「TROJ_AGENT.TWQ」に感染したファイルが見つからない

質問

始めまして。
パソコン初心者の拙い言葉での説明になりますが、何卒お力添え頂ければと思います。

ウィルスバスター2008を使用しています。

手動検索で検索しだ際ウィルスに感染したファイルが４個発見されました。
「TROJ_AGENT.TWQ」「TROJ_Generic.A」それぞれ２個づつです。

「TROJ_Generic.A」２個と「TROJ_AGENT.TWQ」１個は「隔離　成功」となったのですが
「TROJ_AGENT.TWQ」の１個が「無視　成功」（ウィルス検出時の処理）になっていました。
手動で削除しなくてはいけないようなので、該当ファイル
「C:\WINDOWS\System32\xmlhlp.dll」
を探したのですが見つかりません。
（全てのファイルを表示する設定にもしてみました）

それからどうすればいいのか分からなくなってしまい。
他社のウィルスチェックで見つからないかと
カスペルスキーオンラインスキャナをかけてみました。
（「マイコンピュータ」の項目で）

そちらでの結果は
「Trojan.Win32.Pakes.cwz 」２個
「Trojan-Downloader.Win32.Agent.kgv」１個

「C:\Program Files\Trend Micro\Virus Buster\Quarantine\2D.tmp 」など
のところにあったので、名前からしてウィルスバスターで隔離された３個のことかと思うのですが。

ウィルスバスターで隔離されていたファイルを削除した後、もう一度カスペルスキーオンラインスキャナをかけたところ
ウィルスは発見されませんでした。

さて、ウィルスバスターで発見された
「TROJ_AGENT.TWQ」に感染した「C:\WINDOWS\System32\xmlhlp.dll」のファイルは一体どこにあるのでしょうか？
トロイの木馬とゆうことなので恐ろしくて、どうにかしたいのですが対処の仕方がわかりません。

皆様のお力添えを何卒よろしくお願いします。

使用OS：WindowsXP

回答No.1

ryu-fiz · ベストアンサー

まず、次の点について再確認を。

１）
>全てのファイルを表示する設定にもしてみました
とのことですが、次のURLで説明されている通りにしていますか？
http://esupport.trendmicro.co.jp/supportjp/viewxml.do?ContentID=jp-29035

『保護されたオペレーティングシステムファイルを表示しない（推奨）』のチェックを外していない場合、システムフォルダ内のファイルは正常に表示されない可能性があります。

２）
http://esupport.trendmicro.co.jp/supportjp/viewxml.do?ContentID=JP-2062350
上記URLの内容に従い、再度ウイルス検索ログの確認を。場合によっては、TROJ_AGENT.TWQとして検出された２件は、実は同一のファイルに対するもので、何らかの理由で一度無視されてから隔離されたという可能性も全くないとは言えないと思われます。

上記の点を再確認した上で、やはり検出されたファイルが依然未処理であると考えられる場合には…次のページで紹介されているNorman Malware Cleanerを、システムをセーフモードで起動後に使ってみてください。

http://m-filestation.seesaa.net/article/34993210.html

それで何も検出されなければ…一先ず感染は現状では存在しない、と考えてもよろしいかと思われます。実際には、悪質なプロセスを隠蔽するルートキットの存在も考えられるのですが、Norman Malware Cleanerには一部のルートキットを検出する機能もありますし、それに次のようなページも見つけましたので。

http://blog.livedoor.jp/drillofkamchatka/archives/51355785.html

要するに、いろいろやっていたらxmlhlp.dllがいつのまにか消滅した、という内容になってます。もしかすると処理出来なかったファイルは、隔離が行えたファイルによって副次的に生成されたものであったために、システム再起動後には再生成されることがなかった、ということなのかも知れません。

そのように考えると…疑うべき余地は正直残されてはいるものの、感染が残っている可能性は相当に低いのではないかと私には思われるのです。それでも不安が残るようでしたら…思い切ってリカバリしちゃったほうが良いのかも知れませんが。

お礼

迅速な回答ありがとうございます。

１）
＞『保護されたオペレーティングシステムファイルを表示しない（推奨）』のチェックを外していない場合、システムフォルダ内のファイルは正常に表示されない可能性があります。

このチェックは外していなかったので試してみましたが、やはり見つかりませんでした。

２）
記URLの内容に従い、再度ウイルス検索ログの確認を。場合によっては、TROJ_AGENT.TWQとして検出された２件は、実は同一のファイルに対するもので、何らかの理由で一度無視されてから隔離されたという可能性も全くないとは言えないと思われます。

「ウイルス検索」ログを確認したところ↓の順番でログが残っていました。
12：27　「無視　成功」……「TROJ_AGENT.TWQ」
13：05　「隔離　成功」……「TROJ_Generic.A」
13：32　「隔離　成功」……「TROJ_AGENT.TWQ」「TROJ_Generic.A」

12：27に無視されたものが13：32に隔離できたのではないと。
たぶんこれでウィルスは大丈夫だとは思うのですが・・

それと「ウィルス感染自動修復」のログに↓のログが残ってました。
12：27　「修復成功」……「TSC_GENCLEAN」２回
14：13　「修復成功」……「TSC_GENCLEAN」６回

「TSC_GENCLEAN」は、ジェネリッククリーンで「不正プログラムのファイルの削除および駆除」も行うとのことなので、これによってファイルが削除されたとかなのでしょうか・・・

このような解釈でよいのでしょうか？
重ねての質問になってしまい申しわけありませんがご教授の程お願いしたします。

回答No.2

ryu-fiz

１番目の回答へのお礼、拝見しました。

ウイルス検出ログにはファイル名も記されていると思われますので、最初に無視されたTROJ_AGENT.TWQと、後から隔離されたTROJ_AGENT.TWQが同一のファイルであればまず問題はないと断定出来そうですが。

まぁ、全文を拝読する限り、検出されたものの処理はきちんと出来ている可能性が高いと思います。カスペルスキーのオンラインスキャンでも何も出なかったということなので、他に自覚出来る症状がパソコンに現れていなければ大丈夫ではないかと思います。

今回はウイルスバスターが上手く防いでくれたようですが…昨今の感染は手強くなっており、ウイルス対策ソフトで防ぐことが困難になっているものも増えています。ウイルス対策ソフトを入れて、怪しいサイトを見ないようにするだけでは防げない感染も少なからずあります。同様な感染を防ぐために次のような点に注意してください。

１）各種アプリケーションソフトのセキュリティ更新を怠らない。

Windows Updateの必要性はこれまでも叫ばれていますが、悪用されるセキュリティ上の問題点＝脆弱性は、WindowsOS上のものから各アプリケーションソフトのものへと移り変わりつつあります。つまり、これからのネットセキュリティにおいては、OSだけでなく、その上で実行される各種アプリケーションソフトを必要に応じて最新のものに更新することも怠ってはいけません。例えば、

・Firefox、Operaなどのブラウザ。
・Sun Java 仮想マシン(JRE)。
・Flash PlayerやShockwave Playerなどのプラグイン。
・Real Player、QuickTimeなどのメディアプレイヤー。
・Adobe Readerや圧縮解凍ソフトなど、それ以外のアプリケーションソフト。

最新の感染では、そうしたアプリケーションソフトの脆弱性が利用されることが殆どです。一般サイトが何らかの理由で改変された結果、そうした脆弱性を利用した仕掛けのある悪意のあるサイトにこっそり転送されて感染が試みられます。

http://internet.watch.impress.co.jp/
http://www.itmedia.co.jp/enterprise/security/

こうしたサイトを出来れば毎日チェックし、速やかな対処を行えば防ぐことの出来る感染も多いのです。

２）標準設定のInternet Explorerはセキュリティ上危険な面が多いことを認識すること。

IEで扱うことの出来るJavaScriptは特殊なもので、各種感染に利用されることがあります。勝手の知らないサイトではIEのセキュリティレベルをあらかじめ上げておく必要があると考えられます。

でも、セキュリティレベルをTPOに合わせて切り替えて使うことはユーザーにとってかなり負担になります。IEに依存しないFirefoxやOperaのようなブラウザを普段遣いにすることで、各種感染のリスクを大幅に下げることが可能です。

http://www.mozilla-japan.org/products/firefox/
http://jp.opera.com/

もちろん、各ブラウザにおいても随時セキュリティ上の問題点が見つかることがあり、その場合には危険が生じます。でも必要な情報を入手した上で随時最新のものを使うように心掛ければ、IEほどには感染のリスクは高くありません。

お礼

たびたびの質問にお答えいただき、本当にありがとうございました。

実は最初に無視されたファイル名と後に隔離されたファイル名は違うのです。

・無視成功「C:\WINDOWS\System32\xmlhlp.dll」
・隔離成功「C:\WINDOWS\System Volume Information\_restore{F4152E4C-6421-41AE-8B28-1093F9BE7B1D}\RP604\A0095424.dll

最初の問い合わせの時にファイル名も明記しておくんでした・・・
気持ちが焦ってしまっていて迂闊でした。申し訳ありません。

その後、新パッチを当ててウィルスバスターとカスペを何度かかけて見ましたが
ウィルスは見つからず、大丈夫なのかなとは思っていますが・・・
このまま不安を抱えたまま使うよりは
リカバリしたほうがいっそスッキリしそうですね・・・。

今後はご紹介いただいた
１）各種アプリケーションソフトのセキュリティ更新
２）標準設定のInternet Explorerはセキュリティ上危険な面が多いことを認識すること
などに気をつけてネット環境を再確認していきたいと思います。

本当にありがとうございました。