win2000サーバーでウィルスが検出されたら・・・

質問

会社のサーバーはWin2000サーバーを使っているのですが、クライアント側からサーバーのＣドライブをウィルススキャンしたところウィルスが検出されました。

W32Dabber.Bというウィルスで、WINNT\system32内のWincasys.exeというファイルがありました。

削除できなかったのですが、大体サーバー内にウィルスがどうやって入ったのかもわかりません。

また、サーバーにウィルスソフトは入っていませんが、入れて削除したほうがよいのでしょうか？
どうやって対処すればよいのか教えていただけると助かります。

また、最近サーバーの調子が悪く、新しくクライアントを設定しようとしてもうまくネットワークに組み込めません。
ひょっとしてこのウィルスが関係しているのでしょうか。

回答No.1

ramuramunew · ベストアンサー

こんにちは。
シマンテックのページにこのウィルスの詳細情報がありました。
http://www.symantec.com/region/jp/sarcj/data/w/w32.dabber.b.html

このウィルスはワームタイプなので、ネットワークにつながっているだけで感染します。
また、サーバにウィルス対策ソフトが入っていないとのことですので、
残念ながら既に感染されているものと思います。
サーバの調子が悪いのもウィルスに感染しているからでしょう。

手順は先ほどのページの掲載されていますので早急に駆除を
実施された方が宜しいかと・・・。

尚、システムにバックドアを仕掛けるみたいですので情報漏えいの危険もあります。

お礼

お返事ありがとうございます。
早速駆除しようと思いますが、サーバーにはノートン等のウィルス駆除ソフトが入っていないのでどうすればよいのでしょうか？

回答No.8

o_tooru

３番さんへ　　初めましてo_tooruと申します。

さて、下記の内容ですが、シマンテックの件は知らないのですが、
トレンドマイクロに関しては、少々齟齬があります。
> トレンドマイクロの ServerProtect にせよ、シマンテックの Client Secur
> ity にせよ、利用できることは
> 　o Windows 2000 Server / Windows Server 2003 のサーバOSへの対応
> 　o 対応したクライアント何台かとの連携をとること
> 　o クライアント何台か分のライセンスもついてくること
> と読み取れます。
トレンドマイクロのサーバープロテクトは純粋にサーバーをプロテクト
するだけです。ただ、数台のサーバーを同時に管理出来るという機能はありますが。

クライアントのライセンスは付いてきません、クライアントと協調する時には、ウイルスバスターオフィススキャンというサーバークライアント型のソフトを別途用意する必要があります。

これは結構強力でして、一度インストールすると削除するためには管理者のパスワードが必要になったり、管理者がリモートでクライアントをウイルススキャンしたりすることが可能です。

ご参考までに申し添えておきます。失礼しました・・・

回答No.7

chidori_ko

NO.3 です。

ServerProtect for Windows NT/NetWare に相当するラインナップのものは、たぶん Client Security なのではないかと思います。Windows 2000 Server / Windows Server 2003 に対応しているもの、というとここらへんみたいですね。
http://www.symantec.com/region/jp/smallbiz/products/scs_sbe/index.html

トレンドマイクロの ServerProtect にせよ、シマンテックの Client Security にせよ、利用できることは
　o Windows 2000 Server / Windows Server 2003 のサーバOSへの対応
　o 対応したクライアント何台かとの連携をとること
　o クライアント何台か分のライセンスもついてくること
と読み取れます。

つまり、「社内のパソコンにはすべてノートン2004が入っており、たまにスキャンしてくれていると思っております。」という、そのクライアントの利用者さんの信念に期待するのではなくて、管理者さんがネットワーク経由でウイルススキャンなり定義ファイルのダウンロードなりを一括して行えるということです。

その分、今回のように単に Windows 2000 Server のウイルス対策をしさえすればよいという意向に対しては、ちょっと高い値段になっているかもしれません。現在の各クライアントに入っている NAV2004 の今後の有効期間と勘案して、次の時期のウイルス対策として使うことを検討したうえでということになるのかもしれません。

(各クライアントに入っている NAV2004 、最新のウイルス定義ファイル等をダウンロードが可能な状態になっていますか？ソフトがインストールされていても定義ファイルが最新でなければ、十分な機能を発揮できません。)

なお、単に両社のWebサイトを斜め読みしただけですので、Windows 2000 Server を一台だけウイルス対策したいんだけど、と両社に直接問い合わせしていい製品がないか紹介してもらってはいかがでしょうか。

あと、Sasser がらみということで、社内の社員さんが私物のノートパソコンを持ってきて一時的に社内ネットワークに接続して使い、その外部から持ち込まれたウイルスに感染したパソコンがサーバにウイルスを感染させた、という可能性もあります。社内のクライアントだけではなく、社内のネットワークを意識してサーバを守ってみてください。
http://itpro.nikkeibp.co.jp/free/ITPro/OPINION/20031127/1/

回答No.6

o_tooru

単にサーバーの管理ですから、特にクライアントとは関係がないと思いますが。

あと、お一人で管理なさっているのですか？私の所では、まあ大概が私がやっているのですが、出入りの業者経由で（電気工事店）PC関係の業者を紹介させ、そこのSEと相談しながら管理しています。

まあ、SEはまだ若いので、新しいことを追いかけていきたいようですが
少しセーブをかけながら相談に乗ってもらっています。

管理するPCも多いので、クライアント側を管理するために
アンチウイルスソフトにウイルスバスターオフィススキャンというのも
入れました。クライアントを管理するのには便利ですよ。

回答No.5

o_tooru

こんにちは、お困りですね。

さてご質問の件ですが、私の職場のサーバーにはすべて、トレンドマイクロのサーバープロテクトを入れてあります。

http://www.trendmicro.com/jp/products/file-server/sp/evaluate/overview.htm

クライアント系のアンチウイルスソフトでは対応出来ません。専用のソフトが必要になります。

お礼

お返事ありがとうございます。
クライアントにはノートンが入っているのですが、サーバーのみこのトレンドマイクロのサーバープロテクトを入れてもよいのでしょうか。

回答No.4

Microstar

ＰＣウィルスによっては、つないだだけで感染されることがありますし、実際かんせんされなくても攻撃を受けてシャットダウンを繰り返す場合があります。

ですから、サーバーにもアンチウィルスソフトを入れて毎深夜スキャンをしたり、セキュリティパッチを入れたり、対応してください。

それからすべてのＰＣにウィルス感染しているかどうかチェックもした方がいいですよ。

お礼

お返事ありがとうございます。
今もっているノートンは、NortonSystemWorks2004というソフトですが、これはWin2000サーバーのＯＳで動きますか？

回答No.3

chidori_ko

http://www.symantec.com/region/jp/avcenter/venc/data/w32.dabber.b.html
および、
W32.Dabber.B とあわせて活動を行っていると上記で記述されている W32.Sasser.Worm についての
http://www.symantec.com/region/jp/sarcj/data/w/w32.sasser.worm.html
をそれぞれ斜め読みした限りなんですが、つまるところ不要な機能を停止させたり、ウイルス対策ソフトを入れてなかったりして放置していたマシンにネットワーク経由で侵入されたということだと思います。W32.Dabber.B は、社内のネットワークに向けて W32.Sasser.Worm に感染可能なマシンを探すような動作をしているようですから、Windows 2000 Server 上で W32.Sasser.Worm が見つかっていなくても、他のマシンにとっては感染源になっている可能性もあります。

したがって、Windows2000 Server だけがたまたまというよりも、社内のネットワーク全体にウイルスが蔓延している可能性があるといえると思います。
http://www.itmedia.co.jp/news/articles/0405/03/news001.html

Windows 2000 Server にインストールできる企業向け版のウイルス対策ソフトの導入・不要な機能の停止といった対応を手始めに、社内全体のパソコンすべてにウイルス対策ソフトが入っているか(そして最新の状態が手に入れられる状態にあるか)を確認されてはどうでしょう。ウイルスを削除しても、また感染する状態を残しているだけでは同じことの繰り返しになってしまいますから。

さて、削除の仕方ですが
http://www.symantec.com/region/jp/avcenter/venc/data/w32.dabber.b.html の下のほうにある削除方法によると、package.exe というプロセスが動作中の場合はウイルス対策ソフトからの削除はできないようなので、当該プロセスをタスクマネージャから停止させた上で、ウイルス対策ソフトから削除を改めて試みてはいかがでしょうか。

お礼

お返事ありがとうございます。
社内のパソコンにはすべてノートン2004が入っており、たまにスキャンしてくれていると思っております。ただスキャンしていない者もいるかもしれませんので再度徹底させます。

補足

すみません、全てのパソコンにノートンが入っていると言いましたがサーバーにはノートンを入れておりません。（サーバーを購入する時にファイルサーバーはウィルスに感染しないといわれましたので…）
また、各クライアントにノートンを入れたのはサーバーを導入してから大分後になってからなのですが、先にウィルスに感染していたらその上にノートンを入れればどうなるのでしょうか？インストール時に検知するものでしょうか？

回答No.2

ramuramunew

No.1です。

書き忘れてました。
まずネットワークケーブルを抜いて作業して下さい。
でないと他のPCも感染します。
最悪の場合外のインターネットユーザにも被害が及びます。

それからウィルスの駆除を実施すると共に、早急にウィルス対策ソフトを
入れて下さいね。

お礼

お返事ありがとうございます。
サーバーに入れるウィルス対策ソフトのおすすめは何でしょうか。
教えていただけると助かります。