Skype lol is this your new profile pic?

**名無し** · 2012/10/07(日) 17:08:00.61

avastでスキャン途中だが、Ihoyog.exeってのが隔離された
URL踏んでからAviraが起動できなくてAvast入れたんだが、
２週間前のフルスキャンじゃAviraは何も検出してなかったから、たぶんこれかな

**漆黒のダーク** · 2012/10/07(日) 17:08:50.42

wormで気になる点ががある
破壊的症状とゆうのがまだでてない
繁殖はしているが・・・
ぐぬぬ
だれかしれべてくれないか？

**名無しさん** · 2012/10/07(日) 17:09:29.10

レジストリとかまだ一時的な削除のほかのまとめは無いのかな？

**漆黒のダーク** · 2012/10/07(日) 17:09:33.54

>>100了解した

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 17:25:32.27

収まった模様です。自分のやったことを記載しておきます。

「AppData\Roaming\Skype」内を全消去
→右クリックで消せないものはタスクマネジャーでプロセスを停止してから消去

本日変更が有ったファイルを検索して全消去
→システムファイル等の消しにくいものは残しておいた。
→この時、メールデータも一緒に削除してしまったので、復元をするハメに。

システム再起動(裏でダウンロードがスケジュール実行されているような・・・)

システムの復元で昨日まで戻す

新しいSkypeアカウントで実験開始。URL送付なし。問題無さそう。
その他いくつかのウィルス対策ソフトでスキャン。問題無さそう。
→新種のウィルスで後で見つかる可能性も有る。

**漆黒のダーク** · 2012/10/07(日) 17:29:18.78

>>104やはりどこかにファイルの一部が残っている場合があるんですね

**名無しさん** · 2012/10/07(日) 17:33:34.60

>>99 >>101
WORMってのはウィルス名というよりジャンルだな、というのはおいといて。

>>33にあるIEが別のウィルスをダウンロードしてるという件は大丈夫なの？
skypeに拡散するためのワームなんてただのきっかけの用途なんじゃないのかな

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 17:39:14.43

>>106
>>33です。大丈夫であるという断言はできませんが、
どうも自身と同じような類のウィルスをダウンロードしてきていたようなので、
基本的には上記対策で解決可能なのではないかな、と思います。

ダウンロードしてきていたファイルは全部Nortonで確認していました。
ダウンロード先はRoaming\Skypeの所で、
ダウンロードされてきたファイルを実行してSkype APIで他の人にメッセージを送っている模様でした。
実際、ダウンロードされた瞬間、プロセスにそのexeが追加され、Skypeでメッセージが飛んでいました。

いくつかNortonさんにスキャンしてもらっていたのですが、Nortonさんは無反応でした。
(というよりも無反応だから自動ダウンロードができていたというか。)

**名無し** · 2012/10/07(日) 17:39:14.95

https://www.virustotal.com/file/51100553d15597e9d0ca98aa0f3be3ab5a49c0ca10808456b7a92884296e1b68/analysis/

**漆黒のダーク** · 2012/10/07(日) 17:40:56.25

>>106 >>107 ありがとうです

**ななし** · 2012/10/07(日) 17:42:45.29

対応した手順↓
①skype→ツール→設定→詳細→詳細設定→ほかのryからアクセスの削除
②windowsキー+Rで"%appdata%"→見慣れないexeファイル（スカイプアイコン等の、
自分は２個だった）削除
③windowsキー+Rでmsconfig→スタートUPから不明製造元不明のものを無効に（↑
で削除したファイルと同じ名前のものがあったので）
ちなみに私のはEdrirmという名前でした。

ウイルス感染時にはIEやクローム等が使えなくなる程度の症状でしたが
現在は回復

しかし気になることが
skype→プロパティ→セキュリティに不明なアカウントが追加（多分）されていました
skypeプロパティは初めてみるのであったのか知りませんが、怪しい　と
削除しようとしたところ、親からアクセス許可を継承してるためオブジェクト
が削除できないとのことでした。

皆さんはどうでしょうか？ということと
問題であれば対応方法を教えていただきたい

太郎 · 2012/10/07(日) 17:51:09.65

おれっちはwin732bit IE9なんだけどIEがタスクバーからは起動できなくなったなー
他のブラウザから2chとか開いて安価とかクリックするとIEが起動するんだけど
なんか設定変えられたんかね？それともまだ残ってるのかな？

**名無しさん** · 2012/10/07(日) 17:55:00.17

>>107
なるほど。Skype APIを使って送ってるのね
DLしている別のウィルスも役割が同じだとすれば、
>>50の方法で少なくともSkypeへの友達の拡散は止められるし、それでだいたい解決みたいですね

**名無しさん** · 2012/10/07(日) 17:56:46.82

>>108
virustotalありがとう
まだまだ大手は壊滅に近いな

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 17:59:06.76

送られてきた奴踏まなければ送られてくること自体以外は被害なし？

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 18:01:59.84

>>112
それで一筋縄にはいかなくて、ダウンロードされてきたウィルスにも新たにskypeへのアクセス権が追加されていますｗ
ですので、定期的にダウンロードしてくる元を絶たないといけないのです。

どうも色々な人の対処策を比較して考えてみると、
再起動をすると、ダウンロードがされなくなるようです。

ですので、何回消してもウィルスソフトがダウンロードされてきて止まらない、という場合には、
再起動やシステムの復元などをお試しください。

>>110
自分のアカウントは特に変化はないように思いました。
AdministratorsとUsersとSystemです。

ただ、この辺り詳しくないので、ほかの人の続報を待ちましょうか。

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 18:02:45.01

>>114
無いはずです。

**漆黒のダーク** · 2012/10/07(日) 18:03:34.66

>>115感謝です。その他情報まってます。
それとこのウイルスはかなり昔からあるそうです

**名無しさん** · 2012/10/07(日) 18:04:10.81

>>50の
凍結したデータを消す
ってどういう意味？

ｓｋ · 2012/10/07(日) 18:05:32.36

>>107
%appdata%のskype内のデータは全て消しましたが、再起動すると%appdata%内に４～３ケタの英数字アプリケーションが再出現します。
これらはスカイプの設定の他のプログラムからのskypeへのアクセスを管理で出てくるアプリケーションと同じものです。
これが発生しない方法はないのでしょうか？

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 18:11:26.61

>>119
私は>>104で防止できました。

システムの再起動だけで防げない場合、システムの復元も行った方が良いかもしれません。
また、MSSEやAvast(両方無料)が本ウィルスに対応しているようなので、そちらでのスキャンも実施した方が良いかもしれません。

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 18:12:37.58

あ、あと、Fドライブのフォルダにウィルスソフトとウィルスソフトを起動する似非ショートカットが作られていたので、
そちらの削除も必要だと思います。

**漆黒のダーク** · 2012/10/07(日) 18:14:00.17

>>120 >>121 ありです、今後もお願いします

**名無しのiPhone使い** · 2012/10/07(日) 18:18:44.45

ちなみにこれってiPhoneでも感染するのかな？気がつく前に間違って押したら「ダウンロード出来ません」って出てダウンロードに失敗したみたいだけど...
感染しているかどうか確認する方法があればな...

**名無しさん** · 2012/10/07(日) 18:19:06.25

>>115
ほうほう。IEにそうさせてるものが何かはまだ不明というわけだね

ということはこういう感じかな
1.友人からlol is this your new profile pic?の発言とともに、skype_06102012_image.zipが送られてくる。
2.skype_06102012_image.zipの中身はskype_06102012_image.exe。実行すると感染。
3.感染するとskype_06102012_image.exeがその場から消えるが、バックグラウンドでIEが起動。
4.友人に拡散するための実行プログラム(ランダムのアルファベット4文字.exe)を%AppData%\Skype\内にダウンロード？
5.SkypeAPIを利用し、友人への拡散を実行する。
skype_06102012_image.exe本体が消えた(移動した？)後に、IEを制御しているプログラムは今のところ不明。

っていうところかな？（あくまで推測

**名無しさん** · 2012/10/07(日) 18:21:58.91

>>123
確実なことは言えないけど、
あくまで実行ファイルはWindowsでしか実行できないexeなのでiOSではおそらく問題無い。
wine系のWindowsエミュレータ(?)を入れていない限りはMacも同様。

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 18:25:29.62

>>124
自分の認識でもそんな感じです。

**漆黒のダーク** · 2012/10/07(日) 18:37:57.99

このウイルスは変化する可能性はあるのかな？

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 18:39:22.56

症状にばらつきがあるので、もしかしたら様々な亜種が有る可能性は有ります。

ｓｋ · 2012/10/07(日) 18:40:23.98

>>120
システム復元はなぜかエラーがでてうまくいきませんので、なんとかして取り除く方向で頑張りたいです。
MSSEをダウンロードしてみます。
あと、Fドライブはなく、CドライブとDドライブなわけですが、擬似ショートカットの見つけ方がよくわかりません。
どうするのがよいのでしょう？

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 18:44:02.67

>>129
Windowsのファイル検索機能で本日作成されたファイルを全て検索し、
その中から「ショートカット」を探して削除するのが良いと思います。
他にも怪しいファイルが有れば削除する方が良いかもしれません(大事なファイルは消さないように気を付けて・・・)。

普通のショートカットと似非ショートカットの見分け方ですが、
右クリックでプロパティか何かを見た時に、
変なコマンド(%System32%/cmd.exe "start・・・"みたいな)が入っているものが似非ショートカットです。

**名無しのiPhone使い** · 2012/10/07(日) 18:44:38.07

＞＞125
情報ありがとうっす...てかよく考えたらそれ以前に落とせませんでしたからね。
一応Macに繋いじゃったんでavast先生に診てもらってます。

**名無しさん** · 2012/10/07(日) 18:47:51.18

>>129
フォルダオプションを開く(エクスプローラ上で、Altキー⇒ツール⇒フォルダオプション)
↓
表示タブ
↓
隠しフォルダが見えないようにしてあるなら、[すべてのファイルとフォルダを表示する]を有効にする。
もうひとつ、一番下の方にある[保護されたオペレーティングシステムファイルを表示しない(推奨)]のチェックをはずす。
なんか警告出るけどここは無視。
各ドライブ上に、$RECYCLE.BINもしくはRECYCLERフォルダ(どちらもの可能性)が表示
あとは中身を探してみてくれ

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 18:48:55.65

>>129
そうだあと、窓+Rでmsconfigを起動してスタートアップにウィルスファイルが含まれていないか見ておいた方が良いと思います。
そういう報告が有ったので。

タスクマネジャーでiexplorerのプロセスも切っておいた方がより安全かも。

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 19:01:32.39

僭越ながら現状まとめ

　・「AppData\Roaming\Skype」内を全消去
　　　(消去できないexeファイルはタスクマネジャーでプロセス停止してから消去)
　・本日変更が有ったファイルを検索して怪しい物(exe、ショートカット、等？)を全消去
　・各ドライブの中のゴミ箱の中身をすべて削除
　・ msconfigでスタートアップに入っているウィルスソフトを消去
　・ iexplorerのプロセスを停止
　・システム再起動orシステムの復元で感染前に戻す
　・ AvastやMSSEでスキャン

ｓｋ · 2012/10/07(日) 19:09:13.95

>>132
$RECYCLE.BINが表示されました。
が、中身はゴミ箱と、「S-1-5-21-1928356326-1789006262-1695655949-1003」とかいう長ったらしい名前のフォルダが一つでした。
何か原因があるのでしょうか。

>>130
検索が終わりましたが、今日の日付で更新、作成されたものはひっかかりませんでした。

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 19:11:43.97

>>135
じゃあショートカットの件は大丈夫そうですね。

ゴミ箱の中にexeファイルが有れば消去しておいてください。
S-1-・・・・・はなんだったかな・・・

**名無しさん** · 2012/10/07(日) 19:24:16.78

>>135
S-1-なんたらかんたらは、ゴミ箱に入っているゴミファイルだった気がする。俺もずいぶん前からあるよ
今回の件とは無関係のはず

**137** · 2012/10/07(日) 19:25:55.49

あ、でも、>>136さんの言うようにもしゴミ箱内にexeファイルがあったら消しておくとおｋ

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 19:28:57.57

IE開けなかったわけではないけど、ネット接続がプツプツ切れた
ネットワークと共有センターの状態を表示→診断でなおせた。
これでIEを使うことができたんだけどこの情報役にたたないだろうか

ついでに復元しただけでなおったけど、他になにもしなくていい？

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 19:34:08.97

>>139
もしかしたらそのままでも良いかもしれませんが、どこかのドライブのフォルダ等にウィルスが残っている可能性が有るので、
>>134等の手順を踏んでPC内からウィルスを削除することをお勧めします。

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 19:44:21.08

skypeのパスワードも変更しておきました

**名無しさん** · 2012/10/07(日) 19:46:48.13

対処プログラム(Win7用)
http://www1.axfc.net/uploader/Sc/so/383995.zip
問題のファイル削除とレジストリ内自動起動設定解除と
Skypeの設定変更。※IEとウイルスの強制終了も
よく分からん奴はこれ使え

**名無しさん** · 2012/10/07(日) 19:49:53.90

嫌儲とニュー速にも貼ってあったけど怖すぎワロタｗｗ

**名無しさん** · 2012/10/07(日) 19:50:31.63

lol is this your new profile pic?
これでDLしたソフト名「AutoKMS」
このフォルダorインストーラーがトロイの木馬をマンエンさせてる
ソフトです
ウイルスバスターなどでサーチかけてください

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 19:54:18.73

>>142
AppData\Roaming\内のexeファイルを事前に消してから
試しにやってみたが、ウィルスが見つからないって言われたな。

ｓｋ · 2012/10/07(日) 19:56:03.32

よくわからないが、Avast入れたら復活しなくなった。
効果があったということなのかよくわからん。
>>142
vista用はないのですかっ

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 19:59:06.12

>>146
vistaと7って基本的なアーキテクチャーは同じじゃなかったっけ。
結構、vistaでも動きそうな気がする。

まぁ・・・善意から作られているのかもしれないけど、
ちょっと怖いけどね、こういうexeを実行するのはｗ
(今日のウィルスの件も有ったことだし。)

**名無し** · 2012/10/07(日) 20:03:14.98

自分もついふんでしまったのでPCを2日前に復元したんですが
復元じゃ意味ないですか？

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 20:04:39.02

>>148
症状は出なくなるかもしれませんが、
PCの中にウィルスが残っている可能性が有り、
その駆除が必要であると思います。

手順として>>134が有ります。
また、Skypeのパスワード変更もしておいた方が安心でしょう。

ｓｋ · 2012/10/07(日) 20:04:49.20

>>147
やってみたら同じく「見つからない」って言われました。
無いとみていいのか…

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 20:06:08.59

>>150
上記ソフトウェアの仕組みが正確には分かりませんが、
より確実に対処したい場合は>>134やウィルススキャン等を実施するのが良いと思います。

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 20:08:39.49

まぁ一番確実な対処はクリーンインストー（ｒｙ

ｓｋ · 2012/10/07(日) 20:14:08.43

とりあえず、MSSEでもAvastでも異常が見つかりませんでした。
とはいえ、既にノートン入れてるのにこんな２つも常駐させたくもなく…。
Avastを停止させたらまた復活し出すのかと疑問符です。

クリーンインストールは出来ればしたくないな…。

**ななす** · 2012/10/07(日) 20:14:51.35

俺ん所にも届いたよ
これ個別に履歴削除って出来ないもんなのか？

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 20:15:30.61

>>>153
まだ正確な情報もなく、実験されてないので良く分からないですね・・・(T_T)

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 20:17:50.69

>>154
Skypeのデフォルト機能では「履歴の削除」でまとめて消すことしかできなさそうですね。

**yolu** · 2012/10/07(日) 20:29:55.74

mac使ってるんですが、
avast!でHomeにサーチかけたところ、
warning3とでたんですが、どうしたら良いんでしょうか・・。

**ななす** · 2012/10/07(日) 20:32:01.47

>>156
レスありがとう。触らないようにするわー

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 20:36:43.22

>>158
ご参考まで。

Win7だと、
C:\Users\*********\AppData\Roaming\Skype\****skypeユーザ名****\charsync

あたりに会話履歴が保存されているようです。
メッセージが飛んできた時間等からファイルを特定して削除すると良いでしょう。
中のdatファイルをUTF-8で開くと若干、中身を読むこともできます。

(実際に自分でやったことはありません。不具合が有るかもしれません。実行は自己責任でお願いします。)

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 20:38:57.20

あぁでもダメか・・・結局サーバ側からまた会話履歴をダウンロードしてくるから・・・

fa · 2012/10/07(日) 21:07:29.82

URLクリックだけしちゃってexe実行とかしてない人は何消せばいいんだろう

**名無しさん＠** · 2012/10/07(日) 21:07:51.95

ウイルス踏んじまってとりあえずavast!を導入したものの
どうしていいかさっぱりわからない

フォルダ全表示しても「AppData\Roaming\Skype」が出てこないけど、
とりあえず上に書いてあることで出来ることをやっていけばおｋってこと？
このままだと俺のネット人生終わるんじゃね。

**名無しさん** · 2012/10/07(日) 21:38:18.01

>>162
%AppData%\Skypeね
Skypeのフォルダではないよ。
↑のまま、スタートメニューの検索バーのところに入れたらフォルダが開くはず。

もしくは、
C:\Users\【ユーザ名】\AppData\Roaming\Skype
を開いてみて。Vistaの場合だが、他のWindowsだと違うかもしれん

_ · 2012/10/07(日) 21:45:13.20

てｓｔ

**名無し** · 2012/10/07(日) 22:00:53.69

外付けの中身がSystem Volume Informationファイルに変えられてたわ...

**七誌さん** · 2012/10/07(日) 22:23:14.51

仮想PCで踏んでみたところ、explorer.exeが
s15403588.onlinehome-server.info
というサーバーと接続を開始した。
それと同時にスタートアップに%appdata%\Pqcwcl.exeというのを作った。
このPqcwcl.exeはAdministratorでログインしても見えない不思議なやつだったよ。Everythingの検索には引っかかったが。
こっちがウイルスの本体でランダム数字.exeはSkypeを媒介として感染者を増やすためだけの
付属ツールなのではないかと。

Avast!を入れてみたらSkype自動送信ツールの数値.exeはブロックしたが、explorer.exeの通信は続いたままだった。

ｓｋ · 2012/10/07(日) 22:25:56.57

>>166
つまり…どういうことだってばよ？？
に%appdata%\Pqcwcl.exeとかいうのを削除しなきゃいけないってことけ？

**七詩さん** · 2012/10/07(日) 22:28:58.63

とおもったらAvast!いれてPCを再起動したらexplorerの通信はなくなっていた。

Avast!最強伝説

ぽん · 2012/10/07(日) 22:33:20.19

XPの場合はRoamingはないと思う

**助けて** · 2012/10/07(日) 22:42:48.73

もう俺には治せない…

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 22:52:43.30

メインのデスクPCはHDD複数接続とかで対処がめんどくさいので
とりあえずNortonで定義ファイルできるまでLANケーブル抜いとく
感染してないノートPCで用は済ます
勿論Skypeは起動しない

**助けて** · 2012/10/07(日) 22:57:57.78

>>171 自分はこれに引っかかってNorton入れましたがダメでした
回線抜いておいたほうがいいですよね…

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 23:00:26.24

avastかMSSEの方が良いみたい。

今回、nortonはまだ対応していない。

ｓｋ · 2012/10/07(日) 23:02:58.76

Avast先輩強過ぎわろす
ノートン先生なにやってるの

**名無し** · 2012/10/07(日) 23:12:56.26

外付けの変なファイル消してフォーマットしておけば大丈夫だよね？

**助けて** · 2012/10/07(日) 23:14:01.77

外付けって言うのがよくわからないんですけど、ごめんなさい
パソコンそんなに詳しくなくて

**名無し** · 2012/10/07(日) 23:16:29.76

>>166
以前のDorkbot系ではユーザーモードルートキットを実装しているのもあったから、
今回もその可能性は否定できませんね。
また、explorer.exeへのコードインジェクションも同様ですね。

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 23:17:54.86

これDropboxとかのクラウドまでにもコピーしてたら痛いな…

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 23:19:51.18

>>178
少なくとも今のところ、dropboxへのウィルス拡散は確認されていません。

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 23:19:51.95

>>176
外付けってのは、USBとかで接続するPC箱の外部に設置するHDDのこと

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 23:20:45.64

>>179
mjkありがと

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 23:23:42.56

結局ＵＲＬ踏んだだけじゃ感染しないの？

exe起動したやつだけ？教えてください

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 23:24:35.87

>>182
基本的にはexeを起動しなければ感染しないと考えられます。

**名無し** · 2012/10/07(日) 23:24:52.35

そう、自分で実行しない限り感染はしません

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 23:27:21.18

>>183
ありがとうございますー
間違えて踏んでしまって。。

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 23:27:58.54

実行した後って、もともとのexe消えたよな

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 23:29:15.00

消えたものと記憶しています

**助けて** · 2012/10/07(日) 23:33:03.48

>>180 ありがとうございます。

勝手にURLが書き込まれる（skypeの友人)って事は感染してるって事ですよね
今までに書かれている事を試しては見たのですが結局、確実には消せないみたいで
パソコンに詳しい方が羨ましい。

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 23:34:12.28

>>188
システムの復元とかも全部やった？

**名無しさん＠いたづらはいやづら** · 2012/10/07(日) 23:59:25.06

今思ったんだが、別のパソコンで同じ\AppData\Roamingみたら既に

shared.lck(最終更新:2012/06/08)
shared.xml(最終更新:2012/09/29)

あったんだが…
このパソコンは93%くらいの確率で感染していないはずだが、
このファイルが直接ウイルスに関連しているのか、
そんで内容が書き換えられたからなのか…
それか、単にSkypeを起動すると絶対必要不可欠になってくるもので
自動的に生成されるものなのかが不明

普段このファイルは何をしているのか解析しないと分かんねぇな
色々と

**名無しさん＠いたづらはいやづら** · 2012/10/08(月) 00:14:13.24

>>190
>>65

**漆黒のダーク** · 2012/10/08(月) 05:53:56.39

みんな、ありがとう。
なんとか、対処方法見つかってよかった、
ただ、ここからが問題だ、
このウイルスが何のためにどこから流れてきたか
このウイルスがどうパソコンや個人情報に影響するかがわかっていない
以上、油断はできません、もしなにかわかったら教えてください!!

**漆黒のダーク** · 2012/10/08(月) 05:58:25.71

公式が対応していない今は自分たちで何とかしなければいけません
>>50の方法に加えシステム復元、クリーンインストール再起動
有効なウイルス対策ソフト（MEES Avas)で確認するのがよいでしょう。
あとは公式の発表を待ちましょう。

もし引っかかった人がいれば、このスレのＵＲＬを教えてください
そして、できれば症例を書き込んでもらえるよう協力お願いします。

**漆黒のダーク** · 2012/10/08(月) 06:09:47.59

スレ主より、協力願う
今、このウイルスの解決方法はわかった
だが、目的と症例がわからない
目的と症例を書き込んでほしい
症例はかかった人から、できるだけ集めてほしい
もしかしたら、サーバーとの通信があると言うことは
破壊系のウイルスに変化するのだって考えられる。
わかったら、正確な情報をカキコねがう!!

月代 · 2012/10/08(月) 08:47:51.52

外付HDDのファイル属性変更とおそらくウィルスへのショートカット(属し変更されたファイルの名前)が生成されました
USBの記憶媒体でも感染が広がるかもしれません

**漆黒のダーク** · 2012/10/08(月) 08:49:36.50

緊急報告!!
ウイルスが進化したそうだ、>>50の方法でとり
朝確認後、ファイルの復活を確認
チャットの言葉がちょっとこれはあなたの新しいプロフィールの写真ですか？
に変化、処理ができてないか？
あるいは偽装かは未確認その他情報緊急調査ねがう

**助けて** · 2012/10/08(月) 08:51:11.27

>>189 まだそれはやってないです。後にやってみます。
私がやったのはwinキー＋Rでskypeファイルを適当に消すのと
skypeツール→設定→詳細→他のプログラムから
って奴をやりました。
Skypeファイルの場合何を消していいのかわからないので、適当に消しましたが
今現在、再起動しても勝手にURLが送信されるという事にはなってません

Nortonでスキャンはしてみたのですが、効果は無い様で…

他にもやることがあるのでしょうが、ここは専門用語多いので私には
難しいですが…

月代 · 2012/10/08(月) 08:56:17.16

>>196　マジか
一応削除とかはしたけど不安だな

**漆黒のダーク** · 2012/10/08(月) 08:57:13.44

>>195確認お願いします。
朝８時より、現在一人のウイルスの変化を確認
ちょっとこれはあなたの新しいプロフィールの写真ですか？に変化
おそらく、ファイルの書き換えサーバーからの受信による進化
が考えられる、今後も注意!!

月代 · 2012/10/08(月) 09:01:06.98

>>199　すまん確認したいけど消しちまった
ただしHDDの中身は無事だった

ウィルスのDLが不可能になっているものがありますな

**そうま** · 2012/10/08(月) 09:14:12.59

はじめまして、はじめてここに書き込みます。
えっと俺も踏んでしまって…一度は直ったのですが
一日たつとインターネットが開けなくなってて
「Internet Explorer ではこのページは表示できません」
というページに飛ばされます。
いまは「セーフモードとネットワーク」で開き書き込んでます。
またUSBもぶっ壊れてしまいました…。
何か対処法あるのでしょうか?
本当に困ってます…情報を世としくお願いします。

**助けて** · 2012/10/08(月) 09:17:13.45

Fフォルダとはなんなんでしょうか？
exeが全て悪いものって訳ではないですよね？

月代 · 2012/10/08(月) 09:17:53.69

>>201　USBってのはフラッシュメモリーのことだよな？

**漆黒のダーク** · 2012/10/08(月) 09:18:04.64

>>201なにかしらの対処をとった場合そのようなものになったのですか？
いま、ウイルスの進化が考えられます。

**漆黒のダーク** · 2012/10/08(月) 09:19:04.52

>>202 exeがすべて悪いわけではありません

**そうま** · 2012/10/08(月) 09:24:17.85

えっとフラッシュメモリです。

いろいろと対策法を試しました。
昨日はそれで直ったんですが
今日PCを開くとインターネットにつなげなくて

月代 · 2012/10/08(月) 09:25:44.78

>>206　フラッシュメモリーの対策はしたか？

**漆黒のダーク** · 2012/10/08(月) 09:26:30.09

>>206　どんな対策をとったのか、具体的に教えていただけると幸いです

**そうま** · 2012/10/08(月) 09:27:06.48

>月代様　　
どこにありますか!?

**名無しさん＠いたづらはいやづら** · 2012/10/08(月) 09:27:54.64

極力ネットワークに接続しないことが安全かと
ターゲットが何処に居るかも確認できてないので危険です

**漆黒のダーク** · 2012/10/08(月) 09:28:13.49

>>206それとスカイプのメッセージで
ちょっとこれはあなたの新しいプロフィールの写真ですか？
と例のＵＲＬを送ったりしてませんか？
いま、この症例の人が一人いて、ファイルも復活してるそうです。

月代 · 2012/10/08(月) 09:28:29.50

>>209　そういやぁまだ対策かいてなかったわ
まず　服を脱ぎます

ぽむ · 2012/10/08(月) 09:30:09.29

ちょっとこれはあなたの新しいプロフィールの写真ですか？
のあとにURL貼られたチャットが来ました。

昨日ちゃんと対処法はしたらしいんですけど、
また新しいウイルスでしょうか

月代 · 2012/10/08(月) 09:30:53.86

俺の場合外付けHDDだけどまず感染前になかったフォルダ消して
エラーチェックかけて属性変更ツールで元通り　
最後に復元して完了だった(復元はしなくてもいいかもしれない

**そうま** · 2012/10/08(月) 09:33:03.47

>漆黒のダーク様　
俺が取った対処法は

Skypeの「ツール」→「設定...」→ 「詳細」→
「他のプログラムからのSkypeへのアクセス管理」から消去

%appdata%でskype の中にある shared.lckを削除

%appdata%ででてきたexeを削除

msconfigでスタートUPから不明製造元不明のものを無効

バッチファイルを実行してから、Windowsを再起動

カスペルスキー 2012 30日無償試用版をDL

これぐらいです。

月代 · 2012/10/08(月) 09:34:03.92

>>206　感染してメモリー外して対策したPCに刺しなおしたた？
もし対策した状態で刺して感染したとしたらUSBでも広まるかもしれないな

**そうま** · 2012/10/08(月) 09:34:59.47

>漆黒のダーク様　
いいえ、送ってないと思います。
lol is this your new profile pic?
こっちではないですよね?
こっちは開いたときに全ユーザーの送られてます

月代 · 2012/10/08(月) 09:36:40.03

>>215　%appdata%のexe消すときプロセスキルしないとできないのあるよな

**そうま** · 2012/10/08(月) 09:37:42.63

＞月代様
そうなんですか?試してみます。
エラーチェック、属性変更ツールは普通に出来ますか?
さしました。感染してるかもです…。

**漆黒のダーク** · 2012/10/08(月) 09:39:01.57

>>216さんはファイル復活しましたか？

**そうま** · 2012/10/08(月) 09:39:49.37

＞月代様
プロセスキルですか？
どうすれば出来ますかね?

**名無しさん＠いたづらはいやづら** · 2012/10/08(月) 09:41:56.66

http://blogger.lemonkaju.net/2012/10/skype.html
ここの一番下にprogramfilesにアイコンがあるとか書いてあるが

月代 · 2012/10/08(月) 09:44:06.23

>>219　エラーは普通に出来るけど属性変更はまとめて属性チェンジャーってのを使ったほうがいい
あとフォルダが全部ショートカットになってると思うけど開かないほうがいいぞ

**222** · 2012/10/08(月) 09:44:20.13

すまんh消すの忘れてた

**そうま** · 2012/10/08(月) 09:45:17.46

＞月代様
了解しました。

月代 · 2012/10/08(月) 09:45:19.76

>>221　タスクマネージャーから出来るゾ

**そうま** · 2012/10/08(月) 09:46:16.94

＞月代様
やってみます

月代 · 2012/10/08(月) 09:46:55.52

>>220　PCとHDD両方対策したあとだけど今のとこ再発なし

ま · 2012/10/08(月) 09:48:33.48

昨日ウイルスを踏んでしまい起動してしまったものです。
因みにPCはあまり詳しくありません。
現在拡散のほうは防げているのですが、skype の中にある shared.lckというのを何度削除しても復活して来ます。
これはやはりまだ危ないという事ですよね？
何か教えて頂ければ幸いです。

**そうま** · 2012/10/08(月) 09:49:45.06

＞月代様
えっとタスクマネージャー→プロセスの後どうすればいいですか?
exeを全て消しちゃっていいんでしょうか?

**漆黒のダーク** · 2012/10/08(月) 09:50:15.67

協力願います
送られてくるチャット文章の変化を確認してほしいです。
たとえば日本語とかに

月代 · 2012/10/08(月) 09:50:57.37

>>230それはあかん　%appdata%にできたexeのみ消してください

**そうま** · 2012/10/08(月) 09:52:22.25

＞月代様
えっと、exeはもうありません

月代 · 2012/10/08(月) 09:53:52.89

>>233　ならいいんだすまんかった

**漆黒のダーク** · 2012/10/08(月) 09:56:12.03

今、確認しないといけないことがあるんです。
今、チャット文章が日本語に変化してるんです。
確証がほしんです
協力ほんとに願います。

**そうま** · 2012/10/08(月) 09:56:46.17

＞月代様
いえ、ありがとうございます。

**そうま** · 2012/10/08(月) 09:57:21.74

＞漆黒のダーク様
チャット文章の変化はまだ俺のとこには無いです

月代 · 2012/10/08(月) 09:57:22.45

おじさんちょっとニコ生でウィルスについて語る枠取るわ
情報集まるかもしれんし

ぽむ · 2012/10/08(月) 09:57:55.57

>>235

ちょっとこれはあなたの新しいプロフィールの写真ですか？
http://bit.ly/Q4PJwi?img=スカイプID

っていうやつじゃないですか？
私も知り合いから来ます。

**そうま** · 2012/10/08(月) 09:58:24.48

やはりネットにつながらない。
どうにかして、ネットに繋げるようにしたいんですが…。

ぽむ · 2012/10/08(月) 09:58:41.12

ごめんなさいh消し忘れました

**そうま** · 2012/10/08(月) 09:59:52.66

＞222様
レジストリエディタを開いた後どうしたらいいんでしょうか?

**漆黒のダーク** · 2012/10/08(月) 10:00:20.17

>>239ありです確信につながります

**漆黒のダーク** · 2012/10/08(月) 10:01:52.91

うむ、昨日は英語今回は日本語進化してるのかな？

月代 · 2012/10/08(月) 10:06:34.17

進化してるな　エキサイト先生に訳してもらうとこんな感じだし
日本語ができるやつが二次配布とも考えれるが

**漆黒のダーク** · 2012/10/08(月) 10:17:12.21

>>245二次配布はないだろう。
同じ人から来るのが多いから

月代 · 2012/10/08(月) 10:18:41.43

>>246　そうか

**そうま** · 2012/10/08(月) 10:20:43.29

やっぱり何度試しても
「Internet Explorer ではこのページは表示できません」
というページに飛ばされ
インターネットが開けなくて…。
非常に困ってます

誰か助けてください。
情報を・・・。

_ · 2012/10/08(月) 10:21:31.66

てｓｔ

**助けて** · 2012/10/08(月) 10:22:47.45

私は外付けがないだけまだ助かったのかな

月代 · 2012/10/08(月) 10:24:11.84

>>250　外付けはひどと思う削除自体は簡単なんだけど
フォルダの表示を元に戻すのが

**漆黒のダーク** · 2012/10/08(月) 10:29:50.83

緊急会議放送やっています、情報交換お願いします。
http://live.nicovideo.jp/watch/lv110905653?ref=community

**名無しさん＠いたづらはいやづら** · 2012/10/08(月) 10:31:59.58

>>242
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
ここで起動時に自動実行するアプリケーションがわかる
明らかに不明なものは怪しいからググりながら解析進めるといい

**漆黒のダーク** · 2012/10/08(月) 10:33:39.95

↑ありがとうございます、解析やってみます。

**ああああ** · 2012/10/08(月) 10:35:07.23

>>248
大変そうですね。
障害の切り分けだけ実施してみてください。

Windowsキーとrキーを同時に押したあと、
cmdと入力してください。

コマンドプロンプトを開いたら、
ping 8.8.8.8　と入力してみてください。
そこで
Repry from 8.8.8.8 bytes=32 time=5ms TTL=～～

というのが出ればIEがｳｲﾙｽに感染しています。
IE以外のブラウザを使用するのがとりあえずの対策になります。

IE以外のブラウザが入っていない場合は、
もうちょっと対策まってください

**漆黒のダーク** · 2012/10/08(月) 10:35:41.83

ただいま、ファイルの解析を行っています。
完了するまでお待ちください

**名無しさん＠いたづらはいやづら** · 2012/10/08(月) 10:39:03.28

>>194
症例は判らないけど、犯人の目的は被害者のPCを乗っ取って犯罪に利用するためだろうね。
一度進入されたら、クリーンインストールした方が安心だと思いますよ、最悪の場合、今報道されているニュースのように
身に覚えの無い犯罪の容疑者にされる可能性もありますから。

第3者にPCを乗っ取られるとどうなるのか、専門家に聞きました。
http://headlines.yahoo.co.jp/videonews/fnn?a=20121007-00000041-fnn-soci

**名無しさん＠いたづらはいやづら** · 2012/10/08(月) 10:41:14.94

逆にコメントを英語から日本語にしたところが怪しい
ターゲットが日本になってるってことだろ？

**漆黒のダーク** · 2012/10/08(月) 10:49:11.52

ちょっといいか？ファイルを誰かが改変したとは考えられないでしょうかね？

月代 · 2012/10/08(月) 10:51:07.13

もともと日本がターゲットで日本語から英語にて日本語に戻したとは考えられないだろうか？

**名無しさん＠いたづらはいやづら** · 2012/10/08(月) 10:56:09.42

日本語になってるってことは垢が日本のってわかってるってことだよな

**漆黒のダーク** · 2012/10/08(月) 10:56:14.37

解析結果
レジリストの一部変更
スカイプの自動送信システムの作成
ウイルス作成者に強制的に個人情報を流失可能？

**名無しさん＠いたづらはいやづら** · 2012/10/08(月) 10:57:29.14

感染PCを放置すると、大変な事になる場合もあるみたいです。

殺人予告:遠隔操作の可能性　捜査員「ウイルス検出困難」
http://mainichi.jp/select/news/20121008k0000m040079000c.html

**名無しさん** · 2012/10/08(月) 10:57:49.28

ttp://kuku.neko2.net/?num=2793
ttp://blog.babibubebo.org/archives/547

ココらへん見てみると、攻撃者サーバーからのデータが変わったとか。
昨日までの削除方法だけじゃ完全じゃないみたいだ。

**†Reimu** · 2012/10/08(月) 10:58:02.63

英文も日本語文もチャットきただけじゃ何も起きないですよね…？

凄い気になるんですが

**漆黒のダーク** · 2012/10/08(月) 10:59:21.27

解析結果２
スマホアンドロイド版でのウイルス感染は低いと

**名無しさん＠いたづらはいやづら** · 2012/10/08(月) 11:00:38.95

次枠はよ

**助けて** · 2012/10/08(月) 11:02:42.96

確実にウィルスがなくなったと確認する方法はないの？

**漆黒のダーク** · 2012/10/08(月) 11:05:10.13

>>265ＵＲＬにいかない限りだいじょうぶだと思います

月代 · 2012/10/08(月) 11:05:17.98

次枠は？　取らないなら俺が取るが

**漆黒のダーク** · 2012/10/08(月) 11:06:17.54

>>270 とりますよ

**名無しさん＠いたづらはいやづら** · 2012/10/08(月) 11:06:21.48

>>270
11:30から予約枠でやるらしい

**†Reimu** · 2012/10/08(月) 11:06:28.58

>>269　URLは完全にスルーしてますｗ
今のとこ、チャットきてるだけは大丈夫なんですね

月代 · 2012/10/08(月) 11:07:22.29

了解　

月代 · 2012/10/08(月) 11:09:33.66

USBで広がるかも知りたいところだな

**名無し** · 2012/10/08(月) 11:10:56.77

日本語版はMSSE検知なし
今からMSに提出

**漆黒のダーク** · 2012/10/08(月) 11:11:16.15

>>275了解　聞いてみます

**漆黒のダーク** · 2012/10/08(月) 11:12:41.17

>>276了解です、対処考えます

**名無しさん＠いたづらはいやづら** · 2012/10/08(月) 11:12:43.73

>>276
頼みます

**助けて** · 2012/10/08(月) 11:16:45.61

このウィルスが完璧に消えたって人は居るの？

**漆黒のダーク** · 2012/10/08(月) 11:17:24.31

新たな可能性を確認
コンタクトを自動で送るexeの起動を確認
コンタクトを申請しＵＲＬと例の文章を発行

**名無しさん＠いたづらはいやづら** · 2012/10/08(月) 11:17:44.72

>>280
完全に消えたかどうか確認する根拠が無い
専門家からの発表もないままだから…

月代 · 2012/10/08(月) 11:18:26.25

恐らくだが俺は消えたと思われる

**名無しさん＠いたづらはいやづら** · 2012/10/08(月) 11:18:33.53

>>281
これはひどいな

月代 · 2012/10/08(月) 11:19:35.39

サイバーテロでいいよなもう

**漆黒のダーク** · 2012/10/08(月) 11:19:45.22

>>280現状確認できてません。

**名無し** · 2012/10/08(月) 11:21:16.85

感染の恐れがある場合はどうすればいいのだろうか。

月代 · 2012/10/08(月) 11:21:41.16

>>287　ネットから切断

**漆黒のダーク** · 2012/10/08(月) 11:21:45.49

>>283油断しないでください
解析の結果ウイルス側

**名無しさん＠いたづらはいやづら** · 2012/10/08(月) 11:21:56.46

SkypeのAPIでここまでなるとは・・・

月代 · 2012/10/08(月) 11:22:43.85

>>289　油断はしてないさ

**漆黒のダーク** · 2012/10/08(月) 11:29:53.18

生放送開始しました。
http://live.nicovideo.jp/watch/lv110908987?ref=community

**ゲーム放送部** · 2012/10/08(月) 11:29:56.04

http://live.nicovideo.jp/watch/lv110910242
放送部の生

詳細

A4B1.exeが　Skypeに申請　タスクマネージャの　プロセスにこのEXEがあった

もう１個は
　
　536.exe*36が　Skypeに申請　タスクマネージャの　プロセスにこのEXEがあった

この２つは　時間になると停止

ｓｋ · 2012/10/08(月) 11:34:12.99

Vvswsrってなんだ？
これがMSEでワームとして削除され、起動プログラムにも入ってたからチェック外しといたんだが。

**助けて** · 2012/10/08(月) 11:35:09.26

私はURLが送られてきてクリックをしました
ですがファイルを保存するではなく、プログラムで開くをクリックしたのですが
これでも感染はしているのでしょうか？
今はwinキー＋Rでskypeファイルを適当に消すのと
skypeツール→設定→詳細→他のプログラムから
って奴をやりました。
Skypeファイルの場合何を消していいのかわからないので、適当に消しましたが
今現在、再起動しても勝手にURLが送信されるという事にはなってません

復元はまだです。

**名無しさん＠いたづらはいやづら** · 2012/10/08(月) 11:36:12.55

>>294
LANケーブル抜くの推奨

ｓｋ · 2012/10/08(月) 11:39:43.23

ついでに参照したらこれ出たんだけど意味あるの？↓
http://www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?name=Worm%3aWin32%2fDorkbot.I&threatid=2147646554

**漆黒のダーク** · 2012/10/08(月) 11:40:40.07

ただいま、強制的にファイルをインストールされたとゆう
きました

**ゲーム放送部** · 2012/10/08(月) 11:42:47.82

EE1.exe*32確認
＞＞293　の*36ってやつは*32です