暴露系ウイルスについて

質問

暴露系ウイルスに感染すると、SSをアップローダを通して公開・PCがHTTPサーバー化されネット上に公開されるようですが…
以下引用
１．タスクマネージャのプロセスタグからSVCHOST（自ユーザのみ）を終了
２．タスクマネージャのプロセスタグからWINDOWS:SVCHOSTを終了
３．regeditを開きHKEY_CURRENT_USER-Software-Microsft-Windows-RunよりWINDOWS:SVCHOSTを削除
（msconfigのスタートアップからも可能です）

●この作業をしただけでは、ウイルス本体を削除したことにはなってないのでしょうか？スタートアップ登録を削除しただけなのでしょうか？
でも、この作業だけをして、SSがマイピクチャに追加される事も無くなったし、ポート80(?)などもなかったので、今は被害が続いていないと考えてもいいのでしょうか？

●それから、スタートアップ登録を削除しただけの場合、PC起動時にはウイルスは作動しなくなったという事であるから、今こうしている間はウイルスは作動していないと考えても良いのでしょうか？

この類のウイルスなどに詳しい方、色々と教えて下さい。
よろしくお願いします。

回答No.3

wamos101

当方、アングラ突入調査や対策ソフトの性能テスト、リバースエンジニアリングによるMalwareの解析なんかもちょこっとやったりします。

>SSをアップローダを通して公開・PCがHTTPサーバー化されネット上に公開されるようですが

これらは必ず成功するとは限りません。成功しない場合というのは、SSうpの方でいうとPFWで阻止できる可能性がありますし、Webサーバ化の方では、WANに直接続またはルータ使用で当該MalwareがUPnP仕様じゃないと成功しません。

>この作業をしただけでは、ウイルス本体を削除したことにはなってないのでしょうか？スタートアップ登録を削除しただけなのでしょうか？

はい、そうです。

>それから、スタートアップ登録を削除しただけの場合、PC起動時にはウイルスは作動しなくなったという事であるから、今こうしている間はウイルスは作動していないと考えても良いのでしょうか？

はい、そうです。正確に言うと、HKEY_CURRENT_USER・・・・Runですのでログオン時ですね。起動時ですとHKEY_LOCAL_MACHINE・・・Runです。

回答No.2

USO_800

ウィルスに掛かったら駆除云々じゃなくフォーマットリカバリーが常識だぞ、回りにも迷惑が掛かるからな。

まず一番大事なのは個人情報や盗まれてはまずい情報をいつまでもPCに入れて置かないこと。
如何わしいソフトを導入しているのだから自業自得でもある。

補足

感染したのは大分前なんですが、これまでずっと何もしないで過ごしてしまいました。
だから今更ですが、再セットアップしようと思ってます。
如何わしいソフトも何も入れていなかったのにもかかわらず、2chにあったファイルをダウンロードで感染してしまいました。完全に自業自得です…。

その日のうちに一応スタートアップ登録は削除したのですが、今は被害が広まっていないことを祈るばかりです。
それと、スタートアップ登録削除すれば、ウイルス本体がPC内に残っていても、普通に使っている分には影響は無いんでしょうか？
それとも、スタートアップ登録を削除しただけで、ウイルス本体が削除されていないと、今でも被害は続いているのでしょうか？(目に見える症状はなくなっても)

ところで、1つのパソコンを複数のユーザーで使用している場合、ウイルスに感染したのは、その時実行していたユーザーだけであって、その他のユーザーには無害なんでしょうか？

回答No.1

Evreux

暴露系ウィルスといっても種類は色々あって、それぞれ動作が違います。
あなたのPCをHTTPサーバー化するだけのウィルスであれば、実際に他のマシンからアクセスできるかどうかで、症状が治まったかどうかを判断できますが、他にマシンにSSを直接送信する動作をしているかもしれません。

また、仰る通り、あなたの行った行為はウィルスにより改変された部分（もしくは一部分）を直しただけであり、ウィルスをどうこうしたのではありません。しばらくするとまた改変されてしまうかもしれません。

ウィルス対策ソフトで駆除できる場合もありますが、駆除できたのか、駆除できたように見えるだけなのかの判断は非常に複雑です。
確実なのはOSの再インストールのみとなります。

補足

>SSを直接送信する動作

アップローダーを介さないで、直接特定の人のPCにSSを送ってしまう動作もあるという事ですか？
その場合って、何か自分で気付くことのできる症状って現れますか？(アップローダーを介する場合は、マイピクチャに自分のSSが追加されるが…)
それと、感染した日に書かれた、「アップローダー側が対処したから被害者は増えずに済んだ」みたいなニュース記事を読んだのですが、それって、スタートアップ登録削除・ウイルス本体削除してないに関わらず、アップローダーにSSが送られなくなったという意味なのでしょうか？

>しばらくするとまた改変されてしまうかもしれません。

今のところは、スタートアップ登録は削除したので、ウイルスは動いていないと考えても良いのでしょうか？
今、また改変される間に再セットアップしようと思っていますが…。