質問: なぜウィルスを防げなかったのか? 以前このカテゴリで質問して、もう二度とお世話になるまいと思っていたのですが、この度ウィルスに感染してしまったのでお知恵を拝借したく質問させていただきます。 時間軸に沿って今回の事例を見ていきます。 1.自宅には二台パソコンがあり、いずれもwindowsログイン時にパスワードの設定をしてい なかった。 デスクトップpcはウィルスバスター2004が入っていて適切にアップデートされていた。 ノートpcにはノートンのinternet securityが入っていてanti wirusのみ更新されている。 どちらもxpでwindowsupdateは適切に行われている。 またルーターを使っていてノートpcは無線でインターネットに繋がっている。 2.デスクトップpcを作り直してからファイルやプリンタの共有はしていなかったが、つい最近必要性からデスクトップのdドライブをノートパソコンと共有できるようにした。 3.二日家を留守にしていて、今日デスクトップpcを起動すると程なくしてworm_agobot.hmの自動修復に成功したというメッセージが表示される。 4.ネットワークから切断し、soundman.exeを終了させる。念のためドライブの共有を解除する。 5.デスクトップpcで手動検索を行うとjs_spawn.aが検出され、隔離される。手動で削除。 6.ノートpcからはウィルスは検出されなかった。 7.二台ともログインパスワードを設定した。 ここで質問です。 q1.デスクトップpcではパスワードが未設定ではあったが、worm_agobot.hmの使う脆弱性を修復していて、ルーターもあり、最新の状態のウィルスバスターにしていたのになぜsoundman.exeは起動していたのか? q2.今となってはいつ感染したのかわかりませんが、なぜリアルタイム検索でjs_spawn.aが防げなかったか? q3.xpのシステムの復元を一度無効にする必要があるか? わかりにくい部分があれば補足要求してください。お願いします。
回答: こんにちは。 q3について、 「system volume informationinフォルダ→以後省略して(svi-f)」はパティションの数だけフォルダーが存在します(当然の事ですが) このフォルダは初期設定では、開こうとすると拒否され、プロパティで見ると0bytです。この時このフォルダを右クリックして「ウイルス検査の実行」←をクリックして見ると瞬時に終わります。 一方、(svi-f)をセキュリティタブにてユーザー名を割り当て→るとこのファイルが開けるように成ります。←この状態で右クリックして「ウイルス検査の実行」←をクリックして見るとウイルスバスタの検査過程(検査中のファイル名が)が見られます。何を言いたいかと言うと、初期設定(ウイルスバスターでは有りません←osの話)ではウイルスバスターは(svi-f)←の中を検査しません。(例えウイルスに犯されたファイルが存在してても)←その為にウイルスに犯され場合は一度(svi-f)を破棄しましょうと言う話になります。q2の問題のウイルスは(2000年)にパターン#707にて対応済みですが、私もかつてウイルスの種類は違いましたが過去のウイルスに遣られた経験が有ります。何故なのか今もって不思議に思っています。q1のlogonの為のパスワードって、スパイウエアやトロイ&その他のウイルスの起動時に何かの足しに成るのでしょうか? 既にosが起動して居る場所に侵入して来る訳ですから、オープンの場所で好き勝手に行動出来るのでは。そこで、ノートンさんとかトレンドさんに頑張って貰うのでは無いかなーと思いますが・・・ bkdr_tasmer.b (別名=アゴボット) ↑ ・感染確認方法: ワームを実行してしまった場合には、以下の改変が行なわれます。 以下のファイルが作成されます: <windowsシステムフォルダ>\soundman.exe レジストリの値が変更されます。