質問: agobot.agaが何度も発見されます 使用osはwinsows2000 sp4(windows updateで最新パッチ適用済)。その他、ウィルスバスター2005、ad-aware se、spybot-s&d、spywareblasterを定期的にアップデートして使用しています。 インターネットには、catvで接続しています。 3月7日14時頃から、worm_agobot.agaを1時間おきぐらいにウィルスバスターがリアルタイム検索で発見し、隔離処理することを繰り返すようになりました(ログでは「隔離済み(安全です)」)。ちなみにその時間帯には、メールの送受信は行っていませんでした。 隔離処理後に、ウィルスバスターでウィルス検索を実行しても、何も発見されません。また、レジストリは改変されていないようでした。タスクマネージャのプロセスでも、winserv.exeは見つかりませんでした。 しかし、symantec security checkでウィルスチェックしたところ、c:\winnt\system32\sys.exeがbackdoor.trojanに感染していました。タスクマネージャのプロセスでみると、sys.exeが稼動しています。 レジストリには、感染ファイルを参照しているレジストリ値はありませんでした。 そこで、セーフモードで感染ファイルのsys.exeを削除し、ゴミ箱も空にしました。インターネット一時ファイルとcookieも削除しました。 再起動後に、ウィルスバスターとsymantec security checkでウィルス検索を実行したところ、ウイルスは発見されませんでした。 ところがその後も30分~1時間おきに、ウィルスバスターのリアルタイム検索でworm_agobot.agaが発見され、隔離処理することを繰り返しています。 このworm_agobot.agaは、いったいどこから送り込まれてくるのでしょうか?考えられる対策は一通りやってみたつもりですが解決せず、本当に困っています。 アドバイスをよろしくお願いします。
回答: レジストリの改修はしましたか? いくらファイルを削除しても、アクセスするたびに侵入するための命令文が残っている限りは、 アクセスするたびに侵入してくると思います。 worm_agobot.aga solution(説明・英語) http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?vname=worm%5fagobot%2eaga&vsect=sn シマンテックで検出したウィルスについては次の通りです。 backdoor.trojan http://www.symantec.com/region/jp/avcenter/venc/data/backdoor.trojan.html ですから、僕の考える現象としては次の順序で入っていると思います。 backdoor.trojanがworm_agobot.agaの侵入の手助けをして、ウィルスバスターが検出して隔離していると考えます。 ですから、backdoor.trojanの対策をして、その後worm_agobot.agaの対策を実行してみてください。