駆除覚書
revo.exe 駆除方法・・・コピーしておくウイルスに冒されているかどうかの判断デスクトップのどのファイルでも良し無ければ、マイドキュメントを開けるツール → フォルダオプション → 全てのフォルダを表示にチェック一度閉めてから、再度同じ操作先ほど、全てのファイルを表示にチェックを入れたのに隠しフォルダは表示しないにチェックが入っているウイルス感染である市販のウイルスチェックでは、削除できないから要注意USBで簡単に感染するから要注意身に覚えが無くても、感染してしまう最後に頼った教本ウィルスソフトで検知されるものとされないものがあるので感染してる場合は自力で解決するのが無難?いまのところ市販のウィルスソフトでは完全削除できてないっぽいちなみにSymantec・トレンドマイクロは一部検出するけど全部はしなかった結局残りを自力削除したし...コレはいけるという噂(試してない)ESET NOD32アンチウイルス V3.0 体験版http://canon-its.jp/download/index.htmlただし今インストールしているセキュリティはアンインストールする必要有そしてコレでもレジストリは自力復旧しなきゃいけないらしいSymantechttp://www.symantec.com/ja/jp/security_response/writeup.jsp?docid=2007-082706-1742-99&tabid=1危険度1とかなってるけどかなりウザイものであることは確か基本はオンラインゲームのIDとかパスワードを盗む感じ一回感染すると自動的にウィルスを増やしていくのが混じってるときもある中国産このウィルスに感染すると ・・・■インターネットに繋ごうにも「ページが開けません」と表示されてしまう■インターネットに接続する速度が驚異的に遅い■添付ファイルが開けない ■ドライブが開けない■隠しフォルダが表示されない■フラッシュメモリーが自動起動しない■msconfigが削除される■PCがめちゃめちゃ重くなる■マウスが動かなくなる■PCがまともに起動しなくなる etc...の症状が見られる☆駆除方法(XPの場合)(1)マイコンピュータを右クリックしてプロパティをクリック(2)システム復元のタブをクリックして「システム復元を無効にする」をチェックしOKをクリック補足:復元ファイルの中に感染ファイルを作成されているので復元ファイルの削除が目的(3)インターネットエクスプローラーを開いて「ツール」>「インターネットオプション」をクリック(4)「全般」タブの「インターネット一時ファイル」から「ファイルの削除」をクリックしポップアップから「すべてのオフラインコンテンツを削除する」にチェックを入れてOKをクリック(5)インターネットエクスプローラーを閉じる(6)Cドライブのディスククリーンアップをする(7)msconfig を起動ウィンドウズキーを押しながら「R」キーを押すファイル名を指定して実行に「msconfig」を入れてOK補足:msconfigが起動しない場合はmsconfigが削除されているのでダウンロードするhttp://www.geocities.co.jp/SiliconValley-SanJose/3220/XP-service.htm普通はココにあるはずc:\windows\pchealth\helpctr\binaries\msconfig.exe(8)mscofig が起動したら下記手順でセーフモードで再起動(9)「スタートアップ」タブをクリック中にkavo,mmvo,tavo,revoなどがあったらチェックをはずす(10)「BOOT.INI」タブをクリック/SAFEBOOT(F)にチェック>OK>再起動(11)再起動したらセーフモードで作業を続けるか確認する画面が出ますので「はい(Y)」をクリック(12)セーフモードの画面になったらウィンドウズキーを押しながら「R」キーを押すファイル名を指定して実行に「regedit」を入れてOK(13)下記の3個のレジストリの値を全て「1」に変更HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced の"Hidden"と"ShowSuperHidden"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL の"CheckedValue"補足:ココの値も一応チェック変えなくてもいいけど不安なら「B5」に値をかえるわかんない人は変えないほうがいいかもHKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Pocilies\Explorer\NoDriveTypeAutoRunこのレジストリのおもな値は次のとおり。91(0×00000091) :不明なドライブとネットワークドライブ95(0×00000095) : 不明なドライブとネットワークドライブ・リムーバブルドライブ(FD/MOなど)B5(0×000000B5) : 不明なドライブとネットワークドライブ・リムーバブルドライブ・CD/DVDドライブBD(0×000000BD) : 不明なドライブとネットワークドライブ・リムーバブルドライブ・CD/DVDドライブ・ハードディスク(14)レジストリエディタを閉じる(15)スタート>【スタートメニューが表示】>すべてのプログラム(P)>アクセサリ>エクスプローラをクリック(16)アドレスに「c:」を入れる補足:この時マイコンピュータに触らない(レジストリが元に戻るので)また,ほかにドライブが有る場合はそちらも同様に以下のチェック(15)で起動したエクスプローラの【アドレス(D)】の入力欄へ「C:」を入力し入力欄の右の【移動ボタン】をクリック → この操作により「C:」のファイル一覧が表示る(17) 一度ディレクトリに入ってから戻ると隠しファイルが表示補足:ツール>フォルダオプション>表示「システムフォルダの内容を表示する」「すべてのファイルとフォルダを表示する」にチェックが入っていることを確かめる詳細表示にして下記のファイルがないか探し出し全て削除但し,これらのファイル以外のファイル名が新たに生成される可能性有削除はシフトキーを押しながら「DEL」キーで削除(でないとゴミ箱に残る) C:\autorun.inf C:\o6mhfog.com C:\t2yev.com(Trojan.Packed.NsAnti:勝手にウィルス連れてくる人) C:\uvg.com C:\xt9.com C:\nldelect.com(ntdetect.comは正常ファイル) C:\nsdelect.com C:\rsdelect.com C:\q83iwmgf.bat C:\8e9gmih.bat C:\y3o32.bat C:\y8md.bat C:\bm.bat C:\3g08.bat C:\g2p3s.exe C:\hbs.exe C:\f.exe C:\w.exe C:\t.exe C:\g.cmd C:\rrxf.cmd C:\o0s.cmd C:\ampfrb.cmdあと怪しげな exe,cmd,bat ファイルを削除cmdは何個か出会ったけどメモるのを忘れてるのでまた見つけたら追記上記ファイルはDドライブ等がある場合はD:のルートでも探すこと C:\Windows\Prefetch\O6MHFOG.BAT-"*".pf C:\Windows\Prefetch\Q83IWMGF.BAT-"*".pf C:\Windows\Prefetch\UU.EXE-"*".pf C:\Windows\Prefetch\8E9GMIH.BAT-"*".pf C:\Windows\System32\kava.exe C:\Windows\System32\kavo.exe C:\Windows\System32\kavo0.dll C:\Windows\System32\kavo1.dll C:\Windows\System32\kavo2.dll C:\Windows\System32\mmvo.exe C:\Windows\System32\mmvo0.dll C:\Windows\System32\mmvo1.dll C:\Windows\System32\revo.exe C:\Windows\System32\revo0.dll C:\Windows\System32\revo1.dll(18)削除が終わったら,ウィンドウズキーを押しながら「R」キーを押すファイル名を指定して実行に 「regedit」を入れてOK(19)「編集」の「検索」でkava,kavo,mmvo,revoを検索して単独のキーワードになっている部分を右クリックして削除(20)レジストリエディタを閉じる(21)ウィンドウズキーを押しながら「R」キーを押すファイル名を指定して実行に「msconfig」を入れてOK(22)mscofig が起動したら、下記手順で通常モードで再起動(23)「BOOT.INI」タブをクリック/SAFEBOOT(F)にチェックをはずす>OK>再起動(24) システム構成ユーティリティのポップアップが出るので,チェックしてOK(25)起動したらエクスプローラーでフォルダを開く(26)「ツール」の「フォルダオプション」を選ぶ(27)「表示」タブを選択(28)「ファイルとフォルダの表示」の「すべてのファイルとフォルダを表示する」を選択して、OKで閉じる(29)再度,同じことをして「ファイルとフォルダの表示」が「隠しファイル~」にチェックが変わっていないことを確認補足:トロイの木馬系を連れてくることがあるのでその辺は市販のウィルスソフトで削除しておく(30)マイコンピュータを右クリックしてプロパティをクリック(31)システム復元のタブをクリックして「システム復元を無効にする」をチェックをはずしOKをクリック(32)スタート>全てのプログラム>アクセサリ>システムツール>システムの復元を開く(33)システムの復元ポイントを作成する以上で作業終了☆USBメモリ(外付けHDD,SDカード等)の駆除AUTORUNが起動しないようにシフトキーを押しながらUSBに接続cドライブと同様に,メモリの隠しファイルを見て該当のファイルを削除消してもいいものであればフォーマットすべし☆iPodの駆除AUTORUNが起動しないようにシフトキーを押しながらUSBに接続iTuneに接続させずにリムーバブルディスクとして認識させることあとは素直にフォーマットすべし☆予防◆C:などルートに「autorun.inf」という名前でファイルを作っておくフラッシュメモリー等にも作って入れておくこのファイルがあることで次に感染しそうになると「ファイルが既に存在します」というメッセージが出るので「いいえ」を選択感染してる場合は全てを削除してから作成しないと意味なし◆spybotをインストールしてTeaTimerでレジストリの書き換えを監視するhttp://www.safer-networking.org/en/ただしspybotはウィルスソフトと共存できない場合も有レジストリがなんだかわかんない場合はやらない方が無難かも