ウィルス感染後、タスクマネージャが開かない

質問

タスクマネージャがグレーアウトして開きません。
Generic QHosts.c (トロイの木馬)に感染してしまった後から症状があり、
タスクマネージャ以外にもコマンドプロンプト、レジストリエディタも
開きません。
また、管理ツールのローカルセキュリティポリシーなど、ほぼ全てが
開かなくなってしまいました。
さらに、マカフィーのウィルス駆除ソフトをインストールしてあるのですが、
「オンアクセススキャンを有効にする」にしても数秒後に自動的に無効に
切り替わってしまいます。
ウィルス自体は駆除出来たようなのですが、上記のようにタスクマネージャ他が
開かない状態が復旧出来ません。
対応策などご教示願えませんでしょうか。

回答No.5

localica · ベストアンサー

こんにちは

>現在検索中ではありますが、強制的にsymlsserv.exeの実行を停止、
>また強制削除が出来る手順あるいはソフトはありませんでしょうか。

ネットで検索したところマカフィーは未対応のようです。
http://virscan.org/report/6ca8c59a75751cf2a3a0fbdd55004a09.html

対応できるものがあれば適用すると良いかも知れません。
#保証はできませんが

マカフィーへexeファイルを検体として提出すればパターンファイルに適用されるので一番お勧めですがマカフィーが動作しないと難しい部分もあります。
http://www.mcafee.com/japan/security/contactavert.asp

レジストリが編集できるのなら「HKLM\Software\Microsoft\Windows\CurrentVersion\Run」の配下にあるsymlsserv.exeだけを削除してください。
他のプログラムを削除するとPC自体が起動しなくなる可能性があるので無理には薦めません。

CDブート、USBブートなど別メディアOSを起動すれば該当プログラムを削除できる可能性があります。
取り敢えず上記の中に対応可能な方法はありますか？

お礼

ご教示頂き大変ありがとうございました。
先ほど、「ForceRename+Delete」というファイルを強制削除
できるソフトを使い、「symlsserv.exe」を無事に削除致しました。
これにより、レジストリを勝手に書き換えたりするような行為は
無くなり、また、これまでに書き換えられていたレジストリを
手動で元に戻すことで設定も全て元通りに完全復旧致しました。
PCを再インストールせずに済み、本当に感謝しております。
ご丁寧な対応をして頂き、ありがとうございました。
これからはもっとウィルスなどに対する意識を強く持ち、
2度とこのような事態にならぬよう気を付けたいと思います。

回答No.4

localica

こんにちは

>現在海外出張中で、相談出来る相手もおらずインストールCDも
>ないので困っておりました。

そのような状況でしたら最新のパターンファイルをダウンロードしてからPCをセーフモードで立ち上げて下さい。
セーフモードでパターンファイルを最新にしてからウイルススキャンやスパイウエアなどのスキャンを実行してください。
恐らくいくつかのマルウエアが検出できるはずですし4割くらいの可能性で復旧できるかもしれません。

復旧できなければ検出したリストを開示してみてください。
主に必要なのはマルウエア名、検出ファイル名、研修したファイルのフルパスです。
#OSはWidnowsを前提としていますが、種類も明示してください。

補足

OSはwindowsXP PRO SP2です。
残念ながらセーフモードで立ち上げる事も出来なくなっています。
セーフモードで立ち上げようとすると途中で一瞬ブルー画面になり
再起動が掛かってしまいます。

また、Regmon v7.04 というレジストリモニタソフトを使いまして、
怪しい動作を実行し続けているexeファイルを見つけました。
C:\WINDOWS\system32\symlsserv.exe
隠しファイルになっていまして、さらに削除も出来ない。
「symlsservを削除できません。ほかの人またはプログラムに
よって使用されています。ファイルを使用している可能性がある
プログラムをすべて閉じてから、やり直してください。」
とのメッセージ。

実行している内容は下記の通りで、延々とこれを繰り返して
います。
また、DTaskManagerというタスクマネージャソフトを使い、
動作中のプロセスなど確認しましたが、symlsserv.exeと
いう実行プログラムは見当たらず、停止することも出来ませんでした。

現在検索中ではありますが、強制的にsymlsserv.exeの実行を停止、
また強制削除が出来る手順あるいはソフトはありませんでしょうか。

symlsserv.exe:1684 CreateKey HKLM\Software\Microsoft\Windows\CurrentVersion\Run
symlsserv.exe:1684 SetValue HKLM\Software\Microsoft\Windows\CurrentVersion\Run\Symantec Security Services
symlsserv.exe:1684 CloseKey HKLM\Software\Microsoft\Windows\CurrentVersion\Run
symlsserv.exe:1684 CreateKey HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
symlsserv.exe:1684 SetValue HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Disabletaskmgr
symlsserv.exe:1684 CloseKey HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
symlsserv.exe:1684 CreateKey HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore
symlsserv.exe:1684 SetValue HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore\DisableSR
symlsserv.exe:1684 CloseKey HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore
symlsserv.exe:1684 CreateKey HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore
symlsserv.exe:1684 SetValue HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore\DisableConfig
symlsserv.exe:1684 CloseKey HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore
symlsserv.exe:1684 CreateKey HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
symlsserv.exe:1684 SetValue HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Disableregistrytools
symlsserv.exe:1684 CloseKey HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
symlsserv.exe:1684 CreateKey HKCU\SOFTWARE\Policies\Microsoft\Windows\System
symlsserv.exe:1684 SetValue HKCU\SOFTWARE\Policies\Microsoft\Windows\System\DisableCMD
symlsserv.exe:1684 CloseKey HKCU\SOFTWARE\Policies\Microsoft\Windows\System
symlsserv.exe:1684 CreateKey HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer
symlsserv.exe:1684 SetValue HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions
symlsserv.exe:1684 CloseKey HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer
symlsserv.exe:1684 CreateKey HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
symlsserv.exe:1684 SetValue HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRun
symlsserv.exe:1684 CloseKey HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

回答No.3

kona4Q

あなたのそのPCは、ネット接続は可能ですね。
下記のソフトは、トロイの木馬を駆除出来る定評のソフトです（無料）ので、インストールして試して下さい。
これでも正常に戻らない時は、やはり、リカバリでしょうか。。

参考URL：

http://www.pctools.com/jp/spyware-doctor-antivirus/

お礼

ありがとうございます。
インストールしてみましたが、実行しようとしても
ウィンドウが一瞬開いて勝手に閉じてしまいます。
ちなみにCCleanerもインストールしてあるのですが、
同じようにウィンドウが一瞬開いて勝手に閉じてしまいます。

回答No.2

localica

#1です。

OSを再インストールせずに復旧させる方法はいくつかあります。
しかし、そのためにはPCの情報を正確に把握しなければなりません。
管理ツールやウイルス駆除ソフトが正しく動作しないのには正しく動作しない理由が存在するからです。

そして正しく動作しない理由は現在PCを確認することのできる質問者様しかできません。
従って情報を示して下さればもう少し突っ込んだ回答ができるかもしれませんが、そうでなけば近くの詳しい方に相談するか再インストールするのがお勧めです。
#ここでいう情報とはPCのスペックのことではありません。

お礼

恐れ入ります。
具体的にはどういった情報でしょうか。
タスクマネージャに出てくるようなプロセスとかでしょうか。
現在海外出張中で、相談出来る相手もおらずインストールCDも
ないので困っておりました。

補足

激動たる俺RegEdit改　というレジストリエディタをインストール
してみた所、レジストリの表示が出来ましたので、
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
にある、DisabletaskmgrやDisableregistrytoolsを削除しましたが、
削除して間もなくそれらが勝手に復活してしまいます。

HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\System
にある、DisableCMDも上記同様に削除しても勝手に復活してしまい、
状態が変わりません。

回答No.1

localica

質問者様からの察するとウイルス駆除ができていないか何某かのマルウエアに感染している可能性が高いと思われます。

身近な詳しい方に相談するの一番です。
もしここで私がアドバイスするなら必要なデータをバックアップしてからOSの再インストールをお勧めします。

お礼

ご回答ありがとうございます。
OS再インストールしか道はないのでしょうか。。。
何とかOS再インストールせずとも復旧出来る道は
残されていないのでしょうか。。。