2 - BHO: NLS UrlCatcher Class - {AEECBFDA-12FA-4881-BDCE-8C3E1CE4B344} - C:\WINDOWS\System32\nvms.dll
O2 - BHO: ADP UrlCatcher Class - {F4E04583-354E-4076-BE7D-ED6A80FD66DA} - C:\WINDOWS\System32\msbe.dll
O4 - HKLM\..\Run: [BullsEye Network] C:\Program Files\BullsEye Network\bin\bargains.exe
O4 - HKLM\..\Run: [NaviSearch] C:\Program Files\NaviSearch\bin\nls.exe
O4 - HKLM\..\Run: [CashBack] C:\Program Files\CashBack\bin\cashback.exe

回答No.10

kahimi00

こんちちは、＃７です。

どうですか？まだ、犬は出てきていませんか？
あの犬は、消してもほんの数分で復活していたはずなので・・・犬も居なくなり、プログラムからも見当たらないのに、スキャンすると引っかかるという事は、他の場所には元が残っているのかも知れませんね。

復元以外の方法では、感染ファイル自体を削除するというのがありました。ＣａｓｈＢａｃｋＢｕｄｄｙやＢｕｌｌｅｓＥｙｅＮｅｔｗｏｒｋに感染すると、

C:\Program Files\NaviSearch\bin\nls.exe
　　　　　C:\Program Files\CashBack\bin\cashback.exe
　　　　　C:\Program Files\BullsEye Network\bin\bargains.exe　
　　　　　C:\WINDOWS\System32\nvms.dll
　　　　　C:\WINDOWS\System32\mscb.dll
　　　　　C:\WINDOWS\System32\msbe.dll

というファイルができるそうで、実際に私も見つかりました。これらのファイルを探してみて下さい。

あとは、＃８さんがおっしゃっているＨｉｊａｃｋＴｈｉｓでログを取って、詳しい方に見て頂くのがいいのかなと思います。

お役に立てなくて、すみません(>_<)

回答No.9

hoihence

たびたびすいません、#3です。先に紹介したZerospywareの使用は控えてください。他のスパイウエア対策ソフト(SpywareBlasterでは確認)の一部のブロッキングアイテムのチェックが外れるようです。

回答No.8

doki2

>No.5 CashBackBuddyと一緒にBullesEyeNetwork等にも感染

「HijackThis」によるチェックをお勧めします。

☆HijackThis 1.99.1
http://www.download.com/HijackThis/3000-8022_4-10379544.html?tag=lst-0-1

☆HijackThisによるレポート出力と手動でのスパイウェア除去
　http://www.higaitaisaku.com/hijackthis.html

「HijackThis」のログで下記の行がないか調べてください。

O4 - HKLM\..\Run: [BullsEye Network] C:\Program Files\BullsEye Network\bin\bargains.exe
O4 - HKLM\..\Run: [NaviSearch] C:\Program Files\NaviSearch\bin\nls.exe

回答No.7

kahimi00

またまたお邪魔します。

感染ルートは色々あると思いますが、パソコンで検索してるうちに、私のように海外のギターのタブ譜や歌詞が載ってるサイトで感染したという例を幾つか見つけました^^;

タスクバーの犬ですが、私の場合は、一度消えたと思っても、しばらく経つと復活していましたね。プログラムの中にも戻っていたように記憶しています(>_<)
なので、結局は英語のアンインストールサイトに行ったわけですが、一度もつまずく事なく、スムーズに出来たんですよ。質問を選択した後、アンインストールをクリックしたら、見事に犬のマークもプログラム自体も無くなっていました。

ＢｕｌｌｅｓＥｙｅＮｅｔｗｏｒｋですが、Ｓｐｙｂｏｔで何度も検出されました。「プログラムの追加と削除」を確認した時には、気づかなかったようで。でも、ｎｙａｎｋｏ２００３さんもおっしゃっている、シマンテックの「adware.BargainBuddy」の項目の中にもＢｕｌｌｅｓＥｙｅ～の事が書いてあったので、これが元なのかも知れないと思い、手動で削除しました。

私の場合、その辺りから広がったと推測される複数の感染ファイルが何個か見つかりました(-_-;)でも、プログラムの追加と削除になければ、多分ＢｕｌｌｅｓＥｙｅは大丈夫だと思います！

同じ経験者として応援していますので、頑張ってくださいね！

お礼

こんにちは、またまたありがとうございます！

犬の件、私もでした。消しても消してもあかんべえ…。
絶対「ひっぱってきてやんの～。ばーか」って思ってアイコン作ってますよね。

BBS拝見しました。
システムの復元が有効だそうで。
う～ん、それは出来ないんですよねー。
その後に入れたソフトは再インストールが必要のようで…。
実は、インストールしたCDを割ってしまったものがありまして、また買うには数万円…（そしてその割ったCDはあの同僚が捨ててしまいました。残っていれば保障が効いたかもしれないのに…）。
なので、復元するのは避けたいのです。

もしかして、復元以外で削除方法掲載されていましたか？沢山の量に（検索しても記事が飛び飛びで表示されるので見づらくて…）さ～っと読んだだけなのです。
もし、違う方法が掲載されているのでしたら、教えてください。

しかし、本当に犬…いないんですけど、駆除出来ちゃってるんでしょうか？
「プログラムの～」にも居ないです。
フォルダもいないんです。

おかしいなあ…「駆除できました」みたいな言葉は一度もお目にかかれて居ないんですけど…（？？？

回答No.6

hoihence

#3です。

「The installer file has been saved here C:\Program Files\FBM Software\Installers\instzerospywarelite.exe」
これが表示されるのは正常です。
インストールフォルダにある「SetUp Launcher」をダブルクリックしてもダメでしょうか。

「Win Protector Ver.2」は駆除ソフトじゃないから、間違えないで。あくまでも環境保護ソフトですので。

お礼

こんにちは、ありがとうございます。

もう泣きたいです～。皆さん本当にありがとうございます。
>これが表示されるのは正常です。
なるほど！がしかし、「Installers」フォルダの中には「instzerospywarelite.exe」しかなく、これをダブルクリックすると「ZeroSpywareLimitedEdition」の画面が出てきて、「同意する」先のページ行くとフリーズするのです（泣

>「SetUp Launcher」
これはどうやったら出来てくれるのでしょうか？
もう一度サイトに行ってDLからやり直した方がいいでしょうか？

>「Win Protector Ver.2」は駆除ソフトじゃないから、間違えないで。
わかりました。「探すだけ」と覚えておきます。
確かに見つけてくれるので、ありがたいです。

回答No.5

kahimi00

こんにちは。

パソコンには全く詳しくないのですが、私も先日、そのスパイウェアに感染して駆除に苦労しました！
私の場合、海外の大きな音楽サイトで拾ってしまったんですが、ＣａｓｈＢａｃｋＢｕｄｄｙと一緒にＢｕｌｌｅｓＥｙｅＮｅｔｗｏｒｋ等にも感染していましたが、そちらは大丈夫ですか？
このスパイウェアは、同時に複数のスパイウェアに感染するらしく、ひとつを消しても、元が残っていれば復活してしまうようです。

Ａｄ－ＡｗｅｒｅやＳｐｙＢｏｔでも消すことができず、最終的にＣａｓｈＢａｃｋＢｕｄｄｙは英語のアンインストールサイトにて無事に消すことができました。質問も適当に選びましたが、その後はずっと何の問題もなしです。でも、ｎｙａｎｋｏ２００３さんは駆除できないんですよね・・・何か別の問題があるのでしょうか(>_<)

とりあえず、最初に私はこの掲示板を見ました。ＣａｓｈＢａｃｋＢｕｄｄｙの手動での駆除方法が書いてあります。

http://210.143.99.143/~p-sec/cgi-hiroba/yybbs.cgi

そして、どの駆除ソフトを使っても消せないスパイウェアがあったんですが、Ａｎｔｉｄｏｔｅという簡易型ウイルス発見ソフトをダウンロードして使ったら、すぐに解決しました！これは、発見するだけで駆除はできないのですが、明確に問題箇所を教えてくれるので、素人の私でも一人で消すことができたものです。下に、私が参考にした「無料でできるセキュリティ」のＵＲＬを貼っておきますので、もしよろしければ見てみて下さい。

他の方のような直接的な回答はできず、すみませんでしたm(__)m

参考URL：

http://www.geocities.jp/kiyoandkei/muryo.htm

お礼

ありがとうございます。
同じ体験ですね！海外の音楽サイトですか？
同僚はそんなところに行ったのか…（会社のPCなのに！！）。

kahimi00さんは、アンインストールの際、私と同じところで躓きませんでしたか？

ところで、今「プログラムの追加と削除」を見たのですが、昨日まであったプログラム名が消えているんです…。
タスクバーの下にもあかんべえをした犬が居た筈なのに、今居ないんです…。

これってどういうことでしょう？
皆さんに色々教わったのを全部試しているので、その中で上手い事駆除できたと言うことでしょうか？
…って、甘かったようです。
#3さんに教わった「xclean_micro.exe」で検索するとまだひっかかります…（泣

でも、「プログラムの追加と削除」に表示されないと言うことは、どこかに入り込んでしまったと言う事でしょうか？このような経験はありましたか？

しかし、ご紹介頂いたBBS見てみます。

あ、それと、
>ＢｕｌｌｅｓＥｙｅＮｅｔｗｏｒｋ等にも感染していましたが
これはどこで見つけましたか？「プログラムの追加と削除」の中に出てきますか？
今の所見当たらないので、大丈夫のような気がしますが、見つけた方法を教えてくださいませんでしょうか。

もう腹が立つわ、情けないわで泣きそうです～。

回答No.4

doki2

No.2

>ありません。と出てしまいましたので、その下の項目が確認できませんでした…。

おかしいですね。このキーがないとは。

下記バッチ実行してみてください。

:～～～～～～HKLMRun.batはじめ～～～～～～～
regedit /e/a c:\HKLMRun.txt "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"
Notepad c:\HKLMRun.txt
exit
:～～～～～～HKLMRun.bat終わり～～～～～～～

補足

こんにちは、再度ありがとうございます！

レジストリエディタ開いて確認できました。
有ったものを補足致します。

NaviSearchのみありました。他2つはありませんでした。（Runフォルダ内全て見ました）
念の為、有ったものを書き出させていただきます。

（名前）
Alcmtr
AlcWzrd
CnsMin
EM_EXEC
High Definition Audioプロパティ
IMJPMIG8.1
MDShell
NaviSearch
NeroFilterCheck
NvCplDaemon
NvMediaCenter
nwiz
PHIME2002A
PHIME2002ASnyc
Quick Time Task
RealTray
RemoteControl
SoundMan
SunJavaUpdateSched
WinampAgent

です。これ以外、Runの中に「OptionalComponents」と言うフォルダもありましたが、その中にもありませんでした。
なければおかしいのでしょうか？
大変お手数おかけしまして申し訳ありませんが、再度アドバイスをお願い致します。

回答No.3

hoihence

http://cowscorpion.com/Antispy/ZeroSpywareLimitedEdition.php

このソフトなかなかいけるので、もしよかったら使ってみて。当該マルウエアに効くかどうかわからないけど。

あと余談ですけど、「Win Protector Ver.2」というのがあるんだけど、導入を検討する価値ありかも。詳しくは検索してみて。

おまけ。

http://www.shareedge.com/spywareguide/txt_onlinescan.php

お礼

こんにちは、ありがとうございます。

>http://cowscorpion.com/Antispy/ZeroSpywareLimitedEdition.php

早速DLしてみましたが、「The installer file has been saved here C:\Program Files\FBM Software\Installers\instzerospywarelite.exe」という文言が出てしまいます。
そのままインストール画面は出ますけど、フリーズします。
対応策はありますでしょうか？

また
>Win Protector Ver.2
の方も試しました。でました、今回のこいつ！！
…が、「駆除（削除）」をクリックしても結果は今回の質問の内容と同じところで躓きます…。

また何か対応策がありましたらお願い致します。

回答No.2

doki2

シマンテックのページでは「Cashback.exe」が出てきませんね。
http://www.symantec.com/region/jp/avcenter/venc/data/adware.bargainbuddy.html

☆こちらのほうが症状が似ているかも知れません。

トレンドマイクロ
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=ADW_BARGBUDDY.B

☆状況の確認
レジストリエディターで下記のキーを開きます。
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

画面右側に下記の項目があるかどうか調べてください。
　(名前)　　　(データ)
　Cash back = "Cashback.exe"
　Navisearch = "nls.exe"
　Bargains = "Bargains.exe"

注意!!!!!　「Please fill out all the questions,thank you!」

まともに回答すると個人情報を盗まれる可能性があるので注意してください。

多分架空の情報を入力されたんだろうと思いますが・・・
でたらめのデータを入れたのがばれてはじかれた可能性もあります。

参考URL：

http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=ADW_BARGBUDDY.B

お礼

こんにちは、遅くなりまして申し訳ありません。

>レジストリエディターで下記のキーを開きます。
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

ありません。と出てしまいましたので、その下の項目が確認できませんでした…。

>トレンドマイクロ
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=ADW_BARGBUDDY.B

そうですね、症状は今日になって「急に広告が出るようになった」のでこちらが似ているかもしれません…。
害はないけど「うっとおしい」と言う事でしょうか？
確かにうっとおしいです（怒

ご紹介くださったサイトのやり方通りに駆除しようと思ったのですが、矢張り肝心の今回の質問「アンインストールができない」状況です。
（あのサイトには「「アンインストールする」と書いてあるだけで…）

また何か良い情報がありましたら、お願い致します。
あのサイトの説明を信じると、駆除しなくても問題はないみたいですけど、私としては駆除したいです・・・。

補足

こんにちは、ありがとうございます。

すみません、今すぐ試したいのですがこれから会議が入ってしまいました。
終わり次第やってみますので、返答は暫くお待ち下さい。

宜しくお願い致します。