Admilli Serviceというスパイウェア

Admilli Serviceというスパイウェアに感染したようで困ってます（＞＜）

セーフモードでAD-Aware seとspybotで駆除しても何度もspybotで検知されます・・・

なんとか駆除できないものでしょうか？

ＰＣは詳しくありません。

お手数おかけしますがアドバイスお願いいたします。

No.52 回答者： noname#10679 回答日時： 2005/04/10 11:20

☆☆HijackThisのスキャンログをもう一度☆☆

通常使用している状態でパソコンを起動させて
(インターネット接続状態でも、かまいません)
Windowsの何時もの表示になってから
最初にHijackThisを使用して
(スキャン前はその他のアプリケーションの使用禁止)
通常モードのパソコンの状態を
HijackThisのスキャンログをもう一度、空いている
お礼欄、補足欄へ貼り付けてください

作業確認です、以下の部分は削除したのですか?
ここの部分は全ての削除条件が整わないと復活する
可能性が高いです
◆ide21201.vxdを直接削除して下さい
=================================================
場所　C：\WINDOWS\system32\ide21201.vxd
削除ファイル名　ide21201.vxd
=================================================

◆以下の部分について、参考情報にはある事が
質問者のパソコンから現在見つかっていない??
なぜ　なぜ　???????????????????
＞O4 - HKLM\..\Run: [Admilli Service] C:\PROGRAM FILES\ADMILLI SERVICE\ADMILLISERV.EXE

◆パソコン内の未確認部分
質問者のパソコンに関して情報を書き込み提供して
下さい。情報がないので、こちらでは以下の内容に
ついて比較検証が出来ていない部分です

☆システム構成ユーティリティーのスタートアップ情報
☆タスクマネジャーのプロセス情報

◆注　記◆
☆必要な情報に関して空いている空欄で
お礼欄、補足欄へ貼り付けてください

☆今までのANo.#1からANo.#51までに
書き込みされている情報を自分で再度確認比較、検証
して、不足している部分を整理してください

この回答へのお礼

こんにちわ、いつもありがとうございます。
Ｎｏ３７～Ｎｏ４０の補足欄へ接続状態でのHijackThisのメモ帳を貼り付けました。

＞◆パソコン内の未確認部分
＞質問者のパソコンに関して情報を書き込み提供して
＞下さい。情報がないので、こちらでは以下の内容に
＞ついて比較検証が出来ていない部分です

＞☆システム構成ユーティリティーのスタートアップ＞情報
＞☆タスクマネジャーのプロセス情報
こちらはどのような作業で判明しますか？
お手数おかけしますが教えてください。

＞作業確認です、以下の部分は削除したのですか?
＞ここの部分は全ての削除条件が整わないと復活する
＞可能性が高いです
＞◆ide21201.vxdを直接削除して下さい
=================================================
＞場所　C：\WINDOWS\system32\ide21201.vxd
＞削除ファイル名　ide21201.vxd
=================================================
ファイルの検索をしますとide21201.vxdに関するのが３つ出ます。
C：\WINDOWS\system32\ide21201.vxd
C：\WINDOWS\and settings\owner\デスクトップ\AD\
C：\WINDOWS\and settings\All users\Application Data\Spybot-Search＆Destroy\Recovery\Admiliiservice4.zip
これらが出てきます。
このなかのC：\WINDOWS\system32\ide21201.vxd
だけを削除すればよろしいですか？

お手数おかけしますが、教えてくださいませ。

お礼日時：2005/04/10 13:01

No.51 回答者： noname#10679 回答日時： 2005/04/10 01:19

>さきほど確認させて頂きました。

>ここを削除すれば大丈夫ですか？
ANo.#50を確認して下さい
現在わかっている内容を削除してから、
再度考えます

HijackThis解析結果について少し説明します
いくつかのポイントの疑問点について後で調べます
不明点については、
こちらでも解からない事があります
(パソコンについて私の技術力不足です)

今日はこれで終わりにします。

この回答への補足

こんばんわ、いつもありがとうございます。
＞◆HijackThisを使用してここは削除して下さい
===================================
016-DPF:{15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/AdultAccess/ie …
===================================
HijackThisを使用終了です

こちらは削除しまして

＞◆レジストリエディタを使用して削除して下さい
＞★windupdatesについて検索
レジストリで検索しますと「windupdatesについて検索」結果が「全てのレジストリーを検査しました」と出て
★ここにある内容を削除します
右側
(例)名前　{15AD6789-CDB4-47E1-A9DA-99ZEE8E6BAD6}
種類　REG_SZ http://static.windupdates.com/cad/AdultAccess/ie …
は表示されませんでした。
だから削除できませんでした。

その後ＰＣを切り、立ち上げて再度ネットへ繋いでｓｐｙ－ｂｏｔをしますと検知されました。。。

申し訳ありません。
また、教えてください。

ありがとうございました。

補足日時：2005/04/10 02:08

No.50 回答者： noname#10679 回答日時： 2005/04/10 01:06

☆再度書き込みます

1.パソコンをセーフモードで起動

◆HijackThisを使用してここは削除して下さい
===================================
016-DPF:{15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/AdultAccess/ie …
===================================
HijackThisを使用終了です

◆レジストリエディタを使用して削除して下さい
★windupdatesについて検索
(質問者がレジストリを検索して調べた所です)

左側
HKEY_LOCAL_MACHINE
　＋Software
　　＋Microsoft
　　　＋Code store Database←(ここの中)
================================================
★ここにある内容を削除します
右側
(例)名前　{15AD6789-CDB4-47E1-A9DA-99ZEE8E6BAD6}
種類　REG_SZ http://static.windupdates.com/cad/AdultAccess/ie …
=================================================
☆正常内容です
＋Code store Database←(ここの中)
右側
名前 ad(既定)　種類 REG_SZ データ(値の設定なし)
この内容だけです、他はこの中にありません
=================================================
レジストリエディタの使用終了です

◆ide21201.vxdを直接削除して下さい
=================================================
場所　C：\WINDOWS\system32\ide21201.vxd
削除ファイル名　ide21201.vxd
=================================================

削除作業が全て終了したら
Windowsを終了してパソコンの電源をOFF
5～10秒待ってから電源をONにして
Windowsを通常モードで起動して
消えている事をAD-Aware seとspybotで
確認してみて下さい

それからインターネット接続して
何時ものようにパソコンを使用して
再Admilli Service感染が無い事を確認して下さい

幸運を祈るだけ

この回答へのお礼

何度もほんとにありがとうございます。
いまから作業してみます。
私が不慣れで時間を要すると思いますから、おやすみになられてください。
ありがとうございます☆

お礼日時：2005/04/10 01:15

No.49 回答者： noname#10679 回答日時： 2005/04/10 00:46

☆☆HijackThis解析結果(その三)☆☆

023-Service: Justsystem\BeatJam
023-Service: Justsystem\BeatJam
023-Service: (K7EmlPxy) K7 Computing(ソースネクスト社)
023-Service: (K7FWSrvc) K7 Computing
023-Service: (K7PSSrvc) K7 Computing
023-Service: (K7RTScan) K7 Computing
023-Service: K7SpmSrc - K7　 K7 Computing
023-Service: K7TSMngr - K7　 K7 Computing
023-Service: (MrnTS_Sync5) 株式会社モーリン
023-Service: MyMedia　 Fujitsu
023-Service: PACSPTISVR　 Sony Shared
023-Service: (PUSCSRVC) Fujitsu\PowerUtility
023-Service: (putlrsrv) Fujitsu\PowerUtility
023-Service: (SBRLLA) Fujitsu
023-Service: (SPTISRV) Sony Corporation
023-Service: (SymWSC) Symantec Corporation
023-Service: VRService　 Matsushita　 Panaso

以上です

この回答への補足

すいません、いつもお世話になっております。
HijackThisの結果を調べてくださりありがとうございます。
申し訳ありません。
２０時ころから寝てしまってました＞＜

さきほど確認させて頂きました。


===================================
HijackThisを使用してここは削除して下さい
016-DPF:{15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/AdultAccess/ie …
===================================

ここを削除すれば大丈夫ですか？

お手数おかけします。
いましばらく御助言して頂けたら幸いです。。。

補足日時：2005/04/10 00:50

No.48 回答者： noname#10679 回答日時： 2005/04/10 00:43

☆☆HijackThis解析結果(その二)☆☆

08-Extra: google\GoogleToolbar2
08-Extra: google\GoogleToolbar2
08-Extra: google\GoogleToolbar2
08-Extra: Microsoft Excel エクスポート(疑問点?)
08-Extra: google\GoogleToolbar2
08-Extra: google\GoogleToolbar2
09-Extra: Program Files\Java\j2re1.4.2_05(疑問点調査中)
09-Extra: Sun の Java コンソール(疑問点調査中)
09-Extra: リサーチ　(不　明)
09-Extra: Yahoo! メッセンジャ－
09-Extra: Yahoo! メッセンジャ－
09-Extra: Messenger　 Windows
09-Extra: Messenger　 Windows

O10 - Unknown file in Winsock LSP: c:\windows\system32\k7wslsp.dll
動作している数が多すぎる ソースネクスト社の
セキュリティーソフトのファイヤーウォールが
異常検知をして防御しているかも??? 原因は不明
O10 - Unknown file in Winsock LSP: c:\windows\system32\k7wslsp.dll

===================================
HijackThisを使用してここは削除して下さい
016-DPF:{15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/AdultAccess/ie …
===================================

016- DPF: (WUWebControl Class) windows update
016- DPF: (Symantec RuFSI Utility Class)
016- DPF: (ウイルスバスター On-Line Scan)
016- DPF: (McFreeScan Class)

018- Protocol: Microsoft Office(疑問点?)

続きは次の書き込みです

No.47 回答者： noname#10679 回答日時： 2005/04/10 00:39

☆☆HijackThis解析結果(その一)☆☆

セーフモードによるスキャンについて
一つ一つの説明は省略します現在の結果のみ

02-BHO: Adobe\Acrobat 6.0
02-BHO: SpywareGuard
02-BHO: SPYBOT
02-BHO: Google Toolbar
02-BHO: EPSON Web-To-Page
03-Toolbar: EPSON Web-To-Page
03-Toolbar: google
04-HKLM: [IMJPMIG8.1] IME
04-HKLM: [PHIME2002ASync] IME
04-HKLM: [PHIME2002A] IME
04-HKLM: AGRSMMSG　(調査中)
04-HKLM: SoundMan　(調査中)
04-HKLM: [IndicatorUtility] Fujitsu
04-HKLM: [LoadFujitsuQuickTouch] Fujitsu
04-HKLM: [LoadBtnHnd] Fujitsu
04-HKLM: [LoadPUSCDaemon] Fujitsu
04-HKLM: [ezShieldProtector for Px]
04-HKLM: [IMJPMIG9.0] IME
04-HKLM: [BrightWin] Fujitsu
04-HKLM: [IRRCManager] Fujitsuリモコンマネージャー
04-HKLM: [FMVランチャー] FMV Fujitsu
04-HKLM: [EEventManager] EPSON
04-HKLM: [SunJavaUpdateSched] Java　(疑問点調査中)
04-HKLM: [K7TSStart] K7 Computing(ソースネクスト社)
04-HKLM: [K7SystemTray] K7 Computing
04-HKLM: [K7OELoder] K7 Computing
04-HKLM: [K7TSUpdt] K7 Computing
04-HKLM: [SiSPower] (調査中)
04-HKLM: [FJUPDNV_Chitose] Fujitsu
04-HKLM: [Media Access] Media Access
04-HKLM: [ap9h4qmo] (調査中)
04-HKLM: [ctfmon.exe] WINDOWS
04-HKLM: [MSMSGS] Messenger

見た事、聞いた事がある名前を載せています
(例)Fujitsu→富士通です
一部調査中、疑問点については、内容わかれば
後で書き込みます。

続きは次の書き込みです

No.46 回答者： noname#10679 回答日時： 2005/04/09 20:47

ksuzuki さんへ

アドバイスのサポート有難う御座います

xtbさんへ
お疲れ様でした
HijackThisの検査内容を確認します
しばらく時間がかかりますので今日は休んでください
結果については明日でも確認して下さい

現在において簡単に見たと所では
O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/AdultAccess/ie …
を削除します

他に原因箇所があるか確認します
しばらく待ってください

No.45 回答者： ksuzuki 回答日時： 2005/04/09 11:47

xtbさんへ＞

No.44で若干の間違いがありました。
『「Do a system scan and save a logfile」をクリックすれば、自動的に保存画面になります。』と記しましたが、保存画面になりません。自動的にメモ帳でファイルが開くだけです。開いたメモ帳のウィンドウで「ファイル」をクリックし「名前を付けて保存」をクリックしてください。これで保存画面になります。後はbastard2さんのご指示に従ってください。

No.44 回答者： ksuzuki 回答日時： 2005/04/09 02:05

bastard2さんへ＞

横入りご容赦ください。以下の2点が心配になり、ご連絡いたしております。不要な心配あるいは以下の書き込みに間違いがありましたら、御容赦ください（済みません）。

1）ご紹介のあったアダルトサイト被害対策の部屋でリンクされているダウンロード方法では、ダウンロードされるHijackThisのversionには1.99.1と1.98があります。このうちversion1.99.1では、起動すると、「scan」ではなく「Do a system scan and save a logfile」とか「Do a system scan only」と表示されます。前者をクリックすると、スキャン修了後に自動的にメモ帳が開き、さらにセーブする状況にまで至ります。xtbさんが、メモ帳の使い方もご存じないようなので、「"Scan"がない！」とか「"Scan"と書いてあるのが2つもある！」とか困られるのではないかと思い、ご連絡さしあげました。

2）SafeModeでないとHijackThisのログに現れないようなスパイウェアやウイルスもあるようなので、SafeModeで起動させてから、スキャンしてもらった方が良いのではないでしょうか？

xtbさんへ＞
HijackThisとしてversion 1.99.1をダウンロードしてください。その後、SafeMode（セーフモード）で再起動してから、HijackThisを起動し、「Do a system scan and save a logfile」をクリックすれば、自動的に保存画面になります。後はbastard2さんのご指示に従ってください。

蛇足＞
小生もこちらや他の掲示板で質問に対して回答をしております。最近は、教えてもらおうとしかせず、難しい内容を回答されるとすぐに諦めてしまう質問者にうんざりしておりました。bastard2さんのご尽力と、xtbさんの不屈の意気込みに感動しました。応援しております。
余計なおせっかいかもしれませんが・・(^^;A

この回答へのお礼

はじめまして。
ご助言ありがとうございます☆
ksuzukiさんのおっしゃるようにセーフモードで帰宅後やり直してみました。
Ｎｏ３２の補足欄から貼り付けますので、よろしければアドバイスお願いします。

＞不屈の意気込みに感動しました。応援しております。
ありがとうございます(^_-)
父に幼少時から「感謝の気持ちを忘れず」と言われてきました。
応援、支援してくださる方がおられる限り期待にそぐわぬよう頑張ります♪

お礼日時：2005/04/09 18:34

No.43 回答者： noname#10679 回答日時： 2005/04/09 00:20

◆注　意◆

ANo.#32からANo.#36までの作業を一気に
全ておこなって下さい
削除途中で再起動したり、インターネット接続は
しないで下さい
行なった場合は最初からやり直しになります

☆ネット接続のまま削除作業すると、
ネットから再度入り込まれる可能性があるので
パソコン単体となります

◆再度説明します
Scanをするとボタンがsave logに変化します
それで保存しますので(はい)をクリック
Scan log の内容を　マイドキュメントに保存する
保存すると　HijackThis.log が出来ます
それをWクリックすると記録内容が解かります

>この場合はネットへ繋いで書き込みをして、
>再度調べるんですね？
☆そうです☆
質問者が内容を判断できない場合は
こちらで判断します　安心して下さい

スキャン内容をすべて書き込み板に
コピーand貼り付けして下さい
その情報が必要です
☆☆後で、こちらで、判断します☆☆
☆☆内容を後で書き込みます☆☆
◆落ち着いて作業をして下さい

空きの欄について
補足欄、お礼欄の空きはHijackThisに使用です
書き込み板には文字数の限界があります
分割して板に貼り付けてください

今日はこれで以上です

この回答へのお礼

ありがとうございます、早速挑戦してみます。

もし操作を間違えてＰＣが使用不可能になった場合を感じましたので、この場で先にお礼を述べさせてください。（そんな事無い方がいいんですが。。。）
連日遅くまでありがとうございました。
見ず知らずの私の為に貴重なお時間を割いて頂きまして本当に感謝しております。

作業後書き込めるよう願ってますが万が一を考えました。

それでは頑張ってみます。

お礼日時：2005/04/09 00:33