カスペルスキーとRootkit

質問

QNo.3764267で質問した者ですが、どなたからもアドバイス頂けませんでしたので、質問の仕方を変えてみます。
どなたか詳しい方、アドバイスをお願いします。

1. 以前PCがRootkitに感染していましたが、色々駆除の努力をした結果、取り敢えずアンチウィルスソフトウェアで検出報告がなくなりました。(OS : Windows2000, ウィルスセキュリティー使用)
確認の為カスペルスキーのオンラインスキャンを行いました(ターゲットはマイコンピュータを選択)が、何も検出報告はありません。
この状態は、完全に安全な状態と判断していいでしょうか？

2. Rootkit検出当初は、以下のような報告が出ていました。
>隔離ファイル名：netdtect.sys　説明：Rootkit.Win32.Agent.pr
感染報告が無くなっても、C:\WINNT\system32\drivers に netdtect.sys　は未だにあります。
カスペルスキーでこのファイルを指定して調べましたが、問題は無いとの結果でした。
このファイル自体は、本来存在しても良いのでしょうか？

以上、ご意見、アドバイスをよろしくお願いします。

回答No.3

ryu-fiz · ベストアンサー

>1.
トロイの木馬の類に感染して、それが後から見つかったような場合には、何を使ったとしても『完全に安全な状態と判断』するというのは厳密には無理です。『おそらく大丈夫だろう』という確信が持てる、くらいが限界で、一般的にはそういう妥協を行って解決とする、ということになろうかと。

もし私が質問者さんの立場なら…多分大丈夫という判断をするのではないかと思います。ただ、ウイルスセキュリティの検出能力そのものはあまり高くはないと思いますので、幾つかrootkit対策ソフトを使ってみるかも知れませんが。

ただ…無償で利用可能なrootkit対策ソフトはいろいろありますが、どのソフトについても日本語による詳細な解説を行っているサイトが見当たらない、というのが現状のようです。手探りでこうしたソフトを利用する自信がなければ、higaitaisaku.comの質問掲示板に移動して相談されるのが良いと思います。もちろん、ここでの質問は締め切った上、一応HijackThisのログを提出する必要はあります。

>2.
C:\WINNT\system32\drivers\netdtect.sys
このファイル自体はWindows正規のファイルとして存在します。だからあってはならないもの、ではありません。感染した場合には、問題のあるファイルによって正規のファイルが上書きされます。現状、カスペルスキーが問題なしとしているのであれば、かなり高い確率で問題ないように思われますが。

お礼

有難うございます。大変参考になりました。
>『おそらく大丈夫だろう』という確信が持てる、くらいが限界で、・・・(中略)・・・もし私が質問者さんの立場なら…多分大丈夫という判断をするのではないかと思います。

具体的なご意見、心強いです。感染して隔離されたファイルの削除を何度もしているうちに消えてなくなったので、かなり不安だったのです。
netdtectの件も有難うございます。こちらもほっとしました。

回答No.2

noname#80942

こんにちは。
＞　カスペルスキーでこのファイルを指定して調べました
1. 複数のアンチウイルスエンジンを使用してファイルを解析して、その結果である程度の判断ができると思います。
http://www.virustotal.com/jp/
2. 無償のルートキット検出/削除ツール
http://www.sophos.co.jp/products/free-tools/sophos-anti-rootkit.html
3. 特にPCに問題は感じないが念のためチェックしてほしいという方のための掲示板です
http://medcheck.higaitaisaku.com/wizard/wizard.cgi
最初の書き込みにはHijackThisログとアンインストール情報ログの取得が必要です。
以上参考にして下さい。

お礼

有難うございます。Sophosの検出ツールを早速試して見ます。

回答No.1

waros99

こんにちは。

ボクは黒いサイトの潜入調査や仮想マシン上でいろいろなテストをしています。

えっとですね、Rootkitの場合はシステムの再セットアップが唯一の正しい対処法です。

お礼

有難うございます。元々waros99さんと同じ認識を持っていたのですが、何度も隔離ファイルの削除をやっているうちに検出されなくなったので、混乱してしまった次第です。いずれ時間が出来たら思い切って入れ替えるかもしれません。