悪質なTengaウイルス dl.exe
maznaga
さん
11/14/(Fry) 22:25"
[] 無線LANでファイルサーバー(HDD)を便利に使っています。このファイルサーバを介して部屋ごとのノートパソコンが無線でつながっていて、写真でもホームページでもプログラムでもそれがポータブルならどこからでも使えるのです。ところが親のワークステーションがウイルスに感染しました。dl.exeを称するDOS窓がポップアップしてきて外部インターネットが一切効かなくなるのです。大抵のウイルスはregeditで調べれば起動元がわかって立ち上げだけは殺せるのですが、このdl.exeはレジストリーに痕跡を残していません。
ネットで探すとレジストリーからの駆除方法が見つかるのですが今回は該当しないのです。どうやら名前を変えて感染しそれが動き出すとネットを占有し、自分の仲間を増やすようにできているようです。親のワークステーションはレジストリーからの回復をあきらめて一週間ほど前にバックアップしておいたものからリカバリーをかけました。所がファイルサーバのポータブルソフトを起動したためかノートPC2台が次々とdl.exeにやられてしまいました。
丸二日悪戦苦闘していましたが英語の検索で下記が見つかりました。
駆除の手順は以下(WinXP)。
1.AVASTを手に入れる
2.マイコンピュターを右クリックして現れたダイアログでシステム回復をオフにする
3.再起動しmsconfigをファイル名を指定してスタートアップタブで全てを起不可にする。
(これは再ジェネレーションとウイルスの活性化防止のために実施)
4.全スキャンを実施。
5.スキャンでひっかったものを全て削除した。圧縮ファイルなどでエラーがでたものは手動で削除。
6.全部削除した後で念のため再スキャン。
これで再発しなくなった。
どうもdl.exeは一種類ではないらしい。というのは今まで探し出した駆除に関する記述はこの症状に該当しないから。
参考:http://forum.avast.com/index.php?action=printpage;topic=328567.0
そして日本語サイトにもありました。
http://pcmemoofdkuro.blogspot.com/2008/04/lan.html
いわく、無線LANに暗号化をかけること。かけておかなかったらTenga Aウイルスが4回も
飛び込んできた。これに感染するとhttp://utenti.lycos.it/[***]/dl.exeへ接続を試み
実行ファイルに次々と感染します。http://[***].users.freebsd.atへも接続し54321ポートで
感染した端末をオープンします。
Tenga.Aはウインドウズファイル防御を無効にしgaelicumという自分のモニターを走らせます。
Virus Security Zeroのおかげで隔離されたからよかったけど実効ファイルが4つも消えてしまった由。
以上、当然ブラウザーにもメーラーにも感染しているだろうからリカバーは再インストールしかないみたい;;
そして感染ファイルはどうやら便利にしていた無線LANにつながっているファイルサーバにあるようです。一台のPC(WinXP)は画像のポータブルソフトのを起動したときもう一台のPC0(win200)は同じポータブルのエデターrを起動したときに感染したときか;;
そして同じポータブルのClamWinを動かしてportauleソフトを検索したときに多数のウイルスが見つかっていますが、そのClamWin自体も感染していた気配があるので、要はファイルサーバのポータブルソフト全てを疑う必要があるようです;;
幸いワークステーションは1週間前にデスク全部のバックアップを取っておいたのでそこまではリカバーできたけど、2台のX30はDtoDないしリカバーCDを使って初期状態から立ち上げるかしかない。ああしんど;;