hosts ファイルが、アプリケーションを起動するたびに消えてしまいます。

質問

C:\WINDOWS\System32\drivers\etc 内のhosts ファイルが、アプリケーションを起動するたびに消えてしまいます。
社内のパソコンで Windows XP Pro SP2 を使用しています。支社から本社にあるサーバへの接続のため、C:\WINDOWS\System32\drivers\etc 内の hosts ファイルに本社のサーバーの名前を登録して名前解決していましたが、ある日突然、ホスト名でのアクセスができなくなりました。そこで、C:\WINDOWS\System32\drivers\etc 内をのぞいてみたところ、hosts ファイルがなくなっていたので、新規に作成してホスト名でのアクセスを試みましたが、それでもアクセスできません。そこで再度フォルダ内を見てみたところ、hosts ファイルが消えていました。さらに色々と確かめた結果、C:\WINDOWS\System32\drivers\etc 内の hosts ファイルがあらゆるアプリケーション（まさに全てのアプリケーション。メモ帳でも電卓でもです。）を起動するたびに消えてしまうのです。フォルダを開いて様子を見てますと、アプリケーションを起動するたびにまさに目の前で hosts ファイルだけが消えてしまいます。フォルダ内の他のファイルは、全く問題ありません。C:\WINDOWS\System32\drivers\etc\hosts ファイルがピンポイントで消えてしまいます。スパイウェア等の悪質なプログラムの存在を疑い、ウィルスバスター2007、スパイボット、カスペルスキーアンチウイルス6.0 でスキャンしてみましたが、気になるものは検出されませんでした。全く摩訶不思議で不可解な現象なので、途方にくれています。尚、今現在、２台（それぞれ別の支社）のパソコンで同じ現象が発生しています。どなたか、アドバイス、情報の方をよろしくお願い致します。

回答No.2

mamutti · ベストアンサー

SWORDFISH8さんと同様の現象が私の会社のパソコンでも起きました。
うちの場合はクライアント800台中、3台で発生しています。
発生したのは一週間くらい前です。

私もウィルスやスパイウェアを疑い「Adaware」「Spyware Doctor」
「スパイボット」「McAfee Managed Total Protection」で
検索したのですが検出されませんでした。

環境の違うSWORDFISH8さんと同じ現象が出ているとなると
新種のウィルスか何かなのかも知れませんね。

こちらでも「filemon」でログをとって見ましたので載せます。
状況としては「Word」を新規で立ち上げて「hosts」
が消えるまでのログになります。

141 17:32:36 explorer.exe:1592 WRITE C:\Documents and Settings\Administrator\Application Data\Microsoft\Internet Explorer\Quick Launch\Microsoft Word.lnk SUCCESS Offset: 0 Length: 2425
142 17:32:36 explorer.exe:1592 DIRECTORY C:\Documents and Settings\Administrator\Application Data\Microsoft\Internet Explorer\Quick Launch NOTIFY ENUM DIR Change Notify
143 17:32:36 explorer.exe:1592 CLOSE C:\Documents and Settings\Administrator\Application Data\Microsoft\Internet Explorer\Quick Launch\Microsoft Word.lnk SUCCESS
144 17:32:36 explorer.exe:1592 DIRECTORY C:\Documents and Settings\Administrator\Application Data\Microsoft\Internet Explorer\Quick Launch Change Notify
145 17:32:36 explorer.exe:1592 QUERY INFORMATION C:\Documents and Settings\Administrator SUCCESS Attributes: D
146 17:32:36 explorer.exe:1592 OPEN C:\WINDOWS\system32\drivers\etc\Hosts SUCCESS Options: Open Access: 00010080
147 17:32:36 explorer.exe:1592 QUERY INFORMATION C:\WINDOWS\system32\drivers\etc\Hosts SUCCESS FileAttributeTagInformation
148 17:32:36 explorer.exe:1592 DELETE C:\WINDOWS\system32\drivers\etc\Hosts SUCCESS
149 17:32:36 explorer.exe:1592 CLOSE C:\WINDOWS\system32\drivers\etc\Hosts SUCCESS
150 17:32:36 explorer.exe:1592 DIRECTORY C:\WINDOWS\system32\drivers\etc Change Notify
151 17:32:36 svchost.exe:1112 DIRECTORY C:\WINDOWS\system32\drivers\etc Change Notify

お礼

mamutti さん、情報の方、ありがとうございます。
まさに同じ現象ですね。
私もあれから色々と試してみましたが、以下のサイトを参考に処理したらあっさりと復旧してしまいました。
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=TROJ%5FHEUR%2EAE
やはり、新種の悪質なプログラムだったようです。

回答No.1

pakuti

詳細は調べるのが面倒なので割愛

レジストリで、32ビットプログラムを動かす際に
決められた動作を行う　と言う項目があったはずです。
以前、ウイルスでその部分を書き換えてしまうものがいました。

ウイルス対策ソフトは既知のものしか検知しません。
filemonで何が起こっているのかを追ってみてはいかがでしょう？

追加で、セーフモードでも同じ現象が発生しますか？

補足

情報の方、ありがとうございます。filemon を試してみようと思います。
セーフモードで起動しても、全く同じ現象が起こります。