★すでに前に出してるサイト記事で対処した人は飛ばして下さってかまいません。
ウイルス・スキャンを↑簡単バージョンにしてあります。参考リンクも充実。


トロイの木馬、サーカム、マトリックスにかかっている
人が続出!
(ウインドウズ・ユーザー)

ウイルスについての役立ちリンク集
農林水産研究のサイトよりリンク許可。
スタッフ・ドクターJ&Lさん情報提供

マトリックスには亜種があります。=A〜D。
そういえば、マトリックスって映画がありましたね。面白かった!
ちなみにマトリックスの意味は「支配」だよ。

木馬って聞くと、すぐに「ガンダムのホワイトベース」を思い出すのは
30半ば過ぎ以上の年代かな…。(雑談でした)

ウイルスバスターでいまいち上手く駆除出来ない場合は、
非常に手間がかかりますが、こちらへ飛んでください。←ウインドウズMEユーザーはこちら
ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
もし、「パソの調子が悪いゾ…」や「出した覚えの無いメールがある」
という場合は、感染している可能性が高いです。
これ読んで、あ!と思った人は、このページを開けたまま
接続を切って状況をお読みになって対処ください〜〜。

マイクロソフトでは、インターネット上に流布している「Worm.Explore.Zip」と
呼ばれるウィルスが、多数の電子メールユーザーに影響を及ぼしていることを
認知しました。

このウィルスは、電子メールに添付されたファイルの中に含まれ、
このファイルが添付された電子メールの本文は、受取人の知人によって
書かれたかのように見せかけられています。


又は、

件名:SirCam

 本文:

"Hi! How are you?

I send you this file in order to have your advice

See you later. Thanks"

 添付ファイル名:SirCam.doc.com


2001年7月23日に出所IPの別な私のメールで、感染したものが多数の方に送られていました。

それ以外でも、スパムが多く(特に女性店主)みられるようになりました。そこで、
「機械式時計研究会」が関係しているのではないか?と心配し、調査のために
私もソースとヘッダーを入手し、捜査を開始しました。

マトリックス、トロイの木馬、サーカムという種類のウイルスが広がっていました。

ところが、颯爽(さっそう)と捜査に出たはずの私も、トロイの木馬にウインドウズの
MS-IME98の辞書が破壊されてしまい、24日に自分も感染したことを発見しました。
(まさに、バカ!)

この記事は、自分が感染してすぐに起こしたものです。
今回のものは、わりと手順が簡単です。これを機会に勉強しましょう〜。

それにしましても、気をつけないといけませんですね…。(私はすでに駆除済です)

なんといいましても、トロイの木馬や今話題のサーカムのワームと呼ばれる
自己増殖型ウイルスの怖いのは、感染しますと、本人の知らないところで、
勝手にメールが発信されてしまうこと
です。
トロイの木馬は、マイドキュメントやアドレス帖をはじめ、パソコン内のメールアドレスを探して
文章も取ってしまい、それを発信します。(私の場合は’99年の契約書が送られていました)。

本人には気がつかせず、症状としては自動的に切れる回線が切れなかったりと
さりげない現象しか起きません。気がつくきっかけは、友人知人などから、送ったはずの無い
「英語のメール」が送られてきたけど…とか、ファイルって何が入ってるの?とかを聞く時です。

私の場合、HTMLやファイル付でメールを送ることは1年に数回あるかどうか…ですので
「やられた!」と分かりました。(通常はサイトにアップして、テキスト形式で
アドレスを送って「見てください、どうですか〜」というパターンです。)


対処の仕方!

自分が出した記憶がないのに、他の方から「英語じゃわかんない!」という意見を聞いたら、
確実に感染しています。

@時間稼ぎには=アドレス帖、マイドキュメント(ブリーフケースなどに中身を転送)を空にします。
ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
まずは、ウイルスにかかっているかどうかの検出をします。

ウイルス感染チェック

このページでスキャンしてください。自動でセッティングされます。
1、

質問がありましたので、解説します。

1をクリックします。出てきたページの右のバーを真中ぐらいまで下げますと、
自動的に自分のパソコンとスキャンが接続するようになっています。
最初は時間が長くかかりますので、「フリーズか?」と思ってしまいますが、
じっとお待ちください。バーは動かせません。

自分のパソコンの中を接続され、内部が抽出されますと、バーも動くようになります。

ページの下の窓(検索ボタンがあって、自動駆除とかあるやつです)に、自分の
パソコンの中身である、マイコンピューターなどが出ています。+や-、も見れます。
マイコンピューターに印を付けて(全部に印が入りますので)、検索ボタンを押してください。

チェックが始まります。自動駆除に印をつけてもOKです。
全工程で環境によりますが、5〜10分と思います。
ウイルスに感染していなければ、なにも表示されませんが、出ましたら2番へ進んでください。

2、なんらかのウイルスに感染していれば検出があります。
(トロイの木馬なら5つぐらいのファイルが感染として残ります。)

マトリックスなら2つ。マトリックスならウイルスバスターで駆逐しましょう。
それで終わりです。

3、2の最後で、感染しているファイルは表示されていますので、右にある削除ボタンを、おします。
とりあえず、これでウイルスに感染したファイルは無くなりました。
(この後で、コンピューターを再起動して、もう一度、1、の検出作業をしてみます。
なければOKです。)

4、2で壊してしまったファイルの修復をやります。ダウンロードします。簡単ですよ〜。


5、今流行りの類似ワーム:サーカム駆除はこちらです。
http://www.symantec.com/region/jp/sarcj/data/w/w32.sircam.worm@mm.removal.tool.html
ダウンロードして、チェック・駆除するだけです。


ご注意!あせらないこと!

誰にでも、感染の危険性はあります。慣れるというのも変ですが、落ち着きましょう!

感染したときは、パニックになって、作業中に他の必要なものを削除してしまったり、
プログラムを壊してしまったり、しがちです。

もしも、作業の失敗で、パソの動作がヤバイとなったら・・・。

プログラムを破壊してしまったり、何処をどういじって動作不良になってしまったか
分からない場合は、思い切って、ウインドウズなどの再インストールを行いましょう。

上書きバージョンでやります。アンインストールで消してやるインストールですと、
バックアップを取っていない情報は消えてしまいます。ご注意を。バックアップを
取っていれば、よりOKです。

念のため、顧客名簿をプリントアウトで打ち出しておきましょう。

最悪、コンピューターが動かない!!

一からやることになりましたら、「もう一度サイトを作らなければいけない〜」とか、
ご心配なく。ホームページ(サイト)は、ビルダーなどを使用して、ネットから
「ファイル転送」で取りこめますので、だいじょうぶです!

これまた、上書きの再インストールをしましょう。

再インストールの場合は、ウイルスも生きていますので、復帰後にネットに接続、
上の手法で感染ファイルを削除、修復します。

他の影響

一応、報告があったのは、MS-IME98の日本語辞書が動かない・・・ということ。
辞書の再構築で復帰できました。(さくだいおうも)


ニムダッッ

なんにせよ、ウイルスバスターなどのウイルス駆除・予防ソフトを入れていて、
毎日最新バージョンにアップし、セキュリティーは中以上、ファイル付きメールは
友人知人だろうと、開けないこと
をしていれば、どんなウイルスだろうと楽勝です。
アウトルック・ユーザーは、ニムダの場合、小窓ビューもせずに速攻で削除だ!)

小窓ビューでも感染するらしいので、この点のみご注意を…。

あ、そうそう。愛知県は日進市。役所のパソにサーカム君9月20日感染して、
役所50台のパソに次々と感染、役所書類をコピーして外へ出る前に
管理会社のサーバーでせき止められたとの事。

ある職員がファイル付きのメールを開けちゃったんだって。しかも、ウイルス駆除ソフトすら
入れてなかったらしい…。予算の削減というか、税金は必要なところにはつぎ込もうネ。
それにしても、今ごろ、何をやっているんだか…。
サーカムは、もう古いぜ!!今の時代はニムダッッ君だ!
ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
(掲示板にて…@転載許可前の一時サンプルとしてアップです。)

予防法基本:情報提供吉田さん「ちいさな袋屋さん」

・アウトルックやインターネット・エクスプローラの「アクティブスクリプト」を無効にする。

【やり方】
「ツール」メニューの「インターネットオプション」を選択し、「セキュリティ」タブをクリックして、
「レベルのカスタマイズ」 を選択する。「スクリプト」の中の「アクティブスクリプト」設定を
「無効にする」 に変更する。この処理を、「インターネット」、「イントラネット」、
「信頼済みサイト」、「制限付きサイト」の4つのゾーンで個々に行なう。

ご説明:
ウイルスも含め、ネットサーフィンの基本的なあれこれ(勝手にダイヤルQ2接続等)の予防は
JAVA類、クッキー類を全て無効にしておくのがお勧めです。さくだいおう

ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
Symantec Security Responseは、W32.Nimda.A@mmの被害報告が
数多く寄せられていることから、このワームの危険度を4と評価します。

W32.Nimda.A@mmは、多数の感染方法を持つ新しい大量メール送信のワームです。
ワームは電子メールで自分自身を送り、有効なネットワーク共有を捜して、
修正プログラムが適用されていないMicrosoft IIS Web サーバ
ワーム自身をコピーしようと試みます。
また、ローカルおよびリモートネットワーク両方にあるファイルに感染するウィルスでもあります。

このワームはUnicode Web Traversal Web (Web サーバーフォルダへの侵入)と呼ばれる
セキュリティホールを使ってこれを行います。

メールとしてワームが届いた場合、ユーザがそのファイルを読むかプレビューするだけで
ワームはMIMEの脆弱性を使ってウイルスを実行します。

W32.Nimda.A@mmは、修正プログラムが適用されていないIIS Webサーバに感染を試みます。
Microsoft IIS 4.0および5.0では、Webフォルダ構造を含む論理ドライブ上の
任意のフォルダに移動してそのフォルダ内にあるファイルにアクセスするURLを
構築することが可能です。
ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
↑コピペFromここ
ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
まずは、ウイルスにかかっているかどうかの検出をします。(木馬やサーカムと一緒だよ)

このページウイルス感染チェックでスキャンしてください。自動でセッティングされます。
右上をクリックします。出てきたページの右のバーを真中ぐらいまで下げますと、
自動的に自分のパソコンとスキャンが接続するようになっています。
最初は時間が長くかかりますので、「フリーズか?」と思ってしまいますが、
じっとお待ちください。バーは動かせません。

自分のパソコンの中を接続され、内部が抽出されますと、バーも動くようになります。

ページの下の窓(検索ボタンがあって、自動駆除とかあるやつです)に、自分の
パソコンの中身である、マイコンピューターなどが出ています。+や-、も見れます。
マイコンピューターに印を付けて(全部に印が入りますので)、検索ボタンを押してください。

チェックが始まります。自動駆除に印をつけてもOKです。
全工程で環境によりますが、5〜10分と思います。
ウイルスに感染していなければ、なにも表示されませんが、
出ましたら対処ページへ進んでください。対処ページはここから探してネ!


参考

代表的ワームであるトロイの木馬ウイルス詳細情報

ウイルス名: TROJ_SIRCAM.A
別 名: SIRCAM, SIRCAM32, W32.SIRCAM..WORM@MM
言 語: 英語、スペイン語
ウイルス種類: トロイの木馬型(ワーム)
プラットフォーム: Win9x
暗号化: No
ウイルスサイズ: 137216bytes
発見日: 2001年7月17日
遭遇の可能性: 高い
対応パターン#: 917
発病条件 1: ファイル実行時
破壊活動 1: メールを自動送信する
破壊活動 2: ファイルを作成する

詳 細: -
 これはワームに分類されるトロイの木馬型不正プログラムです。自身のコピーをメールに添付して任意の宛先に送信、ネットワーク上で自己増殖するワーム活動を行います。またネットワークドライブに対して自身をコピーする活動も行います。

活動:
 ワームはメールに自身のコピーを添付してネットワーク上で頒布します。メールに添付されるワームのコピーにはメール送信を行ったマシン内の「マイ ドキュメント」フォルダから無作為に選んだDOC、XLS、もしくはZIPファイルがマージされています。ファイル名はマージしたファイルのファイル名に.lnk、.pif、.com、もしくは.exeの拡張子をつけたものになります。

 例:SirCam.docをマージした場合 = "SirCam.doc.com"

 そして、メールの件名はメールの添付ファイル名から拡張子を除いたものになります。

 メール本文には英語版とスペイン語版があります。本文の最初と最後のセンテンスは固定で間に入るセンテンスがいくつかの候補から無作為に選ばれます:

・スペイン語の場合:
1行目:Hola como estas ?
最終行:Nos vemos pronto, gracias
間の行の候補:
 Te mando este archivo para que me des tu punto de vista
 Espero me puedas ayudar con el archivo que te mando
 Espero te guste este archivo que te mando
 Este es el archivo con la informacion que me pediste
    
・英語の場合:
1行目:Hi! How are you?
最終行:See you later. Thanks
間の行の候補:
 I send you this file in order to have your advice
 I hope you can help me with this file that I send
 I hope you like the file that I send you
 This is the file with the information that you ask for

メールの例:
 
件名:SirCam

 本文:
"Hi! How are you?

I send you this file in order to have your advice

See you later. Thanks"
 添付ファイル名:SirCam.doc.com

註:上記はあくまでも例であり特に件名、添付ファイル名は不定ですのでご注意ください。

 メールに添付されてユーザーのマシン内に侵入したワームは実行されるとマージしたファイルをオープンしてユーザーの目を欺き、その裏では以下の要領でマシンのシステムを改変します。

1)以下のファイルを作成します:
・Windowsのシステムディレクトリ(Windows9xのデフォルトではc:\Windows\system)
 "SCam32.exe"
 "SCD.dll"
 "SC??.dll"(「?」はランダムな一文字。ファイル名例:SC11.dll、SCW2.dll)

・C:\Recycled ディレクトリ
 "SirC32.exe"
 <メール添付に使用するワームファイル>
 
 ワームが作成するファイルのうち、"SCam32.exe"と"SirC32.exe"は単純なワームのコピーです。"SC??.dll"、"SCD.dll"は実際にはデータファイルです。
 <メール添付に使用するワームファイル>は潜入したマシン内の「マイ ドキュメント」フォルダ内から拡張子がDOC、XLS、ZIPのファイルを一つ選んで自身のコピーにマージしたものです。ファイル名は前述のようにオリジナルのファイル名に.lnk、.pif、.com、もしくは.exeの拡張子をつけたものになります。

2)Windowsのレジストリに以下の値を追加します:

 場所:HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
  値:Driver32 = "C:\Windows\System\Scam32.exe"

 これにより、Windows起動時にワームが自動起動されるように設定されます。

 また、以下のレジストリの値も改変します:

 場所:HKEY_CLASSES_ROOT\exefile\shell\open\command
  値:C:\Recycled\SirC32.exe "%1" %*

 これにより、拡張子.exeのファイルを実行すると同時にワームも起動されるように設定されます。またこのシステム変更の影響によってアプリケーションの実行に支障をきたす場合があります。

 また、ワーム活動の設定を記録するため、以下のレジストリキーも作成します:

 場所:HKEY_LOCAL_MACHINE\Software\SirCam

 このキーにはワームがメール送信に使用するメールサーバーのURLと送信者のアドレス、ワーム活動のために利用したオリジナルファイルのファイル名とフルパス、ワームの起動回数、などの情報が保存されます。

 ワームは最終的にシステムに常駐し、ワーム活動を行います。
・メール送信:ワームはWindows標準のメールクライアントのアドレス帳とローカルドライブ内のhtmlファイルを調べてメールアドレスを取得します。取得したメールアドレスは"SCD.dll"に記録し、自身のコピーを添付したメールを送信します。ワームは予め設定されたメールサーバーと送信者を使用してメール送信を行いますのでユーザーが使用しているメールクライアントに送信記録などが残ることは有りません。

・ネットワークワーム:ワームは侵入したマシン上で割り当てられているネットワークドライブに対し、書き込みが行えるかどうかを調べます。書き込み可能なネットワークドライブがあった場合、その"Recycled"ディレクトリに"SIRC32.EXE"のファイル名で自身のコピーを作成します。このファイルは隠し属性で作成されます。すでに"Recycled"ディレクトリに"SIRC32.EXE"というファイルが存在した場合、ワームはそのドライブには既に感染済みと判断してこれ以下の活動は行いません。

 次に、ネットワークドライブ内にDOSの設定ファイルである"Autoexec.bat"があった場合には以下のコマンドを追加します:

 @win \recycled\sirc32.exe

 これにより、コピーが行われたマシン側でも次回以降のシステム起動時にワームが自動実行されるように設定されてしまいます。

 また、ネットワークドライブ内に"Windows"フォルダがあった場合には以下の活動を行います:
1)Windowsフォルダ内の"RUNDLL32.EXE"を"RUN32.EXE"にリネーム

2)Windowsフォルダ内に"RUNDLL32.EXE"のファイル名で自身のコピーを作成

 これにより、Windowsのシステムファイルである"RUNDLL32.EXE"がワームに置き換えられてしまいます。"RUNDLL32.EXE"が呼び出されるような作業を行った場合、再起動せずともワームが活動を始めることになります。

備 考: 一個のプログラムなので駆除は行えません。検出した場合はファイルごと削除してください。

 すでにワームを実行してしまいシステム改変が行われてしまっていた場合やネットワーク越しにワームが侵入していた場合にはすべてのEXEファイルがワームと関連付けられてしまいます。改変されたシステムは以下の方法で修復する必要があります。
注意:ワームはネットワーク越しに拡散するのでワームが侵入したマシンはけしてネットワークには接続しないでください。可能であればWindowsをSAFEモードで再起動してから以下の手順を行ってください。


・手動削除手順:

1)Windowsディレクトリ内に"RUN32.exe"が存在するか確認してください。存在する場合、"RUNDLL32.exe"を削除し、"RUN32.EXE"を"RUNDLL32.exe"にリネームしてください。

2)Windowsのシステムエディタ(SYSEDIT.EXE)などを使用して"AUTOEXEC.BAT"内の記述を確認します。以下の記述がある場合は削除してください:

 @win \recycled\sirc32.exe


3)Windows上でMS-DOSプロンプトを起動します。

4)DOSプロンプトからDOSコマンドでWindowsのレジストリエディタ(regedit.exe)の拡張子を.comに変更してコピーします。Windowsのレジストリエディタは通常Windowsディレクトリ(Windows9xのデフォルトではc:\Windows、WindowsNT/2000のデフォルトではc:\Winnt)にあります。

コマンド例> copy c:\windows\regedit.exe c:\windows\regedit.com

5)「スタートボタン」の「ファイル名を指定して実行」の機能で2)の手順でコピーしたレジストリエディタのファイル名を入力して実行します。

 入力例: c:\windows\regedit.com

 これでWindowsのレジストリエディタが起動されます。

6)起動したWindowsのレジストリエディタを使用して以下のレジストリの値を削除してください:

 場所:HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
  値:Driver32 = "C:\Windows\System\Scam32.exe"

 また、以下のレジストリの値を以下のように修正してください:

 場所:HKEY_CLASSES_ROOT\exefile\shell\open\command

 修正前:C:\Recycled\SirC32.exe "%1" %*
  ↓
 修正後:"%1" %*

7)再起動を行い、ウイルス検索を行ってウイルス検出したファイルをすべて削除してください。可能であればSAFEモードで再起動した方が安全に削除が行えます。

−−−
 ワームは自身のコピーの拡張子を「.lnk」にする場合がありますが、Windowsでは拡張子「.lnk」はショートカットを表すためファイルをダブルクリックしても実行されません。したがって拡張子「.lnk」の場合にはウイルスが活動する心配はありません。また、ウイルス対策製品では実行不可能な拡張子のファイルを検索対象から外している場合があり、拡張子「.lnk」のファイルからはウイルス検出されないことがあります。拡張子「.lnk」の状態では直接的にウイルスが活動することはございませんのでご安心ください。



戻る