スパイウェアの対処方法

質問

たぶんスパイウェアだと思うのですが…
IEを開くと『Home Search』というＨＰが勝手に開かれます。
アドレスバーには『res://C:\WINDOWS\npwhn.dll/index.html#96676』と表示されていて、
Ｃドライブを探してみたんですが見つかりませんでした。
（npwhn.dllの部分は常に変化します）

インターネットオプションでホームページのアドレスをgooなどに変えても、
一度ウィンドを閉じてしまうと設定が元に戻っています。

Spybot1.3、Ad-aware Seを使って削除を試みたのですが削除できません。
何度やっても消えないファイル？があるのです。
連続で駆除を行っても、Safeモードで実行しても駄目でした。

IEも再インストールしてみましたがやはり駄目でした。

どなたか対処方法を教えてください。
お願い致します。

回答No.6

ittochan · ベストアンサー

＞１番の「Runキー」というのが分かりません。
スタート→「ファイル名を指定して実行」をクリック。

regedit と入力して、「ＯＫ」をクリック。

レジストリエディタが起動されます。
以下のように潜っていきます。

マイコンピュータ　
　＋HKEY_CURRENT_USER
　　＋Software
　　　＋Microsoft
　　　　＋Windows
　　　　　＋CurrentVersion
　　　　　　＋Run ←この中と
それと、

マイコンピュータ　
　＋HKEY_LOCAL_MACHINE
　　＋Software
　　　＋Microsoft
　　　　＋Windows
　　　　　＋CurrentVersion
　　　　　　＋Run　←この中
を見ます。

＞２番の「サービス」の出し方が分かりません。
Windows2000かWindowsXPの場合
スタート→「コントロールパネル」を開いて
左側の「クラシック表示に切り換える」(WindowsXPの場合)
をクリック
右側の「管理ツール」を開いて
「サービス」を開きます。

＞３番のレジストリというのも分かりません。
↑の１番の回答を見てね

お礼

何度も御回答頂き誠に有難うございました。
感服の至りです。

何度かトライしているうちに削除することが出来たみたいです。

まだ完全には削除出来ていないようなので、
また新たに質問したいと思います。

この度は本当に有難うございました。

回答No.5

ittochan

今、Home Search Assistentをインストールしてみました。
インストールするたびに
CLSID、ファイル名が違うようです。

手がかりになるのは

１．
Runキーに登録されている
SysA　ファイル名は win???32.exe
と
もう１つの項目、
ファイル名は
C:\windowsフォルダに作成された
隠し属性のexeファイルを探します。

それと、
２．
サービスの
「Network Security Service (NSS)」
or
「Remote Procedure Call (RPC) Helper」
or
「Network Security Service」
の
スタートアップを『無効』にする

３．
セーフモードで起動し
↑のサービスのスタートアップを無効にして
(このとき、プログラムの名前が分かるでしょう)

レジストリのRunキーから
SysAともう１つの項目を削除

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{数字の羅列}]
と
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\URLSearchHooks]
"{数字の羅列}"=""
を削除

※：
Browser Helper Objectsキーにぶら下がっている
{数字の羅列}が複数ある場合
URLSearchHooksキーにある
{数字の羅列}と同じ値を削除する

Browser Helper Objectsキーにぶら下がっている
{数字の羅列}が別のスパイウェアの可能性もあるので
「インターネットオプション」
→「詳細設定」タブ

「サードパーティ製のブラウザ拡張・・・・・」
のチェックを外しておきます

すべてのサイトが信頼済みになってしまってる場合は
レジストリの
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones

を削除し
regsvr32 /i urlmon.dll
を実施します。

補足

とても詳しい説明で、誠に感謝致しております。
しかし私は殆どド素人のため、やり方がよく分かりません・・・。
例えば、
１番の「Runキー」というのが分かりません。
２番の「サービス」の出し方が分かりません。
３番のレジストリというのも分かりません。

分からないことだらけで本当に申し訳ありません！
もし宜しければもう一度教えてください。
お願いします。

回答No.4

ryu-fiz

先述『アダルトサイト被害対策の部屋』の情報専用掲示板を覗いて見ましたが…かなり厄介な代物のようです。

百戦錬磨の回答者諸氏が色々頑張ってらっしゃるようですが、完全な駆除方法は確立されてないようです。

http://higaitaisaku.web.infoseek.co.jp/cgi-bin/cbbs.cgi?no=2

コピー＆貼りつけで飛んで下さい。

『Home Search Assistant』『HSA』がタイトルに含まれるスレッドを参照下さい。

意地でも治したいという根性がおありならhijackThisの基本的な使い方を『アダ対』で勉強されて、質問専用掲示板にログを提出されてはどうでしょうか？

http://higaitaisaku.web.infoseek.co.jp/cgi-bin/cbbs.cgi

質問はこちらの掲示板の方に。くれぐれも情報専用掲示板には書かないようお願い致します。

お礼

ご回答有難うございます。
とても有名なスパイウェアだったんですね・・・。

完全な駆除方法がないというのは残念です。
地道に掲示板を見ながら頑張ってみようかと思います。

回答No.3

ittochan

＞IEを開くと『Home Search』という
＞ＨＰが勝手に開かれます。
WindowsXPでしょうか？

私の発見したスパイウェアは

「プログラムの追加と削除」に
Home Search Assistent
っていう名前でインストールされるプログラムでした

「プログラムの追加と削除」からではアンインストール不可能です。

対処法は
Internet Explorerをすべて閉じ

タスクマネージャから
実行中の
atlii32.exe
を停止

サービスの
「Network Security Service (NSS)」(sysru.exe)
を停止
スタートアップを『無効』にする
（「Remote Procedure Call (RPC) Helper」(netor.exe)
「Network Security Service」(winwt.exe)
このようなサービス名になることもあります）

タスクマネージャから
sysru.exe
(または、netor.exe か winwt.exe、別の名前になるかも)
が実行されていたら停止させる

レジストリの
[HKEY_CURRENT_USER\Software\Adverts]

[HKEY_CLASSES_ROOT\CLSID\{4A8DADD4-5A25-4d41-8599-CB7458766220}]

[HKEY_CLASSES_ROOT\PROTOCOLS\Handler\icoo]

[HKEY_CLASSES_ROOT\icoo]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"atlii32.exe"="C:\\WINDOWS\\atlii32.exe"

[HKEY_CLASSES_ROOT\CLSID\{AD588C93-27B4-C722-4F9F-E92B60D849F8}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\HSA]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SW]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SE]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4CF205DC-B1C3-2ED9-352E-61BA8C11824A}]

[HKEY_CLASSES_ROOT\CLSID\{4CF205DC-B1C3-2ED9-352E-61BA8C11824A}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\URLSearchHooks]

[HKEY_CLASSES_ROOT\CLSID\{123F4CDF-405B-6306-9D76-1D30A936E153}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
"sysru.exe"="C:\\WINDOWS\\sysru.exe"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\O?虫rtネイ$モ]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main]
"Default_Page_URL"

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Search Bar"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main]
"Local Page"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main]
"Search Bar"

を削除

sysru.exeファイルを削除
atlii32.exeファイルを削除
javabh.dllファイルを削除
msopt.dllファイルを削除
mqfjx.dllファイルを削除

コントロールパネルの「インターネットオプション」から
「プログラム」タブの
「Webの設定のリセット」をクリックする

Windowsを再起動したときに
sysru.exeが無いエラーと
dxm???が無いエラーが出るときがあるが、
以降、このエラーは出なくなる
------------------------------
「Remote Procedure Call (RPC) Helper」(netor.exe)
「Network Security Service (NSS)」(sysru.exe)
「Network Security Service」(winwt.exe)
スパイウェが作成したサービスの設定を変更しても
Internet Explorerを再起動させると元に戻される
これの自動再設定を機能させないようにするには
レジストリの
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{数字の羅列}]
と
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\URLSearchHooks]
を削除しなければならない

参考になれば。
分からないところがあれば補足ください。

回答No.2

ryu-fiz

ここに書いてあるのがずばりそれ、のようです。

http://higaitaisaku.web.infoseek.co.jp/cgi-bin/ht/database.cgi?cmd=dp&num=217

コピーしてブラウザのアドレスバーに貼って飛んで下さい。

だめなら、

http://higaitaisaku.web.infoseek.co.jp/hjtdatabase.html

この検索ウィンドウに『Home Search』と入力、隣のプルダウンメニューを『全てを含む』にして検索キーを押す。
一番下の項目を選んで詳細を表示すると出ます。

可能ならシステムの復元が楽、という話のようです。

補足

回答有難うございます。
しかし、
＞一番下の項目を選んで詳細を表示すると出ます。
の、「詳細」がどこにあるのか分かりませんでした。
すみません!

回答No.1

t2c

こちらではどうでしょうか？
　　↓

参考URL：

http://higaitaisaku.web.infoseek.co.jp/removecws.html#jyokyo

お礼

回答有難うございます。
試してみましたがやはり無理のようです。