win32.Randex.E のウィルス削除について。

質問

WindowsXP IE6.0　ＶＡＩＯ　のＰＣです。

今日、なんとなく　オンラインでウィルスチェックをしたら
５個も同じウィルス（W32.Randex.E)にファイル感染していました。。
いつからなのか全然分からないのですが取り敢えず

http://www.symantec.com/region/jp/sarcj/data/w/w32.randex.e.html

上記のＵＲＬの通りに駆除実行してみたのですが

4. 感染ファイルを探して削除する

と言う項目の部分で、５個のファイルのうち、一つ
”win32sockdrv.dll”と言うファイルの削除だけがどうしても出来ません。

エラーの文章は
「win32sockdrv　を削除できません。アクセスできません。
ディスクがいっぱいでないか、書き込み禁止になっていないか、
またはファイルが使用中でないか確認してください。」

とあります。

ファイル使用中と言うのは、ＰＣ起動時に既に使用中になっている
言うことなのでしょうか。。
取り敢えずCtrl+Alt+Deleteキーで、切っても大丈夫っぽそうなのを
とことん切ってみたのですが、どうにもなりません。

もし、どうしても捨てれない場合、
「感染ファイル削除の」を飛ばして、
次の項目
「レジストリに行われた変更を元に戻す」を
実行しちゃっても良いものなのでしょうか。。
それだと意味が無いのかな（汗。

もし、詳しいかた居ましたらどうかお答え頂けませんでしょうか。
特に詳しくないって人も「こういう理由があるんじゃ？」とか
何でも良いので、思いつくことがあればどうぞお願いします＞＜

文章分かりづらかったらごめんなさい。。。

回答No.5

zoro2 · ベストアンサー

１．事前にレジストリのバックアップを取ってください。
☆レジストリバックアップ
　A．「スタート」「ファイルを指定して実行」で「Regedit」 と入力して「OK」。
　B．レジストリエディターのメニューで、「ファイル」「エクスポート」をクリック。
　C．レジストリファイルのエクスポート画面下方の「エクスポート範囲」で「すべて」を選択。
　D．保存する場所とファイル名を入力して「保存」

２．システムの復元を無効にしてください。
☆Windows XP のシステムの復元機能を有効/無効にする方法
http://service1.symantec.com/SUPPORT/INTER/tsgeninfojapanesekb.nsf/jdocid/20020407222052953

３．「Run」設定の削除
　レジストリエディターを起動して下記のキーを開く。
　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
　右側画面の「名前」欄で「NDplDeamon」を見つけて右クリックして「削除」を選択
　右側画面の「名前」欄で「winlogon」があれば右クリックして「削除」を選択

４．「Runonce」設定の削除
　レジストリエディターを起動して下記のキーを開く。
　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runonce
　右側画面の「名前」欄で「NDplDeamon」を見つけて右クリックして「削除」を選択
　右側画面の「値」欄が「nstask32.exe」と「winlogin.exe」の場合があります。

５．「Winlogon」設定の修正
　レジストリエディターを起動して下記のキーを開く。
　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
　右側画面の「名前」欄で「Shell」を見つけて右クリックして「修正」を選択
　（絶対に「削除」してはいけません。・・・厳重注意）

　「値のデータ」で「explorer.exe winlogin.exe」又は「explorer.exe nstask32.exe」となっているのを「winlogin.exe」又は「nstask32.exe」を消して「explorer.exe」だけにする

６．Windowsを再起動してエキスプローラで下記ファイルを削除

C:\WINDOWS\system32\nstask32.exe
C:\WINDOWS\system32\win32sockdrv.dll
C:\WINDOWS\system32winlogin.exe
C:\Documents and Settings\焼き鳥君。\Local Settings\Temp\.txt
C:\Documents and Settings\焼き鳥君。\Local Settings\Temp\rebwlesuxmahbjehpddbeidzgoeki.txt
C:\Documents and Settings\ユーザー。\Local Settings\Temp\.txt

７．システムの復元を有効にしてください。

８．Windows Updateを実行してください。

９．ウィルススキャンを実行してください。

お礼

何度もお付き合い頂いて本当にありがとうございます。

教えて頂いた方法を試してみたのですが
やはり無理でした（汗。
ファイルもレジストリも、全てが復活してしまいます。

自分なりにスパイボット？や、色々なソフトウェアを使ってみて
削除を試みましたが何度削除してもやはり復活。。

win32sockdrv.dllの消せないファイルに対しては消さなくて良いからどっかいっちゃえ！！
って勢いでフロッピディスクに移動させようとしたり、
ファイルを上書き～などなど
試してみたのですがどう頑張っても無理ぽいです。。

でも何故かウィルスチェックしてみると
一つだけ
（C:\Documents and Settings\焼き鳥君。\Local Settings\Temp\rebwlesuxmahbjehpddbeidzgoeki.txt）
は、復活してないようで削除成功していました。
なので、今の感染ファイル数は４個です。

あとの４つのファイルはＰＣにとって重要なファイルだったりするのでしょうか。。
気になったのですが普通のＰＣにはnstask32.exeって存在するんですか？
それともウィルスの住み込んでるＰＣにのみ存在するのでしょうか。

う～ん。。。

補足

zoro2さま。

先ほど検索探してましたら下記ページを発見しました。

http://pasokoma.jp/bbs5/lg105553.html

同じ症状の人の質問らしく、その人が解決したと言う方法を
取って見たら、なんとwin32drv.dllを削除する事に成功しましたＴ０Ｔ

そこでウィルスチェックをするとそのファイルは
出てきませんでした。
.txtのファイルはウィルス感染としてまた出てきたのですが
これは多分普通に削除出来る気がしますので削除してからもう一度
ウィルスチェックかけてみたいと思います。

windows updateも実行済みです。

解決の糸口見えてきました＼(^O^)／

見ず知らずの他人に長い間お付き合い下さいまして本当にありがとうございました！！

とても心強かったです^O^

silpheed7さん、yoshi-tohokさんにも感謝してます！

本当に本当にありがとうございましたm(..)m。

回答No.4

zoro2

☆強削
「強削」というのを使って削除してみてください。
http://www.vector.co.jp/soft/win95/util/se298257.html
パソコン再起動で削除されます。

☆DLLファイルの削除
「スタート」「ファイル名を指定して実行」で下記入力
regsvr32 /u c:\windows\system32\Win32sockdrv.dll
通常、このあとエキスプローラで、「DLL」ファイルを削除できます。

>名前自体は変更可能っぽいんですよ。謎

ファイル名を変更して削除する必要のあるスパイウエアもあります。

>なんとなく　オンラインでウィルスチェックをしたら

ということはウィルス対策ソフトをインストールしていない？
あぶないですな～

☆BitDefender

下記のソフト試してください。
BitDefender Free Edition
http://www.bitdefender.com/bd/site/products.php?p_id=21

☆ActiveXを使ったスパイウエア

「HijackThis」その他で解析する必要もありそう

☆「辛酸いよいよ佳境にいる」

ウィルススキャンで検出された項目を補足してください。

お礼

２度目のお返事ありがとうございます！！
すいません、大事な事書き忘れてたようですね（汗。
検出された時に出た文章は以下の通りです。

------------------
C:\WINDOWS\system32\nstask32.exe は　W32.Randex.E に感染しています。
C:\WINDOWS\system32\win32sockdrv.dll は　W32.Randex.E に感染しています。
C:\Documents and Settings\焼き鳥君。\Local Settings\Temp\.txt は　W32.Randex.E に感染しています。
C:\Documents and Settings\焼き鳥君。\Local Settings\Temp\rebwlesuxmahbjehpddbeidzgoeki.txt は　W32.Randex.E に感染しています。
C:\Documents and Settings\ユーザー。\Local Settings\Temp\.txt は　W32.Randex.E に感染しています。
---------------------------

”焼き鳥君。”が２個感染し、”ユーザー。”で一個感染ってことは、
”焼き鳥君。”ってログイン（ログオン？）の状態で感染した可能性が大なのでしょうか。
それとも特に数は関係無いのかな。謎 原因も全然分からず気になってます。

（文字数限られてるようでアップ出来ないので
補足の方に２個に分けさせて頂きますm(..)m）

補足

教えて頂いた強削をDLして使ってみました。

「一個のファイルは、現在ほかのプログラムによって使用
　されています。OSの再起動時にこのファイルは削除されます」

と出たので、削除成功?!っと思い再起動させてみたのですが残念ながらしぶとく生き残ってましたToT

dll削除方法についても試してみたのですが

「c\windows\system32\win32sockdrv.dllは読み込まれましたが、
　DllUnregisterServerエントリーポイントが見つかりませんでした。
　このファイルが登録されていない可能性があります」

っと言うのが現れちゃいました。一応このあとに削除を試みてみたのですが、やはり出来ず
あと、削除は出来ても復活するファイルを強削を使って削除してみたのですがこちらも復活しちゃってました（汗
頑固なウィルスなのでしょうか。それとも私のＰＣの設定か何かなのでしょうか（悩）

ウィルス対策ソフトは、ノートンを入れてるには入れてるのですが期限切れで
一年前ぐらいから更新されてないみたいです（汗）。これじゃ意味無いですよね（汗汗

「HijackThis」
こちらも検索して、DLし、早速使ってみました。
win32sockdrv.dllは、出なかったけれど、nstask32.exe（消しても復活するファイル）は出てきました。
一応このソフトでも削除試みてみましたが復活しておりました。しぶとい。。

私のＰＣの症状はスパイウェアと言うのが濃厚なのでしょうか。
今回初めて聞いた単語なので、濃厚ならスパイウェアについて
もっと色々調べてみようと思いますm(..)m。

回答No.3

zoro2

参照：Blaster ワームおよび Blaster ワームの亜種に感染した場合の対策について
http://support.microsoft.com/default.aspx?scid=kb;ja;826977

１．コマンド プロンプトを開く
[スタート] ボタンをクリックし、[ファイル名を指定して実行] をクリックします。[ファイル名を指定して実行] ダイアログ ボックスの [名前] ボックスに cmd と入力し、[OK] をクリックします。

２．ファイルを削除
コマンド プロンプトで del c:\windows\system32\Win32sockdrv.dll /a と入力し、Enter キーを押します。

お礼

お返事ありがとうございます。

教えて頂いた方法を先ほど試してみたのですが

”アクセス拒否”

と出て削除することが出来ませんでした。

セーフモードで　アクセスできる人？セキュリティみたいなのを
色々いじって試してみたのですが、どう頑張っても
アクセス拒否されて削除出来ないっぽいです。。（汗。

検索かけて　駆除方法のページなどを見る限りでは
削除が出来ない場合なんて事は書いてないようなので
普通は削除出来るんですよね多分。
何で私のは出来ないんだぁ。。謎

関係あるかどうか分からないですが
ファイルの中身は変更出来ないのですが
名前自体は変更可能っぽいんですよ。謎

それと。。
思い出しました。
ウィルス感染ファイル５個のうち４つは削除出来るのですが
どうも削除したのちに、即行復活してるみたいです（汗。
何度削除しても次フォルダ見たら（更新押しても）復活してます。。
レジストリエディタ？についても同じのようで
即行復活しています。

オンラインスキャンするとまた同じく５個感染ファイルと出ました。。汗

んー難しい。。。（－－;

回答頂きありがとうございました。
そして、また何か気付いたりする事がありました時には
お暇な時で全然結構ですのでもう一度お返事頂けますと嬉しいですm(..)m。

回答No.2

noname#40123

＞ファイル使用中と言うのは、ＰＣ起動時に既に使用中になっている
言うことなのでしょうか。。
＞取り敢えずCtrl+Alt+Deleteキーで、切っても大丈夫っぽそうなのを
＞とことん切ってみたのですが、どうにもなりません
電源を切ったあと、すぐに起動しますので、F8を連打していると通常の起動画面ではない画面が出てきて、その中に「SaveMode」という箇所が出てくると思います。
それで起動させてください。

それを使うと、たいていの場合には、使用中のプログラムについては削除できると思います。

それで、該当のファイルを削除してください。

お礼

お返事ありがとうございます。

セーフモードで試してみたのですが
結局捨てれず。。。汗
セーフモードって使用中のものでも
捨てれるって感じの機能なんですね。
初めて知りました。

それでも消せないってことは、そういう
設定のファイル、あるいはウィルスの特性？
か何かなのでしょうか。。ん～。謎

ども回答頂きありがとうございましたm(..)m。

回答No.1

silpheed7

とりあえずセーフモードで対応してはどうでしょうか？
それと、アンチウィルスソフトは導入しておきましょう。

あとアンチスパイウェアの導入も。

Ad-Aware
　有料版は常駐監視機能あり。
　　http://www.lavasoft.de/　　　　　　　　　　　　　　　　　　　　　　　
　　http://isweb42.infoseek.co.jp/computer/koni_bdc/ad_aware/ 日本語化パッチ
　　現在の最新版
　　Free Download - Ad-Aware SE Personal 1.05
　　http://www.majorgeeks.com/download506.html

Ad-aware 日本語化
　　http://bdc.s15.xrea.com:8080/flight/
Ad-aware 6.0によるスパイウェアの除去方法
　　http://higaitaisaku.web.infoseek.co.jp/adaware.html

SpybotSD - Spybot - Search & Destroy1.3
　日本語対応。
　　http://www.safer-networking.org/
　　http://security.kolla.de/
Spybotの使い方
　　http://www.dream-seed.com/server/spybot.html
Spybot1.3によるスパイウェアの除去方法
　　http://higaitaisaku.web.infoseek.co.jp/spybot2.html

お礼

お返事ありがとうございます。

先ほどセーフモードで試してみたのですが
やはり同じエラーが出て捨てることが出来ませんでした。

スパイウェアについてはまだ何かも理解してないのですが
今からＵＲＬ飛んで色々見てみたいと思います。

どもありがとうございましたm(..)m。

補足

早速、silpheed7さんに教えてもらったホームページで
スパイウェアを導入？してスキャンしてみました。

スパイウェアってウィルスとはまた別ですよね？？
２３６個も発見してびっくりしました。。
ほとんどがクッキーっぽかったので
結構、普通にネットしてる部分で出会うものなんでしょうかね。。

良い経験できました。ありがとうございます。