どるこむ仲間の掲示板! 過去ログ倉庫 LOG:2002/02:
●2002年02月インデックス ●過去ログ検索トップ ■どるこむ仲間の掲示板へ
[5664] ゴリラがやってきた!? (10 レス)
2002/02/23(Sat) 16:40:48
Tambo さん
Web: (none)
友達の会社のパソコンなんですけど、時計の左やブラウザの右上だったか、左上だったかに突然ゴリラがやってきたって言うんです。
Windows Me、IE 5.5です。
なんでも会社の別のひとがOE 5.5とか一太郎をいじっていたら、いつの間にかIEが立ち上がって、その直後にMcAfee VirusScanが警告を発したそうです。
で、怖くなってMcAfee VirusScanを終了してしまったようで(汗)
その後、勝手にダウンロードを始めて、気付いたらゴリラが住み着いていたそうです。。。

調べたら
ttp://www.bonzi.com/bonzibuddy/buddy/bonzibuddyfreecom.asp
につながってしまったようです。

ゴリラ自体はC:\WINDOWS\SYSTEM\COMETを作って、そこにインストールされていました。
セーフモードでもWindowsが使っていると言われて削除できなかったので、FD起動でC:\WINDOWS\SYSTEM\COMETを削除して退治しました。C:\WINDOWS\TEMPにも残骸が残っていたので一緒に削除しました。

とりあえず一件落着したんですが、どうやって上のURLにつながってしまったのか分からないと言うのです。
OEをいじってたときのメールを転送してもらってんですが、一太郎ファイルが添付された普通のメールでした。

こんな経験があったり、心当たりがある方はいらっしゃいませんか。

1. MSR 2002/02/23(Sat) 17:15:44
ぞのゴリラ見てみたい気もしますが
実害は有るのでしょうか? 気になる(事が多いです。

2. redwood 2002/02/23(Sat) 17:32:29
上のアドレスに飛んだら、自動でインストールが始まりました。ZoneAlarmが食い止めてくれたのでインストールされずに
終わりましたけど・・・。確かにゴリラだ。何かのデスクトップキャラクタの類みたいですね。
悪ティブX切って飛べば何にもなさそうです。
#因みに私の環境では、「C:\program Files\BonziBUDDY」にインストールしようとした形跡がありました。

3. YOU。 2002/02/23(Sat) 18:33:06
>セーフモードでもWindowsが使っていると言われて削除できなかったので
恐らく、Windowsの使用する某.iniファイルにrun=xxxx.exeとか書いているのではないでしょうか。
この場合、実行ファイル名を見つけて、run=xxxx.exeとか書かれている部分を削って再起動すると、削除可能になるようです。

4. YFUJI 2002/02/23(Sat) 18:37:01
bonzibuddyは直接的にはウィルスではないんですけどもー。
まぁ、勝手に「ユーザーの好みに合いそうなページ」を表示したり、そこの中を喋り上げてみたり。
セールストークばっかでウザいらしいですけども。

http://www.nai.com/japan/virusinfo/virD.asp?v=Dlder%20Application

>ZoneAlarmが食い止めてくれたのでインストールされずに
まぁ、何も入れて無くてもIEが「インストールするか」と訊いてくるところで「いいえ」選べば済みますね。
なんかトラップでも仕掛けてあるのかと思ったのに残念。(ぉ

# しかしVeriSign署名付きとは恐れ入った

5. Pico_Chan 2002/02/23(Sat) 18:48:00
我輩のIE6は、インターネット・セキュリティをデフォルトで「高」にし、「プラグインとActiveXの実行」は有効(!)にして「安全だとマークされているActiveXの実行」は有効、その他は無効にしています。
「高」のままでは、pdfも開けないのでこうしてます。

さて、この状態で件のサイトに行くと、「このセキュリティ設定では実行されない」という警告ダイアログボックスが出るだけで、何の被害も出ませんでした。
なんにせよ、用心が肝要かと。

6. かげまる 2002/02/23(Sat) 23:08:34
「コレ、エッチなQ2ソフトの仕組みと同じですよ」・・と言えば二度とやらないと思います。

7. Tambo 2002/02/23(Sat) 23:27:31
どもですっ。

ChgでScriptとActiveXとJAVAを切ったWindows 2000、IE6で行ったら、インストールして実行しますかと聞かれたのでいいえをしました。
Downloadでダウンロードしてダブルクリックまではやったんですがそこでやめました(^^;

>恐らく、Windowsの使用する某.iniファイルにrun=xxxx.exeとか・・・
システム設定ユーティリティでスタートアップを全部実行しない(セリフは自信なし(^^;)にしてもダメだったみたいなんです。システム設定ユーティリティじゃ某.iniにも影響しないんでしたっけ(汗)

http://www.nai.com/japan/virusinfo/virD.asp?v=Dlder%20Application
助かりました。McAfeeのサイトにあったんですね。
ファイルとレジストリ エントリを削除するように言っときます。

8. Tambo 2002/02/23(Sat) 23:41:11
>「コレ、エッチなQ2ソフトの仕組みと同じですよ」・・と言えば二度とやらないと思います。
それはうまい作戦ですね。
怖がると思います(笑)

9. YOU。 2002/02/24(Sun) 00:53:23
システム設定ユーティリティが「窓の手」でしたら、c:\windows配下の某.iniは見てないはずです。
確か、HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\ CurrentVersion\Run\xxxx.exe以下は見ているはずですけど・・。
他のは使ったこと無いので分かりませんです。

うーん、マカフィーのサイトを見る限り実行ファイルのあるパスが違うような。
バージョンが違う、とか。

10. Tambo 2002/02/24(Sun) 14:57:45
>システム設定ユーティリティ
Windows Me標準のmsconfigです。
確認したら、スタートアップ云々の他に「某.INIファイルを実行する」と言う選択肢もありました。
ってことで片手落ちだったようです(^^;
こんなことなら素直にsyseditもしてもらうんだった。。。
改めて見てもらいます。ありがとうございます。

と思ったら、Windows Meにはsyseditはないみたいですね(汗)
メモ帳で編集してもらいます。


▲ページの先頭へ