コマンドプロント画面が一瞬でる件

Question

OSはWINDOWS XPでウイルスバスター2005とAD-AWAREとSpybotを使用しています。これらのソフトで検索してスパイウェアをすべて削除しましたが、
サイトを開く時にコマンドプロンプトのような黒い画面が一瞬現れて消えてしまいます。その中には、Ｃ￥なんとかと書いてありました。一瞬で見えなかったのですが、なにかバッググラウンド動いているのではと、とても不安です。どなたかこの意味と対処法をご存知の方教えてください

doki2 · Accepted Answer

>再セットアップを試みます残念でした。

私も残念ですが・・・

しかし、一般のユーザーさんにとって「再セットアップ」は最善の選択肢でもあります。
なんといっても、ご自分の知識の範囲内で処理できますし、いざとなるとパソコンメーカーのアドバイスを受けることができ、時間の節約にもなります。

ウィルスの製作者にとっても、最大の敵は「再セットアップ」なのです。

以下、ご参考までに。

１．>いくらやってもタスクマネージャが実行できません。
　
　簡単なものとしては、レジストリを使ってタスクマネージャを使えなくする方法があります。
　
　HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System 
　DisableTaskMgr=1
　
　修復：DisableTaskMgrの値を0にします。

２．Soundman.exeについて

　会社名が「Avance Logic」「RealTek」というのはありますが、「Microsoft」というのは聞いたことがありません。
　
　Soundman.exeは日本製のパソコンではあまり使われません。欧米のパソコンでは正規のプログラムとしてスタートアップで起動されている例が沢山あります。
　
　前述のようにタスクマネージャを開けない状態であれば、レジストリキーを見て「Microsoft」と勘違いされたのかもしれませんね。
　
３．「A.exe」について

　よく似た感染例が下記にあります。
　http://www.thetechguide.com/forum/lofiversion/index.php/t25567.html
　
　「Dropper.VB.kw」または「Alcan」というスパイウエアのようです。
　
　「Alcan」の修復については下記の修復例があるので参照ください。
　http://oshiete1.goo.ne.jp/kotaeru.php3?qid=1865582
　
　前回の「Alcan」とよく似ているのですが、細かい部分ではかなり変化しています。
　今回の感染では、タスクマネージャが使えないということですが、前回の例ではレジストリエディターが使えなくったようです。
　
　また、TaskLoggersのログで「wmplayer.exe」が起動されているということはおそらくWindowsMediaPlayerが改変されています。
　
４．EWIDOのスキャンログ

　起動直後の「ステータス」画面で「スキャン」を選択
　「アップデート」を選択してデータを最新の状態にします。
　「スキャン」を選択して、画面右側で、例えば、「Complete Syste Scan」を選択します。
　「スキャン」が終わると画面右下に「View　Report」ボタンが表示されます。
　この画面又は「View　Report」ボタンをクリック下画面で「レポートの保存」をクリックしないとログは保存されません。
　ログは「EWIDO」をインストールしたフォルダ内の「Reports」フォルダに保存されます。
　ファイル名は、例えば次のようになります。
　"C:\Program Files\ewido\security suite\Reports\スキャンリポート_20051106.txt"
　
結果的には、難解なウィルスへの複合感染でしたので、「リカバリ」が正解だったと思います。

doki2 · Answer

２．p2pnetworking.exeとa.exe

　2006/02/11 18:39:15,ログ開始,1612,p2pnetworking.exe,C:\WINDOWS\system32\p2pnetworking.exe,2004/10/28 03:22:46,2004/08/06 04:00:00,2006/02/11 18:39:05
　2006/02/11 18:39:43,開始　　,2100,a.exe,C:\Documents and Settings\Ryouichi\a.exe,2006/02/11 　,1612,p2pnetworking.exe,C:\WINDOWS\system32\p2pnetworking.exe,

　二つのプログラムがタッグを組んでいる可能性があります。
　「p2pnetworking.exe」が削除されても「a.exe」がそれを見つけて復活させているのかもしれません。
　
　AAA.「タスクマネージャ」のプロセス画面で二つのプロセスを終了させる
　BBB.「サービス」の画面で二つのプログラムが開始されていれば「停止」
　　「スタート」「ファイル名を指定して実行」で「services.msc」と入力して「OK」で「サービス」の画面を開いてください。
　CCC.エキスプローラで二つのファイルを削除
　DDD.「HijackThis」で下記の行に」にチェックを入れ「Fix Checked」
　　O4 - HKLM\..\Run: [] p2pnetworking.exe
　　O4 - HKLM\..\RunServices: [] p2pnetworking.exe
　EEE.パソコンをセーフモードで再起動して「EWIDO」でスキャン
　　セーフモードでなければ駆除できないので注意してください。
　FFF.パソコンを通常モードで再起動してもう一度「EWIDO」「HijackThis」「TaskLogger」のログを貼り付けてください。
　
　「EWIDO」「HijackThis」のログを「補足」欄に
　「TaskLogger」のログを「お礼」欄に貼り付けるといいと思います。

doki2 · Answer

１．SOUNDMAN.EXE

　O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

　Realtekのサウンドドライバーであれば問題ありませんが、ウィルスであれば駆除する必要があります。
　エキスプローラでファイルのプロパティを調べてみてください。
　
　http://www.sophos.co.jp/virusinfo/analyses/w32agobotex.html
　
　（続く）

doki2 · Answer

AAA.マイクロソフト正規のファイル

　C:\WINDOWS\system32\NOTEPAD.EXE
　C:\WINDOWS\system32\wuauclt.exe
　C:\Program Files\Internet Explorer\IEXPLORE.EXE
　C:\WINDOWS\system32
tvdm.exe

　これらはマイクロソフト正規のファイルです。
　しかし、ウィルスによって書き換えられることがありますので、念のため、プロパティ画面で会社名がMicrosoftになっていることを確かめてください。

BBB.ウィルス

　C:\WINDOWS\system32\p2pnetworking.exe
　
　バックドアを開き情報を抜き出したり広告を表示するウィルスです。

　Win32/Rbot.CQR!Worm, Backdoor.Win32.Rbot.rc (Kaspersky)  
　http://www.casupport.jp/virusinfo/2005/win32_rbot_cqr.htm

　W32/Rbot-AFL
　http://www.sophos.com/virusinfo/analyses/w32rbotafl.html

　このウィルスについては「EWIDO」で駆除してください。
　
　ダウンロード：ewido security suite 
　http://www.ewido.net/en/download/
　
　参考：ewido networks スキャン 
　http://eazyfox.homelinux.org/SecuTool/ewido/ewido01.html
　
　他のウィルス対策ソフトとの干渉を避けるためインストール時の「Additional Options」画面で下記の項目のチェックをはずしてインストールしてください。
　Install background guard (required for automatic updates)
　Install scan via context menu

　また、パソコンをセーフモードで再起動して「EWIDO」を実行してください。
　
　☆Windowsをセーフモードで起動する 
　http://www.higaitaisaku.com/safemode.html

CCC.不明なファイル

　C:\Documents and Settings\Ryouichi\a.exe
　
　「a.exe」というファイルについての確信のもてる情報がありません。
　
　エキスプローラで直接削除してどうなるか様子を見てください。

DDD.「HijackThis」によるスタートアップの調査

　☆HijackThisによるレポート出力と手動でのスパイウェア除去
　http://www.higaitaisaku.com/hijackthis.html

　ただし、使い方がわからずに操作すると重大な支障が発生することがあります。
　十分な知識なしに指示されたこと以外の操作をしないように注意してください。

　とりあえず以下の作業をやってみてください。

　１．「C:\HJT」と言うフォルダを作っておきます。
　　以下、このフォルダを「HJT」フォルダと呼ぶことにします。
　
　２．下記サイトから「HijackThis」をダウンロードします。
　　http://www.download.com/HijackThis/3000-8022_4-10379544.html?tag=lst-0-1

　３．ダウンロードされたファイル「hijackthis.zip」を解凍すると「HijackThis.exe」と言うファイルができます。

　４．「HijackThis.exe」を「HJT」フォルダに保存します。
　　以降このフォルダにログファイルやバックアップが保存されるようになります。
　　
　５．IEの画面をすべて閉じた後「HijackThis.exe」を起動し「Do a system scan and save a logfile」をクリック

　６．「HijackThis」の画面が開かれシステムをスキャンした結果が一覧表示されます。

　７．また「hijackthis.log」と言うファイルが「HJT」フォルダに自動的に保存されます。

　「HijackThis」の画面に下記のような行があると思います。

「O4 -」で始まる行をすべてコピーして補足欄に貼り付けてください。

doki2 · Answer

>サイトを開く時に

　特定のサイトでしょうか?　またはどのサイトを開くときも出るのでしょうか?

>コマンドプロンプトのような黒い画面が

　通常、DOSコマンドを実行すると下記フォルダが開かれ実行を終了するとコマンドプロンプトは閉じられます。
　
　C:\Documents and Settings\ユーザー名>

「TaskLogger」を使う
　http://www.geocities.jp/makikoh76425/index3f.htm
　
１．「TaskLogger」を起動すると、システムトレーに「TaskLogger」のアイコンが表示されます。
２．アイコンを右クリックして「プロセスログログファイルを開く」をクリックします。
３．しばらく待つと、メモ帳が起動され、ログファイルが表示されます。
４．最初のほうの「2006/02/10 16:44:04,ログ開始～」は、実行中のプロセスの一覧ですので、この際無視します。
５．この状態でいずれかのサイトを開いてみてください。
６．そのとき「黒い画面」が表示されれば、多分、何らかのDOSコマンドが実行され、ログファイルに記録されます。
７．一旦、メモ帳を閉じて、もう一度「プロセスログログファイルを開く」をクリックします。
８．ログファイルの最後のほうに記録されている「開始」「終了」の行をコピーして貼り付けてみてください。
９．メモ帳では「書式」「右端で折り返す」のチェックをはずしたほうが見やすいでしょう

以下、実験例です。

2006/02/10 16:54:22,開始　　,9000,cmd.exe,C:\WINDOWS\system32\cmd.exe,～
2006/02/10 16:54:48,開始　　,7796,xcopy.exe,C:\WINDOWS\system32\xcopy.exe,～
2006/02/10 16:54:49,終了　　,7796,xcopy.exe,C:\WINDOWS\system32\xcopy.exe,～
2006/02/10 16:55:03,開始　　,8340,EMEDITOR.EXE,D:\Program Files\EmEditor～
2006/02/10 16:55:25,終了　　,8340,EMEDITOR.EXE,D:\Program Files\EmEditor～
2006/02/10 16:55:28,終了　　,9000,cmd.exe,C:\WINDOWS\system32\cmd.exe,～

１行目：コマンドプロンプトを開く。（cmd.exeが開始されています）
２行目：xcopyコマンドを実行。（xcopy.exeが開始されています）
３行目：xcopyコマンドが終了。（xcopy.exeが終了されています）
４行目：プロセスログログファイルを開く。（EMEDITOR.EXEが開始されています）
５行目：プロセスログログファイルを閉じる。（EMEDITOR.EXEが終了されています）
６行目：コマンドプロンプトを閉じる。（cmd.exeが終了されています）

＊EMEDITOR.EXEはメモ帳の代わりに使っているエディターです。
＊メモ帳を使っている場合はNotepad.exeと表示されます。

うまく捕捉できない場合もありますが、一度試してみてください。

FMVNB50GJ · Answer

XPの更新・セキュリティソフトの更新がOKだとして、いったいどんなスパイウェアを削除したかわかりません。

シマンテックやトレンドマイクロのオンラインスキャンをやって、以下のサイトでステルス系のマルウェア対策のところを調べて、ブラックライトでスキャン。

http://www.higaitaisaku.com/menu5.html

中段付近。ステルス機能を持つマルウエアへの対処法 (Wiki)

それらで何も出ないならOKでいいのでは。パソコンの不具合もないようなので。
コマンドプロンプトの出現はよくわかりません。

また、日ごろの備えとして、データの保存、マイクロソフトの更新プログラムの保存をしておいたほうがいいですね。リカバリのために。

http://www.microsoft.com/downloads/search.aspx?displaylang=ja
XPならそれで検索するとたくさん出てきます。

コマンドプロント画面が一瞬でる件

>再セットアップを試みます残念でした。

２．p2pnetworking.exeとa.exe

この回答への補足

１．SOUNDMAN.EXE

この回答への補足

AAA.マイクロソフト正規のファイル

この回答への補足

>サイトを開く時に

この回答への補足

XPの更新・セキュリティソフトの更新がOKだとして、いったいどんなスパイウェアを削除したかわかりません。

この回答への補足

似たような質問が見つかりました

関連するカテゴリからQ&Aを探す

デイリーランキングこのカテゴリの人気デイリーQ&Aランキング

マンスリーランキングこのカテゴリの人気マンスリーQ&Aランキング