たすけてください。

質問

ＢＵＦＦＡＬＯ社製のＨＤＣＥＵ２シリーズにウイルスが入ってしまったようです。
感染経路は分かりません。

ウイルス名：Worm.Kido.ih.118784
感染ファイル名：jwgkvsq.vmx

読み取り専用、隠しファイルになっていて消すこともできません。
キングソフトでスキャンしてもどうにもなりませんでした。

早急に対処方法を教えてください＞＜

回答No.9

FMVNB50GJ

http://www.symantec.com/ja/jp/business/security_response/writeup.jsp?docid=2009-011316-0247-99
同じなら可能かもしれないが。

でも自分で何かする必要があるような感じもするが。

ノートン買ってきて、キングソフトを削除して、ノートンでやったほうが良いか？ノートンのサイトにもつながらないような状態なのかよくわからんが。

回答No.8

ryu-fiz

>ＢＵＦＦＡＬＯ社製のＨＤＣＥＵ２シリーズにウイルスが入ってしまったようです。
>感染経路は分かりません。

>ウイルス名：Worm.Kido.ih.118784
>感染ファイル名：jwgkvsq.vmx

どういう経緯で見つかったんだろうな、と思ったり。
キングソフトでは何も見つからない、とか言っておられるが、"Worm.Kido.ih.118784"という検出名は明らかにキングソフトのソレ。

000024970_jwgkvsq.vmx MD5:2c8442c4a9328a5cf26650fa6fe743ef - VirSCAN.org 89% のアンチウイルスが(33/37) マルウェアと判定しました
http://virscan.org/report/ebe286a19ae69b1903d7161541ec8d5a.html

外付けHDDをPCに繋いだところ、キングソフトの常駐保護によって"jwgkvsq.vmx"が検出されたのと違いますか？
だとすると一応キングソフトが見つけてないということではないので…キングソフトだけを責めてもどうしようもないかと。

>読み取り専用、隠しファイルになっていて消すこともできません。

通常Windowsの設定を変更して、すべてのファイルとフォルダを表示出来るようにすれば大概のファイルはエクスプローラなどでも表示出来るようになり、各アプリケーションソフトでも扱えるようになるんですが…最近の一部の感染では、そうした設定を行っても表示出来ない困ったファイルもあるようです。

で…拡張子vmxのファイルは、仮想マシンソフトVMWareで仮想マシンの構成を記述するために使われるもののようです。

仮想マシン構成.vmx - VMware まとめ Wiki
http://wiki.mm2d.net/vmware/index.php?%B2%BE%C1%DB%A5%DE%A5%B7%A5%F3%B9%BD%C0%AE.vmx

取り敢えずまず、Grape File Search上からjwgkvsq.vmxを検索して、一覧からこのファイルを削除出来ないかどうか試してみてください。

窓の杜 - 【NEWS】シンプルで軽快なファイル検索ソフト「Grape File Search」
http://www.forest.impress.co.jp/article/2008/04/17/grapefs.html

単純な削除が出来ない場合には、次のURLを参考に削除を試みる。

墨猫日記: ※サイト改竄とkernaeghdrv.dllの件
http://sumineko.seesaa.net/article/104471541.html

隠し属性などをプロパティから解除後、セーフモードで管理者権限から再起動後に削除を試みると上手く行く場合があると思われます。

運良く削除に成功したなら、カスペルスキーもしくはF-SecureのオンラインスキャンでPC全体をスキャン。Tracking Cookie以外が検出されず、PCの動作が異常に重いなどの目立った症状もなければ、一応は安心して良いかも知れません。

ですが今回の感染、Conficker/Downad関連の悪質かつ深刻な感染である可能性が高いです。

http://jvn.jp/tr/JVNTR-2009-06/index.html

悪質なプロセスが隠蔽されている可能性もあるので、安全性を最大限考慮するならやはりリカバリが推奨ですね。

>すみません、リカバリとはなんでしょう？
>もっと詳しく教えていただいてもよろしいでしょうか？（仕方を）

要するに、パソコンを工場出荷時の状態に戻す、初期化するということです。悪質な感染を含むパソコン上の深刻なトラブルの最終的な解消法です。

リカバリのやり方については機種によって異なります。取扱説明書に明記されている筈なので熟読ください。取説が読めないとかいうことなら、メーカーのサポートサイトに行けば必ず情報があります。メーカーと型番を正しく把握して調べてください。私らはエスパーじゃないので、ちゃんと情報がないとそうしたことは分かりません。ご自分で頑張ってね。

で、メーカーのやり方に沿うだけでは必ずしも安全なリカバリが出来ません。Windowsで安全にリカバリを進めるためには、次のURLを参考にしてください。
http://iwata.way-nifty.com/home/2004/10/1017.html

XP SP3やVista、それ以降のOS搭載機に関しては、基本的にXP SP2と同様と考えてください。

で、Windows Updateやウイルス対策ソフトの導入までをきちんと済ませた上ではじめて外付けハードディスクを接続する訳ですが…接続即再感染という最悪のシナリオを避けるために、事前にオートラン設定を無効にしておいてください。

Windows の自動実行機能を無効にする方法
http://support.microsoft.com/kb/967715/

該当するセキュリティ更新プログラムをダウンロード、インストール後に、すべての自動実行機能を無効にする方法を行なってください。

その後でGrape File Searchを利用することによって、ファイルのプロパティを変更したり、削除したりすることは十分に可能だと思います。

なお、昨今の感染は手強くなっており、ウイルス対策ソフトで防ぐことが困難になっているものも増えています。ウイルス対策ソフトを入れて、怪しいサイトを見ないようにするだけでは防げない感染も少なからずあります。

次のような点に注意すべきだと考えます。対処出来ていない点がないかどうかをチェックしてみてください。（意味が分からない用語は、e-Wordsで調べるなどして理解に努めてください。）
http://e-words.jp/

１）各種アプリケーションソフトのセキュリティ更新を怠らない。

Windows Updateの必要性はこれまでも叫ばれて来ましたが、悪用されるセキュリティ上の問題点＝脆弱性は、WindowsOS上のものから各アプリケーションソフトのものへと主流が移り変わりつつあります。つまり、これからのネットセキュリティにおいては、OSだけでなく、その上で実行される各種アプリケーションソフトを必要に応じて最新のものに更新することも怠ってはいけません。例えば、

・Firefox、Operaなどのブラウザ。
・Sun Java 仮想マシン(JRE)。
・Flash PlayerやShockwave Playerなどのプラグイン。
・Real Player、QuickTimeなどのメディアプレイヤー。
・Adobe Readerや圧縮解凍ソフトなど、それ以外のアプリケーションソフト。

最新の感染では、そうしたアプリケーションソフトの脆弱性が利用されることが殆どです。一般サイトが何らかの理由で改変された結果、そうした脆弱性を利用した仕掛けの施された悪意のあるサイトにこっそり転送されて感染が試みられます。

http://internet.watch.impress.co.jp/
http://www.itmedia.co.jp/enterprise/security/

こうしたサイトを出来れば毎日チェックし、速やかな対処を行えば防ぐことの出来る感染も多いのです。

２）標準設定のInternet Explorerはセキュリティ上危険な面が多いことを認識すること。

IEで扱うことの出来るJavaScriptはJScriptといい、Windowsを直接操作出来るように拡張されており、各種感染に悪用されることがあります。勝手の知らないサイトではIEのセキュリティレベルをあらかじめ上げておく必要があると考えられます。

でも、セキュリティレベルをTPOに合わせて切り替えて使うことはユーザーにとってかなり負担になります。IEに依存しないFirefoxやOperaのようなブラウザを普段遣いにすることで、各種感染のリスクを大幅に下げることが可能です。

http://www.mozilla-japan.org/products/firefox/
http://jp.opera.com/

もちろん、各ブラウザにおいても随時セキュリティ上の問題点が見つかることがあり、その場合には危険が生じます。でも必要な情報を入手した上で随時最新のものを使うように心掛ければ、IEほどには感染のリスクは高くありません。

XPまでのWindowsで、もしどうしてもIEをあらゆる局面で常用したいというのであれば、次のURLで紹介されているReducedPermissionsやRUNASAのようなソフトの利用を検討してください。

http://www.oshiete-kun.net/archives/2006/05/iereducedpermissions.html
http://www.oshiete-kun.net/archives/2007/04/vistauacxprunasa.html

制限つきユーザー上でIEを利用することが出来れば、JavaScriptやActiveXの実行に関してサイト閲覧上の効果を損なわずに利用が可能になる一方、システムに重大な変更をもたらすような危険な動作は抑制されます。ただし、ActiveXのインストールが必要な場合など、必要に応じて管理者権限での起動を使い分ける必要はあります。また、権限の昇格を伴う脆弱性がIEやプラグインソフトなどに存在している場合には、ReducedPermissionsやRUNASAを使っていても安全とは言えないケースも出て来ます。くれぐれも過信しないようにしてください。

ReducedPermissionsの入手は、次の各URLから行うことが出来ます。
http://download.cnet.com/Reduced-Permissions/3000-2239_4-10572884.html
http://www.softpedia.com/get/System/System-Miscellaneous/Reduced-Permissions.shtml

なお、Windows Vista以降のIEでは、保護モードにおいて感染を防ぐための配慮が行われていますので、標準設定のままでもXP以前のものよりかなり安全です。無理に他のブラウザを常用する必要はないかも知れません。ただし、Flash Playerなど他のアプリケーションソフトや、WindowsOSのセキュリティ上の問題点＝脆弱性の影響には十分注意しなくてはいけません。その辺は１）で説明した通りです。

３）ファイアウォールを有効にする。

出来ることなら、ファイアウォール機能の付いたブロードバンドルーターを介してネットに接続することが望ましいです。それが出来ない場合には、パーソナルファイアウォール機能を含むウイルス対策ソフトを利用しましょう。

最低でもWindowsファイアウォールを有効にしておけばそれなりの効果は期待出来ますが、例えば各種共有機能が有効になっているとそれ関係のポートが開かれたままの状態になり、ネットワークウイルス感染や不正侵入を防げない可能性もあります。より確実に不正な通信をブロックするためには、やはりブロードバンドルーターかパーソナルファイアウォールを別途導入するのが望ましいです。

４）怪しいリンクをクリックしたり、怪しいファイルをダウンロードしたりしない。

興味深いネタへのリンクと称して怪しいリンクを踏ませたり、動画再生に必要なコーデックなどと偽って怪しいファイルをダウンロード、実行させようとする手口は後を絶ちません。十分な注意が必要です。

このような騙しに遭わないためにも、先述したようなニュースサイトで最新の情報を常時チェックされるのが望ましいです。

検出されたファイルをきちんと処理出来ないうちは、ウイルス対策ソフトをいくらキングソフト以外に変更しても無駄です。ウイルス対策ソフトには本格的な感染が行なわれる前の不正なプログラムなどを検出、実行を抑制する機能はあっても、後手に回った感染を事後処理する能力は一般にはそう高くないものです。

なので、事後対応が難しいのならリカバリして再出発が得策です。その上で、再感染を防ぐべくきちんとした対策を行なっていくことが重要。やるべきことさえやっていれば、キングソフトを無理に他のソフトに代える必要は全くありません。

回答No.7

_fanfan

ハードディスクのルートに、autrun.infという隠しファイルとRecyclerという隠しフォルダがあると思います。
　隠しファイルを表示する設定にして、これらのファイルを削除すれば、このハードディスクに関しては、他の（感染していない）PCに接続しても大丈夫だと思います。（あくまでも私の経験によるもので安全性を保証するわけではありませんが）

　すでに感染しているＰＣに関しては、C:\Windows\System32の中に、160kB程度の、■■■■.dllというファイルがあると思うので、これをウィルスソフトを使って駆除する必要があります（このファイル名は感染PCごとにランダムに異なります）。その際、以下のレジストリ・キーを削除しておく必要があるかもしれません。
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\■■■■]
（「アクセス許可」でユーザを追加してからでないと削除できないと思います）

　その他、Windowsファイアウォールの「例外」の中に、同じようにランダムな名前のプログラムが勝手に追加されているはずなので、これを削除する必要があります。

　これ以外にも問題があるかもしれないので、OSをクリーンインストールした方が安全です。また、Windowsアップデートでセキュリティの更新をしておかないとすぐにまた感染すると思います。

回答No.6

redirect

マルウェアを集めてテストなどをしている者です。

はっきり言って、LiveCDなどで必要なデータ救い出してからリカバリかけたほうが早いです。

回答No.5

cholera

No.3です。

このウィルスは、感染した時点で外付HDDなどのリムーバブルディスクはもとより、
ＰＣ内の複数フォルダにコピーを作成します。
つまり、外付ＨＤＤに見つかったからといって、それを外しただけでは何の意味もありません。
（既にＰＣ内にウィルスが蔓延しているのです。ＰＣがウィルスに感染するとは、そういうことです。）

ひとまず、以下の部分だけ実施してください。

削除手順
1. 次のレジストリキーを削除します：
[HKLM\SYSTEM\CurrentControlSet\Services\netsvcs]
2. 次のレジストリキー値から「%System%\<%rnd%>.dll」を削除します：
[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost]
"netsvcs"
3. コンピュータを再起動します
4. オリジナルのワームファイルを削除します。ファイルの場所は、プログラムがコンピュータへ侵入した方法によって異なります
5. ワームのコピーを削除します：
%System%\<rnd>dir.dll
%Program Files%\Internet Explorer\<rnd>.dll
%Program Files%\Movie Maker\<rnd>.dll
%All Users Application Data%\<rnd>.dll
%Temp%\<rnd>.dll
%System%\<rnd>tmp
%Temp%\<rnd>.tmp
<rnd> - ランダムな文字列
6. すべてのリムーバブルメディアから、次のファイルを削除します：
<X>:\autorun.inf
<X>:\RECYCLER\S-<%d%>-<%d%>-%d%>-%d%>-%d%>-%d%>-%d%>\<rnd>.vmx,
7. オペレーティングシステムの更新をダウンロードしてインストールします：
http://www.microsoft.com/japan/technet/security/Bulletin/MS08-067.mspx

これも難しいようでしたら、まず別のアンチウィルスソフトを導入する事が必要と思います。
（キング・・・は、数あるフリーの中でも、検知率の低さ、また誤検知の多さから、
ぶっちゃけ評価がかなり低いです。）
個人的には、以下がバランスが良く、おすすめとしておきます。（自分も使ってます）
Avira AntiVir Personal （AntiVir Premium 無料版）

参考URL：

http://www.free-av.com/

回答No.4

heyboy

真面目な話
深刻であれば
シマンテックかトレンドの
有料ワクチンを買うしかないですね
それと自分のパソコンのウイルスチェックは
ちゃんとされてますか？
場合によってはハードディスクのデーターを
移してフォーマットしないといけないかもしれません。

回答No.3

cholera

結構きっついウィルスです。
仕事のファイル・情報も保存しているＰＣとのことですので、
すぐにネットワークから切断し、スタンドアロンの状態にしてください。
（情報漏えいの発生する可能性が高いです。）
以降の情報は、ウィルス感染の無いことが確認された別のＰＣや、
インターネットカフェなどから参照の上、確実に対処してください。

駆除の方法については、下記の参考ＵＲＬを参照して、
間違え・漏れの無いように行ってください。

アンチウィルスのソフトウェアは、フリーのものでも十分な効果、機能を持つものが
多くありますので、すぐに何かしらを導入する必要があります。

→恐らく、仕事先のネットワークにも感染が広がっているのでは
　ないでしょうか？
　定期的なMicrosoftUpdateの実施、アンチウィルスソフトウェアの導入はされていますか？？

参考URL：

http://www.viruslistjp.com/viruses/encyclopedia/?virusid=21782790

補足

すぐにネットワークから切断し、スタンドアロンの状態にしてください。
→外付けＨＤＤですので一応はずしてあります。

駆除の方法については、下記の参考ＵＲＬを参照して、
間違え・漏れの無いように行ってください。
→すみません、分かりにくかったです＞＜

定期的なMicrosoftUpdateの実施、アンチウィルスソフトウェアの導入はされていますか？？
→アップデートはしています。ソフトはキングソフト以外には入れてい　ません。これでは不十分でしょうか？

回答No.2

noname#87850

リカバリしましょう。

補足

すみません、リカバリとはなんでしょう？
もっと詳しく教えていただいてもよろしいでしょうか？（仕方を）

回答No.1

sotom

フォーマットしましょう。

補足

フォーマットしますと今後の仕事に支障がでます。
大事なデータが大量なので。
せっかくなのですが、その方法はできません。