avast!でウィルスがTEMPフォルダから続々と発見されます

質問

WindowsXP、avast!Home Edition4.7、Spybot、Ad-Aware、Zone Alarmを使用しています。

最近、avastがウイルスを発見しました。
場所はC:\DOCUME~1\ユーザー名\LOCALS~1\Temp\以下ばかりで
名前は全てV2CKFHa01536等、拡張子のない、Vから始まる英数字12個の羅列です。

発見されたのは、
"Win32:Trojan-gen. {Delphi}"
"Win32:Antinny-C-UPX [Wrm]"
"Win32:Antinny-B-UPX [Wrm]"
"EraseHDD-G [Trj]"×3です。
全てチェストに移動だけしました。

Antinnyは何となくわかるですが、他の者は名前で調べても余り出てこないので不安です。友人からファイルを貰ったり、海外サイトに繋いだりしているので、可能性はあると思うのですが・・・
TEMPフォルダから沢山発見というのはどういう状況なのでしょうか？

あと、オンラインスキャン（トレンドマイクロ）をかけると途端に発見しだしたのは、たまたまでしょうか？オンラインスキャンでは何も発見されませんでした。ウイルス対策ソフトの動作を止める事が出来たりするのでしょうか？

また、avastログビューアのアプリケーション欄にある番号から、何か割り出す事が出来るのでしょうか？
余り仕組みがわからず、困っています。宜しくお願いします。

回答No.3

ryu-fiz · ベストアンサー

No.1さん、2さんのご意見と相反するのですが…現時点で即ヤバイ、と判断するのは早いと私には思えます。理由ですが…、

１）トレンドマイクロのオンラインスキャンを実行している最中に、常駐しているavast!の方が感染を検出した。
２）結局、トレンドマイクロのオンラインスキャンでは感染を検出できなかった。

おそらく、トレンドマイクロのオンラインスキャンが何らかの圧縮ファイルを検査する目的でtempフォルダに解凍したものにavast!が反応した、ということだと思われます。ただし、avast!が反応して、ウイルスバスターのエンジンは反応しなかった、ということなので、多分に誤検出の可能性が考えられます。

私自身似たような経験をしています。Antidote SuperLightで検査中にアンパックされた圧縮ファイルの中身に常駐していたAntiVirが反応したことがありました。この時も結論としては異常なし、と判断しました。

誤検出かどうか、そして当面の危険性についてはっきりさせるための一つの方法として、avast!のチェストに隔離されたファイルを次のいずれかのサイトに送り、複数のエンジンで判定されることをお勧めします。
http://virusscan.jotti.org/
http://www.virustotal.com/xhtml/index_en.html

複数のエンジンで感染と判定されればそのように判断出来ますし、avast!以外が無害と判定すれば誤検出の疑いが濃厚になります。もしavast!以外のエンジンが感染と判断したなら、そのエンジンを利用したオンラインスキャンで再度感染をチェックすることが望ましいと思います。

もしくは、avast!で圧縮ファイルも含めた完全スキャンをすぐに実行するのも良い方法でしょう。当然、通常検査ではなく完全検査を選択し、圧縮ファイルの検査も有効に。終了までにかなりの時間はかかると思いますが…こういう事情ですから検証は念入りに行う必要があります。

本当にまずいものが入り込んで、しかもアクティブになってるなら…そのように検出される筈です。検出された場所が単に一時ファイルの中の圧縮ファイルやブラウザのキャッシュで、削除が容易なものだったらそれ程の心配はしなくて良いかと思います。（もし既に実行されていれば削除や移動は拒否される筈です。）

>avastログビューアのアプリケーション欄にある番号から、何か割り出す事が出来るのでしょうか？

ログとして記録されてすぐにタスクマネージャを起動し、『プロセス』タブに表示されているPIDと照合すれば、どのアプリケーションが絡んでいるかが分かるかも知れませんが…時間が経ってからだと同じPIDで同一アプリケーションが起動しているとは限らないので、判断の材料にはならないかも。

お礼

返事が遅くなってすみません。
確かに誤検出の可能性もあるな、と思い、出して頂いたURLに復元したファイルを送ってみました。そうしたら"Erase-HDD"はavast!だけの検出でした。また、もう1回トレンドマイクロで検索したみたところ、リアルに"Erase-HDD"のウィルスファイルが作られました。なので、それについてはどうやら心配する事はなさそうです。ほっとしました。

ただ、それ以外のファイルは作られる事なく、他のサービスでも検出されたので、まずいのかもしれません。全てAntinny関連でした。Winnyは使ってないけど、サーバーにUPされるものだったら嫌だなと思い、レジストリや作られるらしいファイル、upされる可能性があるURLなど一通り調べましたが、そちらは出てきませんでした。

それでも気分は良くないので、クリーンインストールも検討していますが、その前に、完全スキャンもやってみます！

アプリケーションナンバーの意味も良くわかって嬉しかったです（トレンドマイクロスキャンの時見ていたら、avastの番号・・・16進数になっていました）。

大変参考になりました。ありがとうございました。

回答No.2

Deep__Blue

トロイの木馬とかぬるぽワームとかHDDフォーマットとか、かなりヤバイのばかりですね。
tempフォルダだとすでに実行されている可能性が高いです。
最悪、リカバリも視野にいれて駆除作業をする事をお勧めします。

お礼

返事が遅くなってすみません。
名前が出た時は私もかなり怖くて青くなりました・・・
tempフォルダは、実行する時に移される？ものなんですね。勉強になります。
不安が拭いきれないので、インストールし直しも検討しています。ありがとうございました。

回答No.1

sc_staff

Winnyの使用を中止して、ウイルスの駆除をAvastのみならずオンラインスキャナーも何個か併用し（Windows Live One Careなど）た方がいいです。

何かサイトに行ってパスワードを打ったり最近したことがあればパスワードの変更も重要だと思います（プロバイダーに接続する必要があってそのパスワードが保存されている場合はそういったものも）

ウイルスだけでなくスパイウェアの検索もしてみてください。

お礼

返事遅くなってすみません。
Winny自体は元々使ってないのですが、Windows Live One Careとスパイウェア、やってみました。
特には出なかったのですが、今回の事で色々危機感を覚えたので、パスワードは片っ端から変更してきました～。ありがとうございました！