LAVA でウィルス感染

質問

VISTAです。
いきなり、スタートアップもほかのアプリケーションも立ち上がらなくなりました。
でてくるのは、デスクトップに、危険なので、すぐこれこれを購入したほうがいい
という内容のものです。
CHROMEなどをたちあげようとすると、Can't be executed.
アンチウィルスをたちあげようとすると、Can't be executed.
でその後はおきまりの、「購入したほうがいい」のポップアップです。

LAVAのAD_AWAREというものが怪しいかなとおもって
SAFE MODE　でそれをはずそうとしたのですが、
Uninstallation completed とかでてるのに、再スタートするとまたそこにあります。

そして、同じ上記メッセージの繰り返しなのです。

解決策をどなたか教えてください。

回答No.19

Niwatori-Sanpo · ベストアンサー

そろそろ明日の準備（就寝）をしなくてはならない No.18 です。

＞AVASTをアンインストールして、Malwareが暴れる（表現がおかしい？）
＞ということはないですよね？

　えっと、インターネット回線用の機器としてルータは設置していないん
でしたっけ？
　ファイアーウォールを有効にして、且つ電子メールの受信監視は停止の
状態に、また他の Webサイト等にもアクセスしたりしなければとりあえず
大丈夫でしょう。
　念のために、Avast!をアンインストールする前に「Microsoft Security
Essentials」のインストーラをダウンロードしておけばモアベターという
ものです。

＞スタートアップにあるものをリストアップ　～
＞　～
＞参考になりますか？

　オイラの Vista環境には無いものが多いようですが、項目名やLocation
（レジストリの場所？）ばかりでなく、「製造元」や「コマンド」のある
フォルダ情報も開示した方が、正体を突き止める手がかりには役立ちそう
です。
　因みに「Host Process Rundll 32」というのは何でしょうね？　当方の
Vista 機には存在しません。

＞APPDATAというものが見当たりません。

　う～む…そんなはずはないと思うんですが、フォルダーオプションにて
全てのファイルやフォルダを見える化していますか？

隠しファイルやシステムファイルを表示させる方法
http://dynabook.com/assistpc/faq/pcdata/005787.htm

＞これってヒントになりますか？

　はい。　たぶん詳しい鉄人には参考になっていると思います。

　例えば「csrss.exe」は通常「C:\Windows\System32」というフォルダに
あると思われます。　ユーザープロファイル保存用フォルダの一時作業用
TEMPフォルダにあるのは普通ではないと思います。
　また、前述したように「sshnas21.dll」というファイルは当方の環境に
見当たりません。

　因みに、「sshnas21.dll」をキーワードにネット情報を検索したところ
以下のページが見つかりました。　駆除に成功した事例のようです。

危ないウイルス：sshnas21.dll（FakeAlert）の駆除
http://hokanko2008.seesaa.net/article/154796948.html

怪しいなぁ「sshnas21.dll」ウィルスか？
http://d.hatena.ne.jp/kunimaruchan/20100126/1264489139

　McAfeeサイトでも別名（BackDoor-ABF）で捕捉（検出）されていたので
いちおう参考 URL欄でリンクさせておきます。

＞解決策につながりますか？

　関連ファイルやレジストリを手動で削除するのは大変そう…。 (+_+;

参考URL：

http://www.mcafee.com/japan/security/virB.asp?v=BackDoor-ABF

お礼

Niwatori-sanpo さん、何度もありがとうございます。
明日の準備してください。
今WINDOWS DEFENDERでSCANしてます。
終わりましたら、ネットで見つけたMALWARE BYTESというもので、MALWARE退治をしてみます。何かESSENTIALSより協力とか書いてあるので。

見える化もして、また補足に記入します。

補足

Niwatori-Sampoさん！！Malwareとれたかも？？です。
さっき、４つほどMalwareを駆除、Restartしたら、
いつもの表示はでなくなりました～～～！！！
嬉しい、ウレシイ、と油断して後に出たら困るので、
明日までこのトピックは開けておきます。
まずはご報告まで

回答No.8

486HA

[>しかし、何がおかしくなったのかあらたな問題がでてきました。
:>ChromeでVPNを使おうとすると、（以前には使っていて問題なかった）
:>以下のようなメッセージがでてきて、VPNを使っているときだけ繋がりません。

:>これはなにが原因でしょうか？
:>ちなみに、SPYBOTが常駐し、AVASTのアンチウィルスが常駐、
:>他にオートマチックウェブサイトちぇッキングといものが動いています。
:>この先のアドバイスをください
　どのようなVPNを使用しているのか、当初の質問から外れた内容で初耳です。
常識から外れて平気でフリーのセキュリティ・ソフトを併用している状況が元凶であるとしか思えません。

回答No.7

486HA

:>先週フルバックアップを取ったのです。
VISTA標準の「バックアップと復元センター」から「コンピュータのバックアップ（Businessエディション以上）」を利用した
バックアップであれば、システム及びデータなどはバック・アップを作成した時点の状態に戻ります。

　なお、その後LAVA Ad-Awareの動作確認を継続したところ、
既定のアンインストール方法でAd-Awareを一旦アンインスツールすると、他社製のセキュリティ・ソフトがインストールできなくなことが判明ししました。
レジストリィからLAVA Soft関係の情報を完全にクリアすると他社製のセキュリティ・ソフトがインストールできるようになります。

補足

いろいろアドバイスありがとうございました。
スタートF8、セーフモードとネットワーク接続で、
SPYBOTやその他のレジストリーツールなどもやった結果、
今これをそのパソコンから打てるほど回復してます。

しかし、何がおかしくなったのかあらたな問題がでてきました。

ChromeでVPNを使おうとすると、（以前には使っていて問題なかった）
以下のようなメッセージがでてきて、VPNを使っているときだけ、
繋がりません。

Unable to connect to the proxy server
A proxy server is a server that acts as an intermediary between your computer and other servers. Right now, your system is configured to use a proxy, but Google Chrome can't connect to it.
Here are some suggestions:
If you use a proxy server, check your proxy settings or check with your network administrator to make sure the proxy server is working.
If you don't believe you should be using a proxy server, try the following steps: Go to Wrench menu > Options > Under the Hood > Change proxy settings > LAN Settings and deselect "Use a proxy server for your LAN."
Error 130 (net::ERR_PROXY_CONNECTION_FAILED): Proxy server connection failed.

そこで、メッセージどおり、LANSETTINGにて、プロキシを使うの「チェックのないこと」を確認したのですが、まだ依然として同じ症状で改善されません。

これはなにが原因でしょうか？

ちなみに、SPYBOTが常駐し、AVASTのアンチウィルスが常駐、
他にオートマチックウェブサイトちぇッキングといものが動いています。

CHROMEの中の、LANの「詳細設定」で一度DEFAULT設定に変えてもダメでした。一度CHROMEを抜き、今再ダウンロードしていますが、どうなるのか。。

この先のアドバイスをください。

回答No.6

Niwatori-Sanpo

No.4 改め No.5です。

＞３８個なんとかをみつけてFIXしてみましたが、元にもどりませんね。

　了解です。

＞なんと表現していいかわかりませんが、先週フルバックアップを　～
＞どういった方法でしたか？と聞かれると詳しく表現できませんが、

　復元する要領を把握していない方法でバックアップしても意味がない
ような気がします。

　因みに、オイラは Windows標準のバックアップ機能は復元する手順の
イメージが湧かないので、全く信用していません。
　代わりに「True Image」というソフトを使っています。　Vir.8 の頃
からお世話になっていますが、HDD 丸ごとの復元も簡単にできます。

Acronis True Image Home 2010
http://www.runexy.co.jp/personal/acronis_trueimage_home_2010/outline/

＞このバックアップの外付けHDDを接続して、どうにかいままでの
＞OSを消す、新しくする方法が知りたいのですが。

　単にファイルをどこか別の記憶メディアに待避させただけなら、そこ
からコピーして戻せば良いだけだと思いますが、通信環境や各種ソフト
等の設定などシステムまわりの環境も復元したい場合はバックアップの
方法によって復元する方法も当然違ってくると思います。

　もし、コントロールパネルにある「バックアップと復元センター」の
「コンピュータのバックアップ」を利用したのなら、オイラには経験が
ないので力になれそうもありません。

＞もちろん、SPYBOTの次に何らかの方法があればそれを試してみたいです。

　有効かどうかは分かりませんが、最後の手段は「システムの復元」で
しょうか…。
　もし回復しなかった場合は変更を元に戻して（「システムの復元」を
実行しなかったことにして）また他の対策を考えればいいと思います。

復元を取り消す
http://allabout.co.jp/contents/sp_windowsvista_c/windows/CU20081115A/index4/#%E5%BE%A9%E5%85%83%E3%82%92%E5%8F%96%E3%82%8A%E6%B6%88%E3%81%99

　他の対策として「Malwarebytes' Anti-Malware」というスパイウェア
対策ソフトも、参考 URL欄にリンクしておきます。

参考URL：

http://fine.tok2.com/home/heto2/0700SecurityApp/Malwarebytes/0001.htm

補足

いろいろアドバイスありがとうございました。
スタートF8、セーフモードとネットワーク接続で、
SPYBOTやその他のレジストリーツールなどもやった結果、
今これをそのパソコンから打てるほど回復してます。

しかし、何がおかしくなったのかあらたな問題がでてきました。

ChromeでVPNを使おうとすると、（以前には使っていて問題なかった）
以下のようなメッセージがでてきて、VPNを使っているときだけ、
繋がりません。

Unable to connect to the proxy server
A proxy server is a server that acts as an intermediary between your computer and other servers. Right now, your system is configured to use a proxy, but Google Chrome can't connect to it.
Here are some suggestions:
If you use a proxy server, check your proxy settings or check with your network administrator to make sure the proxy server is working.
If you don't believe you should be using a proxy server, try the following steps: Go to Wrench menu > Options > Under the Hood > Change proxy settings > LAN Settings and deselect "Use a proxy server for your LAN."
Error 130 (net::ERR_PROXY_CONNECTION_FAILED): Proxy server connection failed.

そこで、メッセージどおり、LANSETTINGにて、プロキシを使うの「チェックのないこと」を確認したのですが、まだ依然として同じ症状で改善されません。

これはなにが原因でしょうか？

ちなみに、SPYBOTが常駐し、AVASTのアンチウィルスが常駐、
他にオートマチックウェブサイトちぇッキングといものが動いています。

CHROMEの中の、LANの「詳細設定」で一度DEFAULT設定に変えてもダメでした。一度CHROMEを抜き、今再ダウンロードしていますが、どうなるのか。。

この先のアドバイスをください。

回答No.5

Niwatori-Sanpo

No.4です。

＞ネットワークモードで起動を選ぶと、CHROMEなどのブラウザーも動き
＞ここで何かできることはないでしょうか？

　ネットワーク接続付きのセーフモードで Webブラウザも使えるなら
レジストリを修正する前に、「Spybot」は試されましたでしょうか？

Spybotのインストール方法
http://enchanting.cside.com/security/spybot1.html

参考URL：

http://www.safer-networking.org/jp/mirrors/index.html

補足

SPYBOT実行してみました。
３８個なんとかをみつけてFIXしてみましたが、元にもどりませんね。
なんと表現していいかわかりませんが、先週フルバックアップを取ったのです。
どういった方法でしたか？と聞かれると詳しく表現できませんが、
だめもとで、このバックアップの外付けHDDを接続して、どうにかいままでの
OSを消す、新しくする方法が知りたいのですが。。もちろん、SPYBOTの次に
何らかの方法があればそれを試してみたいです。

回答No.4

Niwatori-Sanpo

＞LAVAのAD_AWAREというものが怪しいかなと

　「Ad-Aware」は、少々旧いですが、由緒正しいスパイウェア対策
ソフトなので、今回の症状とは直接関係ないと思います。
　問題があるとすれば、複数のセキュリティソフトをインストール
し過ぎて干渉（競合）し合っている可能性があることでしょうか。

＞名前が、「SYSTEM TOOL」となって

　下の過去質問では、「Spybot」というスパイウェア対策ソフトを
使って無事に駆除できたようですが、質問者様の環境でこの方法が
使えるかどうかは、やってみないと何とも言えないでしょう。

System Tools VS Spybot
http://okwave.jp/qa/q6501788.html

　因みに、参考 URLの事例では解決したかどうかが不明です。

　ということで、最悪の場合を考えてシステムの再セットアップも
視野に入れておいた方が良いでしょう。

参考URL：

http://okwave.jp/qa/q6490567.html

お礼

TROJAN KILLERなるものを試してみました。
USBからスキャンしてみたのですが、
以下のように怪しいとされるMALWAREが出てきました。
どうやって削除したらいいのでしょうか。
ちなみに、SYSTEM TOOLという表示はでてきませんでした。
これだと、以下のものを削除しても意味がないのでしょうか？
Registry:HKLM/SYSTEM/CurrentControlSet/Control?keyboardLay....
File:C:/propgramdata/pmedpjg15400/pmedpjg15400.exe
などが出てきており、あるサイトには、
http://www.nayuta-vision.com/archives/831　参考
プログラムに変なものがあれば、（参考サイトにはSYSTEM TOOLなどが見つかれば）とありますが、私のには見つかりませんが、かわりに上記のような
ものが見つかりました。
これを自分で削除してしまっていいでしょうか？

補足

起動時に、F8,セーフモードとネットワークモードで起動を選ぶと、
CHROMEなどのブラウザーも動きます。

ここで何かできることはないでしょうか？？

どなかたお願いします。

回答No.3

486HA

いわゆる「Gumbler」に感染したということですか。
とりあえず対応策は次のURLを参考にして駆除できるかどうか確認してみましょう。
http://www.seculead.jp/tokushu/gumblar.html
　駆除できないようであれば、クリーン・インストールまたはリカバリ・ディスクがあればリカバリしかありません。
今後は、シマンテックなど実績のある製品を購入しましょう。

お礼

ONLINE SCANNER ではないものをダウンロードして、試してみましたがた、
やはり、EXECUTEしませんと、出てきます。
これはもう再インストールしかないのでしょうか？

補足

ありがとうございます。
３つ見てみましたが、ONLINE SCANNERとかありますが、ONLINEできないじょうきょう、今回のようなときは、どうにもならないでしょうか？

回答No.2

FEX2053

こういうやつですか？
http://internet.watch.impress.co.jp/docs/news/20100805_385649.html

最近は、一般のWebサイトから直接感染するウイルスも多く、多分その手の奴に感染したんでしょうね。だとすれば、PCの再セットアップが必要です。

補足

そうです、そうです。こんなやつです。
でも名前が、「SYSTEM TOOL」となっています。
再セットアップ、って再インストールするしかないってことですか？

回答No.1

486HA

:>LAVAのAD_AWAREというものが怪しいかなとおもって
LAVASOFTのAd-Wareは、アドウェア駆除ソフトにアンチウイルス機能を追加したマルウェア対策ソフトです。
「プログラムのアンインストール」で普通にアンインストールできます。
:>アンチウィルスをたちあげようとすると、Can't be executed.
:>その後はおきまりの、「購入したほうがいい」のポップアップです。
LAVASOFT Ad-Wareそのものがアンチウィルス機能を備えているので、他の同様のアンチウィルス・ソフトと併用しているのですか？
テスト環境で確認してみましたが、そのようなメッセージは表示されません。

参考URL：

http://www.lavasoft.jp/

補足

ほかのアンチうぃるすも入っていました。ところで、アバストをアンインストールし、
コントロールパネルからADWAREをアンインストールしたのですが、
アンインストール成功しましたとかでるのに、
PCを立ち上げるとまたもとの画面で、
デスクトップに相変わらす、「危険ですので、アップグレードしますか？」などと
でてきて、ほかのアプリケーションは質問どおり、まったく立ち上がらないのです。ほかに何かほうほうありますか？