起動のたびにウイルスが駆除されるが、アイコンからプログラムが起動しなくなる

質問

トロイの木馬型ウイルスに感染してしまい、マカフィーのウイルススキャンが駆除してくれました。
しかし、再起動のたびに、同じウイルスが検出され駆除されるようになりました。

しかも、以下の症状が。。。
・パソコンを使っていてしばらくすると、言語バーの各アイコンが真っ白になってしまう。
・クイック起動アイコンが反応しない。（IEが起動しないとかそういうことです）
・デスクトップのアイコンが反応しない。
・スタート⇒からどのプログラムも起動しない。
・エクスプローラでファイルのアイコンが表示されなくなっている。クリックしても開かない。
・起動時時々「システムの深刻なエラーから回復しました」というメッセージがある。

すでに開いているIEから別のサイトに飛んだり検索したり快適にできるので、PCがフリーズしているわけではないです。今こうやって質問を書いていますが、PCは上記の状態で、何のソフトも起動しなくなっています。

OSはXPです。ウイルス感染前へのシステムの復元はできません。（そっちにウイルスが残っているといやだとい思い削除してしまったので）

おかしくなり始めたのがウイルス感染と同時なので、
元はそこだと疑っていますが、どうしたら直るのか・・・

どなたかわかる方いらっしゃいましたら、よろしくお願いいたします。

回答No.5

ryu-fiz · ベストアンサー

指摘した点を補足していただき、意見を組んでいろいろ実行してくださったのはありがたいのですが…どう考えても難しいケースのようです。

補足していただいた"NTDETECT.dll"をキーワードにGoogle検索してみたところ…ヒットするのは殆どハングルで書かれたものばかりで部分的に判読出来るものしかありませんでした。それでも英数字で書かれた部分から読み取れる限り、やはりこれの『親玉』になるファイルがマカフィーによっては検出出来ないでいる状態のようです。

おそらく、オンラインゲームサービスのハンゲームに関する個人情報を盗み取ろうとするトロイの木馬であろうと思われます。ハンゲームは韓国が発祥と聞き及んでおりますので、やはり韓国で開発された対策ソフトではかなり対応出来るものの、それ以外では一般的に信頼の置けるベンダーのものでも十分に対応が出来ないのでしょう。マカフィーにおいてはかろうじてNTDETECT.DLLだけをリネージュ系トロイの亜種として検出出来ただけ、ということになろうかと思います。

例えば、
http://cyworld.acert.co.kr/board_list.html?&bbs_id=virusinfo&page=&doc_num=327
や
http://www.boannews.com/media/view.asp?idx=1773&kind=1
のようにGoogle検索でヒットしたページの情報を参考に何かしら出来そうな気はするのですが…情報の内容も完全に一つに定まっていないですね。少々ファイルやレジストリ操作に慣れた人なら、HijackThisやAutorunsのようなものを使って手探りで感染の全容を把握、手動で削除することも不可能ではないと思いますが…かなり難易度は高そうです。

結論ですが…No.5さんがおっしゃるようなリカバリによる解決ではなくあくまで駆除にこだわりたいのであれば、『アダルトサイト被害対策の部屋』の質問掲示板に移動されることをお勧めします。次の『質問作成ウィザード』からHijackThisのログなど必要なものを揃えていってください。
http://bbs.higaitaisaku.com/wizard/wizard.cgi

掲示板を移動される際には、この質問は締め切るようにしてください。
理想としてはここでログ解析を行えれば良いのですが…私自身が自機のログを手探りで解析する以上のスキルを持ち合わせていないことに加え、ログの文字数が膨大になることもここでの解析が十分に行えない要因になります。

この回答以降早い段階で、HijackThisやAutorunsの解析が可能なスキルをお持ちの回答者さんが現れて、ログ提出の指示があった場合を除き、リカバリもしくは掲示板の移動をされることを強く推奨します。

十分なお役に立てず、本当に申し訳ありません。

お礼

お礼がおそくなってすみません。
丁寧にいろいろ教えていただいて本当にありがとうございました。
どうしようもない状態ということは、よくわかりました。
いろいろインストールしているものが多すぎて大変ではありますが、再インストールしようかな、とあきらめております・・・
本当にありがとうございました。

回答No.4

yoshi-thk

No1ですけれど、対処方法の中に、きちんとレジストリの改変部分があると書いてます。
マカフィーの説明では、対処不足だと思いますので、他のサイトの情報も確認してみてください。

TROJ_LINEAGE.CQ
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=TROJ_LINEAGE.CQ

上記の情報からすると、次のように書いてます。
HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Run
の画面右側に、
「QWE = %Windows%\msn.EXE」
があるので、それを削除しないと繰り返しで感染します。

また、アンラボ社のウイルス情報には、次のウイルスという情報もあります。

Dropper/Yinwin.49577
http://www.ahnlab.co.jp/virusinfo/view.asp?seq=1006

レジストリに、
HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Run
Runtt1 = C:\（Windows システムフォルダ）\Internet.exe
という値を追加して、ハンゲーム関係の情報を盗むとは書いてます。

いずれにしても、現在の感染しているファイルを削除するだけでは、無意味です。

一番安全な方法は、リカバリして各種のパスワードの変更がベストな方法でしょう。

お礼

御礼が遅くなって申し訳ありません。
教えていただいた値はレジストリには見つかりませんでした。
いろいろありがとうございました。

回答No.3

ryu-fiz

一応確認しますが…最初の感染が見つかってからPC全体をスキャンされましたか？多分やっておられるとは思いますが、まだなら必ず定義を最新のものにしてから実行するようにしてください。これはウイルスが検出されたときの基本とも言えます。

お礼

オンライン更新で最新になっていますが、念のためもう一度最新に更新をかけて、PC全体をスキャンしました。
No.1の回答の中から、オンラインウイルスバスターでスキャンもしてみました。
でも、何も引っかかりませんでした。

回答No.2

ryu-fiz

物事に対し適切に対処するには、現状をきちんと把握することが最も大切です。まず、マカフィーが処理したトロイの木馬がどういう名称のものだったか、どこから発見されたかについてきちんと把握するようにしてください。現状起きている状況だけで、感染したものが残した傷痕など詳しい状況が分かる訳でもありません。

マカフィーに限らず、ほとんどのウイルス対策ソフトは発見したものの名称やどこから見つけたかなどのデータを日時と共に記録し、ログとして保存するようになっています。まずはお使いのマカフィーでそのログをどうやって閲覧することが出来るのかをヘルプやマニュアルなどで確認してください。

ウイルスの名称という意味でマカフィーでは『ウイルス名』という呼び名を使うようです。その『ウイルス名』をはっきり把握する、これがまず必要な第一歩です。ウイルス名が分かればそのウイルスについての詳しい情報を次のページから検索して得ることが出来ます。
http://www.mcafee.com/japan/security/vlibrary.asp

大概の場合、その情報を頼りに作業すれば解決することが可能です。例えば次のようなページになります。
http://www.mcafee.com/japan/security/virO2001.asp?v=JS/Offensive
（注意！このページはあくまで一例として引き合いに出しただけです。このページの内容自体は今回のトラブルと関係があるとは限らないのでそのまま作業に入らないようにしてください）

お礼

ご回答ありがとうございます。

見つかったファイル名は「NTDETECT.dll」
トロイの木馬の名前は「PWS-Lineage.dll」
ファイルパスは「C:\Document and setting\ログインアカウント\Local Setting\temp」

マカフィーのサイトで検索すると
http://www.mcafee.com/japan/security/virPQ2005.asp?v=PWS-Lineage
でしょうか・・・

この駆除方法を見ていると、最新のエンジン/定義ファイルでスキャンすれば駆除できるように見えるのですが、これだけではだめなんですかね。
ファイルが削除されたmessageの後、スキャンしても何の検出もできません。

回答No.1

yoshi-thk

起動するたびに感染が見つかると言うことから、次の方法を試してください。

１．システムの復元を無効にして、システムの復元ポイントを破棄する
２．restoreファイルを削除する

また、今感染しているウイルスについて、きちんとした対処方法を確認してください。
ただウイルスの削除をするだけではなくて、レジストリを直す必要があると思いますので、レジストリも直してください。

他のウイルスに感染してないか確認した方がよいです。

ウイルス対策ソフトのオンラインチェックサイトは次のところです。

トレンドマイクロウイルスバスターオンラインスキャン
http://www.trendmicro.co.jp/hcall/index.asp

シマンテックセキュリティチェック
http://www.symantec.com/region/jp/securitycheck/index.html

F-Secure オンラインスキャナ
http://www.f-secure.co.jp/v-descs/disinfestation.html

カスペルスキー：オンライン ウイルス＆スパイウェアスキャナ
http://www.kaspersky.co.jp/scanforvirus/

お礼

ご回答ありがとうございます。

まず、システムの復元は、システムのプロパティでシステムの復元を無効にするのチェックボックスをオンにしたりオフにしたりして、ファイルを削除しました。

トロイの木馬のファイル名は「PWS-Lineage.dll」というものらしく、見つかったファイルは、「NTDETECT.dll」というものです。

下記のサイトをチェックしました。
http://www.mcafee.com/japan/security/virPQ2005.asp?v=PWS-Lineage

ウイルスチェックは、PCに入っているマカフィーで最新のエンジン/定義ファイルで一回。
教えていただいた、トレンドマイクロウイルスバスターオンラインスキャンで1回、いずれも何も検出されませんでした。

レジストリは確認しましたが、たくさん値があって、どれかまだ分かりません・・・

レジストリをまだ直していませんが、相変わらず状況は変っていません。
レジストリのどれが悪いのか、はどうやって見つければいいのでしょうか。
もしもご存知でしたら、ご助言ください。