JS/Downloader.Agent virusが駆除できない

質問

http://okwave.jp/qa4077115.html

上記URLの質問でも議論されていますが、hk. www404 .cnというドメインで始まるads.jsが必ずHTMLソースの一番上に入っており、表示が崩れたりSWF_DLOADER.YVNのアラートが表示されます。
パターンファイルは最新にして全スキャンも何度も実施しているのですが、一向に復旧する気配がありません。
ウイルスバスター2008で除去を試みていますが、何か別の方法で除去する方法はないでしょうか？

回答No.7

FMVNB50GJ

>>SWF_DLOADER.YVNのアラート
検出場所の詳細はわからないんですか。

インターネット一時ファイルをすべて削除、履歴も削除、それで目当てのサイトにアクセスしてもまだ検出・アラート表示になることですか。

ダウンローダーということで、別の何かを仕込む目的のはずなのでバスター以外のオンラインスキャンでほかの感染がないかを確認するとか。
http://www.f-secure.co.jp/v-descs/disinfestation.html

どっちにしてもIEのスクリプト制御一律のものでは根本的に問題だと思います。
fire fox + No scriptでサイトごとにスクリプトを調整しては。
https://addons.mozilla.org/ja/firefox/addon/722

回答No.6

_himajin_

ARP Spoofingなら同一ネットワーク内に感染しているマシンが居るはずです。
管理者に連絡して対応してもらうまで、hostsファイルに書いておくのが無難そうです。

あと、横やりになってしまいますが誤解させてしまうのもアレなので訂正だけしておきます。
#4で出されているMS06-069 (Adobe Flash Playerの脆弱性) の件ですが、記事を書かれた方が誤解しているようです。
詳しくは以下のページに書かれていますが、脆弱性のあるファイルが復活するのではなく、MS06-069パッチを当てずにXP3だけを当てた環境でMS06-069が表示されるようになる、と言うことのようです。
http://blogs.technet.com/jpsecurity/archive/2008/06/04/3065692.aspx

回答No.5

ryu-fiz

…他の方々の見解とは相反することになりますが、

>hk. www. 404.cnというドメインで始まるads.jsが必ずHTMLソースの一番上に入っており、表示が崩れたりSWF_DLOADER.YVNのアラートが表示されます。

表示が崩れる原因となり、またSWF_DLOADER.YVN検出の原因となるコードは、ウェブサイトが改変されたことによって、あるいは、

http://itpro.nikkeibp.co.jp/article/COLUMN/20080125/292050/

にあるような『ARPスプーフィング』という手法によってウェブサイトの情報がブラウザ上に読み込まれるまでの通信過程で混入されることによってブラウザに到達するものです。従って、

>パターンファイルは最新にして全スキャンも何度も実施しているのですが、一向に復旧する気配がありません。
>ウイルスバスター2008で除去を試みていますが

直接原因となるものは質問者さんのPC上に存在するのではなく、サイト上、もしくはサイトから質問者さんのPCまでの通信過程のどこかに存在するのですから、いくらPC上で除去を試みても根本から除去出来るものではありません。該当するサイトを閲覧しようとすれば、例外なく悪質なコードが読み込まれますし、そのコードによって別のURLに転送され、そこにSWF_DLOADER.YVNが置かれていればブラウザに読み込まれてウイルスバスターによって検出されることは致し方のないことなのです。

また、SWF_DLOADER.YVNはそのswfファイルがブラウザに読み込まれれば検出されます。ご利用のPCにインストールされたFlash Playerに脆弱性があろうとなかろうと、です。Flash Playerを最新のものにすればSWF_DLOADER.YVNの検出がなくなるということではありませんので注意してください。

（くどいようですが…ウイルスバスターでリアルタイム検出出来ているのなら現状問題ないですし、SWF_DLOADER.YVNが実行されようとしてもFlash Playerが最新なら発症には至らない可能性が大です。モノが検出されることと発症することとは別であることに注意してください）

現状としては、次のように考えるべきです。

１）一応、ウイルスバスターがSWF_DLOADER.YVNをリアルタイムで検出し、その動きを抑制出来ている限りは感染は水際で防がれています。

２）万一、SWF_DLOADER.YVNが同類の別のトロイの木馬に取って代わったとしても、それが同じようにFlash Playerの脆弱性を狙ったものであるなら、最新の9.0.124.0に更新済みであれば深刻な感染に至る可能性は極めて少ないということは自覚しておいてください。

http://www.jpcert.or.jp/at/2008/at080009.txt

３）どうしてもhk～のドメインのads.jsがブラウザに読み込まれるのがイヤならば、ads.jsが読み込まれないようにする何らかの工夫を施すよりありません。例えば、次のような方法があります。

・ウイルスバスター2008をご利用なら、次のURLを参考に、URLフィルタを有効にした上でhk～のドメインを『禁止するWebサイト』へ追加すればads.jsの読み込みを抑制出来ると思います。

http://esupport.trendmicro.co.jp/supportjp/viewxml.do?ContentID=JP-2062351

・HOSTSファイルに次の１行を追加すれば、hk～へのアクセスを遮断出来ます。

127.0.0.1 hk～

HOSTSファイルはWindows XPの場合、

C:\WINDOWS\system32\drivers\etc

に存在します。

http://www.higaitaisaku.com/zenhyoji.html
に従って、全てのファイルが表示されるようにしてからエクスプローラなどで探し、メモ帳を利用して開いて編集してください。

なお、HOSTSファイルを上手く利用すれば、悪質なサイトドメインへの通信を遮断することが可能です。詳しくは、

http://bdc.s15.xrea.com/

フォーラムの『アンチスパイウェア全般』カテゴリ内『HOSTSファイルで広告カット&悪質サイト遮断』スレッドを参考にしてください。

繰り返して申し上げます。ウイルス対策上で幾ら駆除を試みても、今回の現象の発生を止めることは出来ません。例えリカバリしても状況の改善にはならず、それは全くの無駄になるでしょう。

上記に説明したような手法を用いて不正なjsファイルの読み込みを抑制する、あるいはFlash Playerを最新のものにしたり、IEに依存しないFirefoxなどのブラウザの利用を行うなどの方法で感染のリスクを下げるといった方策しか、現状ユーザーサイドでとれる対応策はないと思われます。

回答No.4

wamos101

#3です。

一応ですが貼っておきます。

http://www.itmedia.co.jp/enterprise/articles/0806/03/news023.html

回答No.3

wamos101

当方、アングラ突入調査や対策ソフトの性能テスト、Malwareの解析なんかもちょこっとやったりします。

トレンド・マイクロのページで示されてる対処手順で駄目ならリカバリかけたほうがいいと思います。

で、バスターはWeb経由のExploitによるドライブ・バイ・ダウンロードに弱い傾向が見られますので、この点ではBrowser Defenderを備えるノートンやWebアンチウイルスを備えるカスペルスキーの方が良いですよ。

ちなみに、バックアップを取っていないといざというときに困りますので取るようにして下さい。当方はAcronis True Imageというソフトを使って定期的に取るようにしてます。

回答No.2

noname#63050

ざっと検索してみると、下記ＵＲＬの手動削除手順が一番効果がありそうですが。
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=SWF%5FDLOADER%2EYVN&VSect=Sn

回答No.1

hiroyosi44

ESET Smart Securityと言うのを使ってみて下さい
体験版で正規品と変わらず使用できます。
ウイルスが駆除できない場合は，サポートが親切に相談に乗ってくれます。
http://canon-its.jp/product/ess/trial.html
御使用の際には，ウイルスバスター2008は止めといてね。