バックドアウイルス！？「c:tmp」

ウイルスバスター2005でC\:WINDOWS\system32\c:tmpというファイルがウイルスでバックドア型らしいのですがプログラムが既に起動中で削除しようとしてもできませんでした。
ちなみにウイルスバスターはc:tmpを隔離できませんでした。
ためしにタスクマネージャのプロセスを開いて見ましたがc:tmpは登録されていませんでした。
どうすれば削除できるでしょうか？
御回答のほどよろしくお願い致します。

No.4 ベストアンサー 回答者： doki2 回答日時： 2006/09/29 09:17

>c:tmp

１．恐らく、実体は「DLL」「OCX」または同種のプログラムだろうと思います。

２．「DLL」「OCX」等は単独では実行できません。

３．「Dll32.exe」「Winlogon.exe」「Explorer.exe」等から呼び出されて実行されます。

４．この種のファイルを削除するには「c:tmp」を呼び出している親プロセスを終了させる必要があります。

５．この操作は上級者でないと難しいので、「Unlocker」というソフトを使ってみてください。

　参考：「UnLocker」とは
　http://fine.tok2.com/home/heto2/0404Unlocker/000 …

６．インストールすると「UnlockerAssistant」がメモリーに常駐するようになります。

７．エキスプローラで「c:tmp」を削除しようとすると削除エラーの表示になります。

８．しばらく待つと自動的に「UnlockerAssistant」が起動され、「c:tmp」をロックしているプログラムのリストが表示されます。

９．「UnlockerAssistant」の画面左下のドロップダウンリストで「削除」を選択

１０．画面右下の「全ロック解除」をクリックしてファイルを削除し、「終了」を押して「UnLocker」の画面を閉じます。

１１．パソコンを再起動して「c:tmp」が削除されているのを確認してください。

１２．場合によっては、有害なファイルが復活すること等がありますので、お使いのセキュリティソフトでスキャンしてみてください。

注意１.事前に作業中のアプリケーションはすべて終了させておき、重要なデータやレジストリのバックアップを取っておいてください。

　参考：レジストリのバックアップ方法
　http://service1.symantec.com/SUPPORT/INTER/tsgen …

注意２.親プロセス「Explorer.exe」を強制終了させるとタスクバーやデスクトップアイコンが消滅する等の異常が発生しますが、パソコンを再起動で正常に復帰するので心配は要りません。

注意３.親プロセス「Winlogon.exe」を強制終了させるとパソコンがフリーズすることがありますが、その場合は、電源キーの長押しでパソコンを強制終了させた後、電源キーを押してパソコンを再起動させてください。

注意４.最新バージョン(unlocker1.8.3.exe)で、インストールエラーが出る可能性があります。

　その場合は下記のバージョンを試してみてください。

　unlocker1.8.3.exe
　http://ccollomb.free.fr/unlocker/old/

No.3 回答者： ryu-fiz 回答日時： 2006/09/28 23:46

"c:tmp"というそのファイル自体が単独で起動可能なプログラムかどうかもよく分かりませんね。

確かにexe形式のファイルが実行中でメモリ上にある場合も削除は出来ないのですが…削除が出来ないケースというのはそれ以外にもあります。

・他のプログラムがデータとして利用している場合。
・システムプログラムの一環として組み込まれてしまっている場合。

対処するためにはより詳細な情報が必要ですが…その"c:tmp"というのがどういう名称で検出されているのかが定かでないと調べようがありません。
対処しようとお考えならまずその辺をスキャンの記録＝ログ上で確認する必要があるかと思われます。

ただし…モノがバックドア、ですから、活動開始前に常駐保護が見つけてくれたのならいざ知らず、手動スキャンで見つかったと推測されるケースで既にモノはアクティブになってる、とすれば、もう各種ツールでは検出不可能な得体の知れないものが入り込んでいてもおかしくはない、と言えると思います。

はっきり言って、リカバリ推奨です。
どうしてもリカバリせずに対処したい、ということなら止めませんが…トロイの木馬は亜種も含めるとそれこそ星の数ほどの種類があり、何を使ってもその全てを把握するのは困難であることはご承知置きを。

手動での対処がまだるっこしい、という場合には、トロイの木馬に特化したa-squared Free辺りを使うと、上手く処理できることもあります。
http://www.emsisoft.jp/jp/software/free/

No.2 回答者： yoshi-thk 回答日時： 2006/09/28 23:28

検出されているウイルスの名前を補足した方が対処方法がわかるのですが。

いろいろと探してみているのですが、現状ではタスクマネージャーを起動させて、
活動しているプログラムを停止させて、レジストリを修正して「c:tmp」を削除するということになるようです。

No.1 回答者： areks110 回答日時： 2006/09/28 22:57

システム構成ユーティリティで怪しいスタートアップ設定を停めて再起動してみるか、セーフモードで再起動して削除しましょう