avastの挙動ブロッカーイベント

質問

初めての質問です。助けてください。
トロイの木馬系の、ウィルスに侵入され、リカバリーを行いましたが、
メモリー常駐タイプだったために、スパイポッド・アバスト両方で、検索、
削除・通常起動時、セーフモード時、共に、３回程度ずつ、行いました。
もう、大丈夫だろうかと、思いましたが、起動時に以下のコメントが、表示されました。
“avast挙動ブロッカーイベント”
内容が、ファイルを削除
詳細な情報として、ファイル名　C:\WINDOWS\Temp\StashIMAPI.bin
プログラム　imapi.exe

許可　　すべてを許可　　　拒否
と、でてます。
どちらを、選択すれば、いいのでしょう？

あと、気をつけるところが、あれば教えてください。
よろしくお願いします。

回答No.1

ryu-fiz · ベストアンサー

まずavast!の挙動ブロッカーのイベントについては…即答が難しいです。

おそらくこの機能は初期設定では機能しないようになっている筈です。
（当方の環境で確認しましたが…初期設定で幾つかの拡張子に対して機能するようにチェックは入っているものの、『ブロックする処理』についてはどの項目もアンチェックの状態、つまり機能していない、と判断出来ます。）

たぶん使いこなせば効果的だが、かなり難しいよ…ということで初期設定でオフになっているんではないかと。だからという訳じゃないが、判断は非常に難しいですね。

幾つかポイントを挙げて書きます。

１）"C:\WINDOWS\Temp\StashIMAPI.bin"はWeb検索の結果、何らかの悪質なプログラム＝マルウェアである可能性が高いと思われます。

２）"imapi.exe"という名前のプログラムは、WindowsXP標準のシステムファイルとして存在するようです。
http://cowscorpion.com/tasklist/tasklist/i.html

しかしながら…
http://www.f-secure.co.jp/v-descs/v-descs3/fagot.htm
にあるもののように、別のものに置き換えられる可能性もない訳ではありません。

imapi.exeが善玉か悪玉かの判断が現状では付きません。だから自信を持って…という判断は難しいですが、いろんなリスクを考慮すると今回の『ファイルの削除』は『拒否』が妥当でしょう。

何度もこうした警告が出て、その都度判断に困るようなら、いっそ設定を初期状態に戻す、つまり挙動ブロッカーが働かないようにしてしまった方が精神衛生上もよろしいような気もします。

いずれにせよ、現時点では削除されずに残っている感染が確認されてしまってる訳ですので。可能なら追加の処置が必要でしょう。

>メモリー常駐タイプだったために、スパイポッド・アバスト両方で、検索、
>削除・通常起動時、セーフモード時、共に、３回程度ずつ、行いました。

セーフモードでのスキャンはそれなりに効果がありますが…avast!には『ブートタイム検査』という機能があります。

WindowsOSが立ち上がる前にスキャンを行いますので、起動時にシステムに組み込まれるように設定されている感染に関しても効果があります。その点でセーフモードでのスキャンよりも強力です。これを使っていないのなら、まず使ってみるべきです。（それ以前に、もしまだなら『システムの復元』を一時無効にして以前の復元ポイントを破棄し、バックアップ領域をクリアした方がよさそうですが）

avast!のメイン画面を起動し、メニューから『ブートタイム検査を予約』を選ぶと設定画面が出ます。

それでも感染の影響が出るようなら、avast!で検出出来ない感染がまだ隠れていることになりますので、非常に対処は厄介です。例えば、
http://www.emsisoft.jp/jp/software/free/
とかで除去出来るかも知れませんが…100%これでOKとも言えませんし。

この種のものは、一旦入られたら完全な除去はかなり難しくなるのが現状です。ですので、ここは思い切ってリカバリしパソコンをクリーンな状態にしてから再感染を防止する策を講じた方が良いようにも思われます。

再感染を防ぐ方法については、次のページを参考にしてください。
http://www.higaitaisaku.com/korobanu.html
http://www.geocities.jp/iespyad_jpn_manual/quick_guide/txt.html

お礼

ありがとうございます。大変参考に　なりました。
さらに、作業が大変であることにも、気づきました。

リカバリーをかけてみます。
本当に、ありがとうございました。