dllhost.exe が何度も復活する

質問

dllhost.exe が何度駆除しても

　C:\WINDOWS\system32\wins

に復活してしまいます。どうすればよいでしょうか？

http://service1.symantec.com/SUPPORT/INTER/tsgeninfojapanesekb.nsf/jdocid/20030819150121953

ここを参考に、書いてあるとおりに丁寧に駆除しているのですが、数日すると、また復活してしまいます。

MSのパッチも当てているし、システムの復元機能を無効して駆除しているのですが・・・

回答No.8

morinokoneko

場所に間違いではないというご確認の報告ありがとうございました
正規のものはアンインス－ルをされておられないと
いう前提条件で書いてみます

http://www.symantec.co.jp/region/jp/techsupp/online.html

ノ－トンのバ－ジョンやOSや環境などが貴殿のご事情ににより記載されておられないので私にはこれ以上のことは
サポ－トができないことをご了承ください
シマンテック社ではNIS2002は今月で無償サポ－トは終了です
それ以前の個人のバ－ジョンの場合シマンテック社ではサポ－トはありませんが
NIS2003.NIS2004の場合
上のURLにお尋ねになられたほうがよいような気がします
（体験版のかたやバンドル版のかたはサポ－トがありません）

--サポ－トが受けれない場合の対処方法--
OSに原因があるのかそれとも何らかの
原因で検知駆除がノ－トンが出来ても一部ノ－トンのファイルが破損して再発してしまう、
根本的な原因がどこにあるのか　を区別するために
以下を試されてもよいような気がします

一度ノ－トンをアンインスト－ルします。CD-ROMからでなく
ハ－ドディスクからインス－ルをする方法をとります
同じ現象が発生するかを確認します
ハ－ドディスクの空き領域はノ－トンのバ－ジョンやOSにより
異なるため　どれくらい必要かはお伝えすることができません　（ハ－ドディスクからの方法はシマンテックの
HPを参考にしてください）

注　上記の方法は製品版のかたのみに有効です
HPからDLしたものであれば確認はできません

これで同じ現象が発生しない場合
導入されておられたノ－トンが正常に動いていなかったと
判断できます

同じ現象が発生しなかった場合　正常にノ－トンが
動作しているといってよいと思います

再び同じ現象になってしまった場合OS初期化をおすすめします　OS初期化に関しては　PCのマニュアルをお手数ですが
参考にしてください

お礼

持っているのは、 Norton Anti Virus の corporate edition (on Win XP) で、ライセンスはずっと続いています。また、これで駆除したこともありあますが、質問にも書いたとおり、シマンテックが一般に公開している駆除ツールでも駆除しています。

いずれも、既に書いたように、駆除自体は成功していて、対応フォルダからもレジストリも対応部分は消えています。

なので、シマンテックが公開しているMSBlast対策のステップ自体は一応うまくいっています。

いまは沈静化しているので、もうすこし様子を見てみます。
いろいろお付き合いいただいてありがとうございました。

回答No.7

morinokoneko

これ標準のWindowsのシステムフォルダでは
ないんですか？
感染してるとノ－トンで反応しています？
XPではC:\Windows\System32 に存在をするのです。

以下の情報のテクニカルサポ－トをみてみますと
標準の場所にあるようにおもいますが　いかがでしょう
http://www.symantec.com/region/jp/sarcj/data/w/w32.welchia.worm.html#threatassessment

また以下をごらんください
http://www.f-secure.co.jp/v-descs/v-descs3/welchi.htm

「DLLHOST.EXE」 について書いてあります

どうも貴殿が感染していると誤解しておられるだけの
ような気がしますが。

お礼

質問にもかいてありますとおり、DLLHOST.exe が見つかったのは

　C:\Windows\System32 （標準のフォルダ）

ではなく

　C:\Windows\System32\wins

です。

回答No.6

morinokoneko

再度すみません
なんだか混乱してきましたね。
ご質問を拝読してて感じたことを書いてみます。
その駆除ツ－ルは本当にシマンテックのものでしょうか？
信憑性があるかどうかを判断するためにデジタル署名のチェックはおすみですか？

またPCの時刻がずれているとノ－トンでエラ-が発生するのを
こちらのサイトで先日学んだことがあります（2004のケ－スです）
他のかたがおっしゃるように正常に駆除をしWindows Updateで更新していたら感染はしないはずなんですが。
一度ノ－トンの動作確認のため
シマンテックセキュリティチェックをされてみては
どうでしょう？
またRAMが足りなくてノ－トンが正常にインスト－ルできていないのではと
感じてしまいます

ご参考まで

お礼

ありがとうございます。セキュリティチェックはOKです。
また、＃３の方への返事に書いたように、ノートンのウィルス検知・駆除機能自体は問題なく動いております。問題は、駆除した数日後に再感染することなのです。
>正常に駆除をしWindows Updateで
>更新していたら感染はしないはずなんですが。
私もそう思っていました。なのでここに投稿したのですが、可能性として、＃５の方のご指摘かなという気がしております。

回答No.5

tadappi563

はじめまして。

ふと思ったのですが、システムの復元機能を無効にしてあっても今まで復元機能が有効になっていたのであれば、何度でも復元可能なのではないでしょうか？

参考にマイクロソフトのところのリンクを張っておきます

参考URL：

http://www.microsoft.com/japan/technet/treeview/default.asp?url=/japan/technet/security/virus/blasterE_xp.asp

お礼

ありがとうございます。
そうなのですか！？どうすればようのでしょうか？

私は、（例えば、）参考URLからもたどることができる
http://www.symantec.co.jp/region/jp/sarcj/data/w/w32.welchia.worm.removal.tool.html

に書いてあるタイミングで私は復元機能をオフ／オンしていました。つまり：

・・・（略）・・・
4. Windows Me/XPシステム上で作業している場合、システムの復元機能をオフにしてください。
・・・（略）・・・
9. Windows Me/XPをご使用の場合は、この時点でシステム復元機能をオンに戻します。
・・・（略）・・・

のようにしたのですが。。

今まで「有効」となっていた場合はどうすべきなのでしょうか？

補足

これが原因ということは、よく考えるとありえません。
一度、復元機能を無効にすると、それ以前の復元データは全部消えるので。。

回答No.4

morinokoneko

こんにちは
http://www.symantec.com/region/jp/sarcj/download.html
上のURLの情報では
WIndowsでは現時点で10/24です
ひづけはあっていますか？
これで日づけが間違っていたのであれば
ウイルス定義はすでに更新されていないふるいバ－ジョンであるといえるとおもいます

新しいバ－ジョンの場合オンラインサポ－トへ連絡してみては
いかがでしょうか？（ふるいバ－ジョンだとサポ－トは
終了していると思いますが　ご参考まで）

回答No.3

you-m

となると、もう一つはインストールしているノートンのバージョンが古い事が可能性としてありますね。
少なくとも、今だったら2003以降じゃないと安心はできません。
パターンファイルの更新は古いものでもされますが、仕組み的に古いものだと検知できないとか、駆除できないものもあるからです。
駆除できないだけならともかく、検知できないケースは最悪で、感染してるのに気づかないで、放置される可能性があります。
以前に2001を使ってる会社で、そのような事が起きて大量感染するまで気づかなかった事がありました。

後は、すでに何らかの理由でウイルス駆除ソフトが正しく機能していない可能性ですね。
その場合はOSごと入れなおすか、ウイルス駆除ソフトをインストールしなおすしかないかも知れません。
確実なのは、前者ですけどね。

お礼

ありがとうございます。

そもそも再発生したのを見つけてくれたのはノートンですし、ノートン自身のウィルス発見・駆除機能は問題ないのです。

今の問題は、駆除をした数日後にまた同じウィルスが再発生することなのです。（またノートンが発見してくれる訳ですが。）

回答No.2

you-m

単に、何度も感染してるだけでは？
ウイルス駆除ソフトはちゃんとインストールしていないんですか？
きちんとインストールしてあって、パターンも最新につど更新してたらまず感染しないはずなんですけどね。
パッチを当てるのも必要ですが、それでウイルスに感染しないって事ではないですよ。

お礼

ウイルス駆除ソフトはノートンをインストールしてあって、感染したあとは最新のパターンにしてあります。
Windows update もすべてやってあります。

なので不思議です。

回答No.1

rogner02

こんばんは、スパイウェアの可能性はないでしょうか？スタートアップやデスクトップのアイコンや接続に覚えのないアイコンはありませんか？フリーソフトなどのダウンロードで入る場合もあります。スパイウェアの可能性があるのでスパイウェア対策のフリーソフトをダウンロードしてスキャン及び駆除をすることをお薦めします。とりあえず出来ることは色々とやってみましょう

参考URL：

http://sukiero.tripod.co.jp/erostart.html

お礼

スパイボットもadawareも実行してあるのですが大丈夫なようです。