削除できません

質問

XPでノートンインターネットセキュリティ2005を使用していますがどうやらsmss.exeというファイルが Trojan horse というウイルスに感染してしまっているようです。セーフモードでの削除も試みてみましたが削除できませんでした。どなたかわかる方教えてください。

回答No.5

doki2 · ベストアンサー

>1,2については初心者なのでよくわかりません

　多分、質問１と質問２のことと思います。

　もし、システムの復元についてわからないのであれば、非常に重要なことですので、下記参照して、よく勉強して置いてください。

　Windows XP - システムの復元の手順
　http://www-06.ibm.com/jp/domino04/pc/support/beginner.nsf/btechinfo/SYB0-021CB40

>質問３
>3.△(ファイルは削除しましたがPCをスキャンするとまだ検出されます)

　何が検出されるのか補足してください。

>4.△(すべて見ましたがとりあえず大丈夫だと)

　「駆除方法　4. レジストリから値を削除する」ですが、一番面倒で、かつ、危険な作業です。
　事前にレジストリをバックアップして誤操作に備えるようにしてください

　☆レジストリのバックアップ方法
　http://service1.symantec.com/SUPPORT/INTER/tsgeninfojapanesekb.nsf/jdocid/20020308022342953

　レジストリの操作には下記ソフトを使うと非常に便利です。

　☆「Registry Jumper」
　http://fine.tok2.com/home/heto2/0500MiniTool/0501RegJumper/001.htm

>5.○(自己解決しました)
>6.○(自己解決しました)

　シマンテックの下記説明通りに実行されたと思います。

　「5. Win.ini ファイルを編集する」
　「6. System.ini ファイルを編集する」

　この作業のあと、パソコンを再起動すると「Explorer.exe」によってロックされて削除できない状態が解除され「csrss.exeについては手動削除に成功しました。」ということになったと思います。

>7.△(シマンテックの説明がよく理解できません)

　「駆除方法 7. 必要に応じて、Temporary Internet Files フォルダのファイルを削除する」

　「a」を無視して「b」から始めるといいんじゃないかと思います。

　こちらに詳しい説明があります。

　インターネット一時ファイルを削除するには
　http://support.microsoft.com/default.aspx?scid=kb;ja;880693

　質問３の3.△(ファイルは削除しましたがPCをスキャンするとまだ検出されます)に関係があるかもしれません。

　リカバリをお勧めしたにもかかわらず、よくここまでがんばられましたね。
　あと一息、ぜひクリアしてください。

☆お勧め

　「SiteAdvisor」のご紹介
　http://fine.tok2.com/home/heto2/0500MiniTool/0516SiteAdvisor/0001.htm

　Google、Yahoo等の検索結果画面で危険なサイトに赤信号を表示してくれます。

お礼

とても詳しい説明ありがとうございます!おかげさまで無事にウイルスを駆除することができました!この経験を生かして少しでも他の人のお役に立っていきたいと思います^_^本当にありがとうございました！

回答No.4

doki2

★smss.exe

通常は、Windows正規のプロセスとして、メモリーに常駐しますが、スパイウエアによって有害なファイルを上書きインストールされることがあります。

ユーザーのパソコンに忍び込んでユーザーの個人情報やパスワードを盗みとることがありますので、早急な対策が必要と思います。

smss - smss.exe - Process Information
http://www.liutilities.com/products/wintaskspro/processlibrary/smss/

このファイル名を使うスパイウエアはいくつかあり、感染状況も異なります。

W32.Dalbug.Worm - Symantec Corporation
Adware.DreamAd - Symantec Corporation
W32.Resdoc - Symantec Corporation
Adware.Advision - Symantec Corporation
Backdoor.IRC.Flood.F - Symantec Corporation
Backdoor.IRC.Aladinz.O - Symantec Corporation

ここではシマンテックの指示に基づいて駆除作業を正確に実行するのがいいと思います。

質問１．システムの復元は試されましたか?

質問２．シマンテックの指示通り、システムの復元機能を無効にしたため、過去の復元ポイントはなくなってしまったのでしょうか?

質問３．下記、シマンテックの「駆除方法」を正確に実行されましたか?

（正確に実行したと思われる場合は「○」、自信が無い場合は「△」、実行できていないものは「X」で答えてください）

　１．システムの復元機能を無効にします (Windows Me/XP)。
　２．ウイルス定義を最新版に更新します。
　３．システム全体のスキャンを実行し、検出されたファイルをすべて削除します。
　４．レジストリに追加されたすべての価を削除します。
　５．Win.ini ファイルを編集します。
　６．System.ini ファイルを編集します。
　７．Temporary Internet Files フォルダのすべてのファイルを削除します。

質問４．「smss.exe」以外に「csrss.exe」「winlogon.exe」というファイルが検出され、手動削除が必要になっていませんか?

質問５．WindowsUpdateは最新の状態まで実行されていますか。

尚、質問３の（１）～（７）を読んで、とても手に負えないと思われる場合は、重要なデータをバックアップして、リカバリをお勧めします。

事前にリカバリディスク、パソコンのマニュアル、プロバイダーの接続設定等の資料を手元に用意して置いてください。

また、パスワードが盗まれている可能性がありますので、修復が終わるまで、パスワードの入力が必要なサイトへはアクセスしないようにしてください。

月末も迫っていますので、やはり、リカバリがいいかなとも思います。

お礼

質問3についてなのですが5、6の作業の仕方がわかりません(>_<)これらの2つのファイルはどこにあるのでしょうか?それ以外は実行してみました。

補足

回答の仕方がおかしかったですね^^;
えっと・・・上から順に
1.○
2.○
3.△(ファイルは削除しましたがPCをスキャンするとまだ検出されます)
4.△(すべて見ましたがとりあえず大丈夫だと)
5.○(自己解決しました)
6.○(自己解決しました)　
7.△(シマンテックの説明がよく理解できません)
以上です。あと質問4のcsrss.exeについては手動削除に成功しました。質問5については大丈夫です。
1,2については初心者なのでよくわかりません(申し訳ありません)

回答No.3

lesson

横から失礼します。
ひとつのファイルだけを16のベンダーのエンジンでスキャン可能なオンラインスキャンがありますので、これで該当ファイルをスキャンしてみてください。
本当に何かのウイルスなら複数のベンダーのエンジンで検出されると思いますし、ベンダーごとの別の名前がわかればそこから情報がつかめるかもしれません。
「参照」でファイル指定、「Send」でスキャン開始ですが、少し時間はかかります。
何か検出されたらその結果を正確に補足に記入してみてください。

http://www.virustotal.com/xhtml/index_en.html
::::: VirusTotal :::::

補足

すみませんせっかく教えていただいたのにファイルを削除してしまっているためスキャンすることができません

回答No.2

ryu-fiz

>どうやら感染してしまっているファイルが重要なものらしく常にタスクマネージャの中にいてプロセスの終了ができないんです。

smss.exeについてGoogle検索すると幾つかヒットしますが、

http://www.symantec.com/region/jp/avcenter/venc/data/w32.dalbug.worm.html
http://www.mcafee.com/japan/security/virL2002.asp?v=WNT/Ladex.worm

まず最初に申し上げたいのは…今回見つかったものは上記ページに書かれたものとは別であろうということ。
で、その上で申し上げたいのは、正しくシステムファイルであるsystem32フォルダ配下の"smss.exe"と感染ファイルが誤認されている可能性があるということです。

smss.exe単独で起動しているプロセスが見つかったら停止→"%SystemRoot%\smss.exe"の方を削除、は可能でしょうか？

まぁW32.Dalbug.Wormのように、複数のプロセスがこのプロセスの終了や削除を常時監視していて変化があれば即刻復活、というメカニズムが出来ていたら…対処は非常に困難、と見ます。

動作中のプロセスを常時監視し、ログを収集することが出来れば、smss.exeが削除されても復活するメカニズムを解析できるかも知れませんが…私の鳥頭では方法が確立できませんね。。

参考までに。
http://www.atmarkit.co.jp/fsecurity/rensai/securitytips/032event.html
単に見つけただけなのでこの記事に関する補足質問にはお答えできないと思います。

お礼

親切にありがとうございました。

回答No.1

sekiya-h

これでしょうか？
　Trojan Horse
　⇒ http://www.symantec.com/region/jp/avcenter/venc/data/jp-trojan.horse.html

参考URL：

http://www.symantec.com/region/jp/avcenter/venc/data/jp-trojan.horse.html

お礼

はい。それです^^このページを参考にして色々やってみたのですがセーフモードでもウイルスを削除することができないんです。どうやら感染してしまっているファイルが重要なものらしく常にタスクマネージャの中にいてプロセスの終了ができないんです。何か些細なことでもいいのでわかりませんか？