再セットアップしたのに・・・？

質問

使用中の3台のPCの全てがウイルスに感染して
困惑しています。3台はそれぞれ独立の環境で
ネットワーク接続はしてありません。
OSは全てWindows Meです。Outlook　Expressを
起動すると任意に10数本/日のメールを送信して
いるよいうです。アドレス帳の全てのメールアドレスを
全て削除してみましたが、これと言った効果はありません。

Norton　AntiVirus2002(最新アップデイト)で全システムを検索しても
ウイルスは検索されませんが、契約プロバイダから「W32.Klez.H」に
感染している旨のサポートメールが頻繁に届きます。
乏しい知識で、こちらから
（http://www.symantec.co.jp/region/jp/sarcj/download/jp/JP-MU.html）
駆除ツールをロードしてあれこれ戦ってみましたが上手くいきません？？

TOREND　MICRO社の無料駆除ツール
http://www.trendmicro.co.jp/klez/tool.asp　も試してみたのですが
問題が解決できませんでした。　
そもその当方の知識不足で、ツールの使用方法自体を誤っていることも
十分考えられるのであれこれ奮闘した結果、システムを再セットアップ
しました！

セットアップに際しましては、念のため怪しいフロッピーディスクや
CD-R等からドライバーは一切使用せず、
(1)"C"ドライブのformat
(2)OSインストール
(3)接続ユーティリティーインストール(フレッツADSL)
(4)Norton　AntiVirus2002インストール→Live　Update
(5)メールアカウント設定」
の順に完了しました。

ところが・・・・、直後に感染しているようです。

FormatしてもドライブCにウイルスのファイルなどが残っているもなのでしょうか？

慣れない作業に多大な時間を費やしましたが、知識不足をあざ笑うかのごとく
散々な状態に陥っています。
さすがに、もう嫌になりました！
どうか、初心者にもわかり易い解決方法でご指導願います。
※解りにくい説明ですみません。

回答No.9

pmmaohm · ベストアンサー

こうしてみたらどうなりますか？

>メールアカウントは設定せずに、ADSLの設定のみを設定し接続可能な環境後に、
>「Norton　2002」をインストール後、すぐにUpdateを実行しました。
>
> 最後にメールアカウントを設定し、PCの電源をOFFに・・・・。
>６時間後、電源を入れOutlookを起動し「送受信」を行ったところ、
>添付ファイルの付いたリターンメールが９本届きました。

ということはメールアカウントを設定したあと待ってました！というように
ウィルスつきメールを送信していると考えておられますね。
でも、これではおかしい。再インストール後、どの程度、復旧しておられるのでしょうか。
まさかアドレス帳までも？
ウィルスが存在しないことを確認するまではアドレス帳などは復旧させてはいけませんよ。
おそらくされていないと思いますが。

ではメールアカウントの送信サーバ(SMTP)の設定にはうそを書くとどうなりますか？
OutlookExpressからは送信できなくなります。
それでもウィルスつきメールが来るとしたら？

たぶん、もともとはあなたのPCが感染しているのではなく、
再セットアップ前に送信されたウィルスつきメールが戻ってきて感染してしまっているか、
あなたとまったく関係のない人のPCが感染していて、それに気づかないかの
どちらかではないでしょうか。

できましたら、OutlookExpressの使用をやめたほうがいいです。
しばらくはポストペットなどのテキスト形式でしかメールを見ることのできない
メールソフトで、メールの送受信を行うべきです。
どうしても、、、という場合は、
「メール受信後、プレビューしない」に必ずチェックを入れておくこと。
(きっと、すでにされていると思うのですが)

ちなみに以前にうちにもウィルスがやってきました。
ポストペットで受信したので、まったく感染していませんでした。
(Norton入れていなくても)そのときはウィルスファイルは手動で削除しました。
以後、Norton入れておいたら、すべてのKlezはNortonが感知し、
警告を出してきました。

ポストペットなどをお持ちでなければ、
たとえばgooなどのフリーメールに転送するなどして
gooからメールを見ると、添付ファイルをダブルクリックしない限りは感染しません。

できたら、もう一度再セットアップされて、以上のような処置をされてみては
いかがでしょうか。

お礼

アドバイスありがとうございます。
初めてウイルスに直面し、かなりうろたえましたが、
皆さんのアドバイスのお陰で脱出の光が見えて参りました！

全てのPCをfdiskから再セットアップし、適切な方法でウイルス対策
ソフトを導入することに致しました。

念のため、ブラウザで見れるフリーメールに現在のアドレスを
プロバイダの方で転送させて見ることに致します。
私のアドレスに送信されている方を特定することは到底私の
スキルでは出来そうにないので、その方が自力で脱出されることを
強く念願致します。

有難うございました。

回答No.10

piro0331

＃７です。私に対するお礼も他の方に対するお礼も拝見しました。やはりNewMonさんは感染していないと思います。何でもいいのでとりあえずフリーアドレスを取得して、アウトルックは今までのアドレスは消して新しいアドレスに変えてみて下さい。もし感染していれば、新しいアドレスに怪しいメールがどんどん来るでしょう。感染していなければ来ません。感染していないことがわかれば、元ののアドレスを使おうとかまわないと思います。ウイルスメールが届いてもリターンメールが届いてもNewMonさん以外が感染していてNewMonさんに送ってきたり、NewMonさんになりすましてメール送信しているだけです。（なりすましメールが送信できなかった場合は真の送信者ではなく、なりすまされた人にその旨のメールが行きます）

お礼

再三のアドバイス有難うございます。
これまでの経緯をまとめますと、おそらくメールが原因で同じアカウントを
設定された3台のPCがウイルス　「WORM KLEZ.H」に感染していた模様です。

リカバリー直後にも関わらず、同じ症状がでるのでセットアップの方法自体を
疑いました。ただし、お陰でいろんなことを勉強させて頂き感謝しております。
今回の事件を契機に全てのPCのドライブ・データ(FDD/CD-R/MO/SMメディア)などを再検証するつもりです。

ただし問題は、今なお”いっぱい”のような気がしております。
何方が私にウイルスファイルを送信しているのか？
契約プロバイダ(@nifty)のウイルス警告のサポートメールや、「・・・ウイルス対策協議会」などから送られてくるメールも、
送信者をこれらに偽って送信されているのか？？
どれを信じてよいのか・・・・・？
特に私の場合かなり遠回りをしたようですが、いろんなことが勉強できましたので
とても有意義でした。

まぁ～、私の勉強不足が最大の問題のようですので多少時間はかかりますが、
少しづつ頑張ってみます。
piro0331さんをはじめ、皆さん有難うございました。

回答No.8

noname#6217

＞これと言った 効果がありません。

情報処理振興事業協会：「W32/Klez に関する FAQ」
http://www.ipa.go.jp/security/virus/faq/klez_qa.html
Q3 項参照。

本当の差出人(感染者)を特定して、そのプロバイダへ対策を依頼するというパワーがございますか？
もしおありなら、お役に立てないかもしれませんが、ワタシが以前レスさせて頂きましたご質問を、ご確認して頂ければと思います。
なお okweb からのご案内ですので、ご了承ください。

「WORM_KLEZ.Hで困ってます」
http://www.okweb.ne.jp/kotaeru.php3?q=281235

他にも送信元に関して、同様のご質問＆レスがたくさんあります。

「大量のクレズGの送信元について」
http://www.okweb.ne.jp/kotaeru.php3?q=260940
などなど。
検索すれば、たくさんヒットするかと思います。

KLEZ （クレズ）は、エラーメール（リターンメール）にも見せ掛けますので、メールのヘッダをよくご確認ください。
もちろん Norton　AntiVirus2002 （最新アップデイト）で、ウイルスをチェック（削除）後です。

ご参考です。

参考URL：

http://www.ipa.go.jp/security/topics/newvirus/klez.html

お礼

アドバイスありがとうございます。
＞本当の差出人(感染者)を特定して、そのプロバイダへ対策を依頼するというパワーがございますか？
申し訳ありません。
そもそも知識も経験も少ないＰＣユーザーですが、とりわけこういった類のことは苦手です。
沢山の有識者から有益なアドバイスを数多く頂きましたので、
今後は少しでもこれに報いるように頑張りたいと思っています。

ちなみに、逆に私のメールアドレスを名指しで見知らぬ有識者から何度か
指摘されたことがございます。

メールアカウントは極力避けたいですし、今後の為にも過去ログを熟読してみます。
有難うございました。

回答No.7

noname#6217

次のサイトをご確認ください。

「McAfee 図解：klez.eおよびklez.hとはどんなウイルスなのか？」
http://www.nai.com/japan/virusinfo/klezezukai.asp
"佐藤さん" のような状態になっていませんか？

次のサイトもご確認ください。

情報処理振興事業協会：「W32/Klez に関する FAQ」
http://www.ipa.go.jp/security/virus/faq/klez_qa.html
Q2 項の状態ではありませんか？

3 回目のセットアップ後でも同様の現象なら、ウイルスをばらまいているのは NewMon さんのメールアドレスを知っている人でしょう。
お友達やお知り合いなど、メールアドレスを教えていますよね？
メールアドレスを、ホームページや掲示板に公開してたりもしてませんか？
お心当たりは、ございますか？

参考URL：

http://www.ipa.go.jp/security/topics/newvirus/klez.html

お礼

アドバイスありがとうございます。

ご覧のように、昨晩3回目のセットアップを実行しました。
乏しい知識で、かなり慎重に行いましたがこれと言った
効果がありません。

メールアドレスを公開する時は、フリーメールを使用するように
心がけていますが、確信はございません。
5年以上使用したアドレスなので愛着があるのですが、
メールアカウントを変更すれば一気に解決する可能性が
あるのですね。
気は進まないのですが、最終的のその方法も視野に入れさせて頂きます。
なお、HPはもっておりません。

回答No.6

piro0331

Neither W32.Klezgen@mm nor W32.ElKem.gen
were found on your computer

　シマンテックの駆除ツールのメッセージはこれ↑ではありませんでしたか？他の方もおっしゃるように感染していないのじゃないかと思います。（ただ、非常に身近に感染者がいるとは思います。）本当におっしゃる通りの手順だけでされているなら感染はあり得ないと思います。

お礼

アドバイスありがとうございます。
感染していない別のパソコンでロードした、Micro　Trend社 の駆除ツール
「http://www.trendmicro.co.jp/klez/tool.asp」を実行すすると、
「WORM KLEZ.H in C:\RESTORE \TEMP\ A0009156」などのメッセージがでます。
また、プロバイダ（@nifty)から、
「Found virus WORM_KLEZ.H in file main
The uncleanable file main is moved to Quarantine directory 」なる
メッセージが届きます。

昨晩、PCをCD　Bootで起動し、「fdisk」を実行し、format後、システムを
インストールしました。
メールアカウントは設定せずに、ADSLの設定のみを設定し接続可能な環境後に、
「Norton　2002」をインストール後、すぐにUpdateを実行しました。

最後にメールアカウントを設定し、PCの電源をOFFに・・・・。
６時間後、電源を入れOutlookを起動し「送受信」を行ったところ、
添付ファイルの付いたリターンメールが９本届きました。
リターンメールは、Outlookを起動した状態（オンライン中）に受信することは
ありませんが、PCの電源をOFFにしまして、再度数時間後にPCを起動した時に
数本から、十数本入ってきます。

タイトルを偽って、他の方からランダムに送られてくると考えると
やや無理があり、私のPC（OutlooK)から定期的に任意のアドレスに
添付ファイルを送信していると考えるのが自然な感じがします。（直感）

回答No.5

tef_tef

何を言いたいのか、よくわかりません。
　最新の定義ファイルが導入されているなら、常時スキャンなりメールスキャンでトラップされるはずなんですけど。

　KLEZ系は感染後にアンチウイルスソフトを導入して定義ファイルを更新しても、意味がないかもしれません。アンチウイルスソフトの動作を妨害するバージョンが存在しますから。

>「駆除できない旨のメッセージ(英文)」が出ました。」
　感染後に一番適切な方法は、セーフモードで起動後に駆除ツールを利用することです。
　トレンドマイクロの駆除ツールでうまくいかなかったなら、SymantecのKLEZ駆除ツールはどうでしょう。
http://www.symantec.com/region/jp/sarcj/data/w/w32.klez.removal.tool.html

「感染していますよ！」という通知ですけど。送信先を偽るケースが多いので、アンチウイルスソフトで網を張っているメールサーバがなぜか、感染していない人に「感染しているよ」という内容の警告メールを送ることもあります。

　提案です。
　一台だけ、リカバリー直後にアンチウイルスソフトを導入して、エンジンと定義ファイルを最新にしたパソコンを作ります。これをAと呼びます。
　そして他のパソコンのハードディスクをはずして、そのパソコンにスレーブ接続。これをとりあえずBとしますね。

　Aから起動して、Bのハードディスクを個別にウイルススキャンしてはいかがでしょうか。

お礼

アドバイス有難うございます。
説明が解り難くてすみませんでした。
ご覧の通りパニック状態に陥っているのに加え、
経験不足が相まって、上手くご説明ができません。

提案の件ですが、とりあえず1台のＰＣがこのピンチを
脱出できましたら、他のＰＣや全てのデータを完全スキャンし
今後に備えたいと思います。
ご親切なみなさんのアドバイスを参考に気長に戦い、勉強
したいと思います。

回答No.4

emtwo

＞「fdisk　/mbr 」ですね！
＞多少時間がかかりますが、今晩でも挑戦してみます。
ちなみにこの方法はマスターブートレコードを初期化するコマンドですので
一瞬（エンターキー押した瞬間）で終了します。

お礼

アドバイス有難うございます。
正直言いまして、理解していないコマンドでしたが、
おっしゃるとおりに実行いたしました。
約２秒位で作業が終わりましたが、この時点では
なにか失敗したのかとおもっておりました！
補足説明感謝です。
とても参考になりました。

回答No.3

emtwo

質問内容を見る限り「(1)"C"ドライブのformat」とありますが
PCの起動はフロッピー起動でしょうか？それともCD起動でしょうか？
フロッピー起動だとすると、その起動フロッピーが感染している可能性があります。
また、ウィルスの種類にもよりますが、もう一つの可能性はマスターブートレコードに常駐している可能性もあります。
この場合fdiskやフォーマットしてもウィルスは駆除出来ません。
fdisk　/mbr
を実行してください。
この二つ位しか自分の知識では思いつきません、ウィルスの駆除がんばってください。

お礼

アドバイス有難うございます。
現在戦っているPCは、全てフロッピーディスクでした！
さすがに起動ディスクまでは疑いませんでしたが、冷静に考えますと、
数年前に作成した”ドロドロのディスク”かもしれません。
まさか”起動ディスクまで犯される”なんて考えませんでした！

BIOS BootをCDに変更してもう一度セットアップを試みてみます。
既に３日目のセットアップは覚悟していましたから・・・・・。
「fdisk　/mbr 」ですね！
多少時間がかかりますが、今晩でも挑戦してみます。
ありがとうございました。

回答No.2

pmmaohm

３台もウィルスに感染してしまったなんてたいへんですね。

>(1)"C"ドライブのformat
>(2)OSインストール

"C"ドライブのformat とありますが、じゃ、"D"ドライブがあるのでしょうか。
そちらに感染ファイルがあるということはないですか？

そのパソコンはメーカー製パソコンでしょうか。もしそうであれば、
再セットアップの作業はマニュアル通りにされていますよね？

手順はそれでよろしいかと思います。
Klezの場合は、再インストールが一番手っ取り早いです。

>翌朝Outlook Expressの送受信を行ったところ、件名「Undelivered >Returned to Sender」が2本、、、、
>慌てて再度　Nortonの駆除ツールをロードし、実行しました。
>「WORM_KLEZ.Hを発見しましたが、駆除できない旨のメッセージ(英文)」が出ました。
>24時間後には、Returned　メールが10数本帰ってきます。

メールの宛先が不明で戻って来ているんですね。
それは再インストール後も数日続くと考えていいと思います。
１週間後に戻ってくることもあります。
Nortonを常駐させていて、処置を正しくしていれば心配ありません。

それにしてもNortonの警告が英語なのですね。
駆除できない場合は「駆除できませんでした。検疫しますか」というメッセージが出ます。
検疫はされていないのでしょうか。
検疫されていたら、Norton上でそのウィルスを手動で駆除すれば、感染することはありません。

再セットアップしてもウィルスは残ることはあります。
ウィルスの種類によります。 Klezはなくなると思います。

それと、バックアップしたファイル類をもとに戻すときは、
必ずウィルススキャンをかけてから戻すといいですよ。
もうひといき。がんばってください。

お礼

アドバイスありがとうございます。
3台のPCはネットワーク接続はされていませんが、
同じメールアカウントが設定されています。
全て、自作PCです。Windows　Me（OEM版）
同じアカウントを設定したノートパソコン（Win98SE)だけは無事です？？
（使用頻度の単純に問題と考えています）
再セットアップをしないで放置してある2台のPCは悲惨な状態ですので、
極力、火入れをしないようにしていますが・・・・。

Drive”D"はセットアップ前に取り外しました。
もちろん未だ接続されていません。

Outlook　Expressで「サーバーにコピーを保存する」を
チェックしておりましたので、それが原因ではないかと思います。
あるいは、MOメディアによるデータ交換によるものだと考えています。

フォーマット・スキャンディクをしたにもかかわらず、VGAのドライバーを
インストールすることなく認識したのが疑問で、HDDを疑いました。
今回は、FormatのみでFATシステムは変更していません。
FDISKを実行してやると、完全に削除できるのでしょうか？

駆除ツールを使用すると（Safe　Mode)、Windowsがファイルを使用中のため
ウイルスを削除できません」との旨のメッセージが出てしまい、
まさに”バンザイ”状態です（涙）

＞再セットアップしてもウィルスは残ることはあります。
詳しい理屈はわかりませんが、肌身をもって感じています。

回答No.1

Singollo

> 直後に感染しているようです

どのように確認なさいましたか?
Klezは成りすましを特徴とするウィルスです
送信者があなたのメールアドレスになっているからといって、あなたのPCから送信されたとは限りません
感染していれば、Windowsが起動したときに一緒に起動するようにする設定がレジストリに登録されているはずですので、レジストリエディタ(C:Windows\Regedit.exe)を起動し、[編集]-[検索]で、Wink[ランダムな文字列].exeかWqk.exeがデータ内にある値が存在するか確認してみてください

お礼

アドバイスありがとうございます。
翌朝Outlook Expressの送受信を行ったところ、件名「Undelivered Returned to Sender」が2本、、、、
慌てて再度　Nortonの駆除ツールをロードし、実行しました。
「WORM_KLEZ.Hを発見しましたが、駆除できない旨のメッセージ(英文)」が出ました。
24時間後には、Returned　メールが10数本帰ってきます。
プロバイダ(@nifty)とは対ウイルスサービスを契約しておりますが、
感染の疑いがあるので、対応策を試みる旨のメールも頻繁にきます。

ご指導のごとく、ファイル名を指定して「Wink」と「Wqk.exe」をコピー＆ペーストして検索してみました。
”OK"と表示されましたが・・・・？
表示された全てのフォルダを細かく覗いてみたのですが、・・・・・？
すみません、どう言うことかよく解りませんでした！

実は、このピンチを再セットアップで逃れようとしたのはこれで2回目ですが、前回も同じ状況でした。
前回は、メールアドレスやお気に入りファイルを保存したフロッピーディスクから
データを写してしまったので、これに原因があるのではと考え、
今回は、全てのリムーバブル機器やDrive”D"もシステムから取り外して
実行しました。問題が解決しておりませんので、現在もこれらは接続しておりません。