アゴボットパイレーツ
昔に書いた記事をもう一度掲載するときは嘘でも何でも古い日付に再掲載するようにしてたんだけど、これは結構気にしてる人が多いようなので大嘘だけど最新の日付に。
本来これは2004年12月06日に書いたものです。
どうやらウィルスに感染していた模様。
感染推定日は12月04日、再インストール直後に感染した可能性が高そうです。*1
ウィルス名は「PE_PARITE.A」、ワーム型で、実行形式のファイルに感染しますが、基本的にネットワーク経由での感染はありません。*2
症状はというと、実行すると別のウィルス「DOS_AGOBOT.GEN」をシステムファイルに感染させて、ウィルス対策サイトを見えなくしてしまうが、特に破壊活動はなし。
で、「PE_PARITE.A」に関して、ウィルスバスターが、「ウィルス駆除しました。ご安心ください。」と。
しかしその直後、「DOS_AGOBOT.GEN」を発見、と。
「隔離しました。ご安心ください。」って言われたって、たった今ウィルス駆除したばかりのそのファイルが今のウィルスを感染させたのであって、元凶が根本的になくならない限り何度でも感染する、と。
状況を整理しますと、
- あるウィルス(DOS_AGOBOT.GEN)を感染させるプログラムがあり、そのプログラム自身も別のウィルス(PE_PARITE.A)に感染している。
- 「PE_PARITE.A」と「DOS_AGOBOT.GEN」は駆除するが、「PE_PARITE.A」を感染させるプログラムは放置される。
- 「DOS_AGOBOT.GEN」は必要なファイルなので隔離されると困る。
というわけで、ウィルスバスターが当てにならないので手動駆除。
まず、元凶となるプログラムを削除。
レジストリエディタで、そのプログラムのファイル名を含むキーを削除。
ウィルスバスターのリアルタイムは邪魔なので一時的に切る。*3
「DOS_AGOBOT.GEN」に感染したファイルを開き、ウィルス対策サイトのURLを含む行を全部消す。
今後変更する予定がないのなら上書き禁止にする。
ちなみに、「DOS_AGOBOT.GEN」の動作原理は、ウィルス対策サイトのURLにアクセスしようとすると自分のコンピュータにつながるように設定する、と。
くどいようですが、ネットワーク経由での感染はないのでご安心を。
どうしても気になるなら「C:\Documents and Settings\All Users\Documents\update32.exe」、「C:\Documents and Settings\All Users\Documents\setup32.exe」、「C:\WINDOWS\system32\drivers\etc\hosts」の３つを削除。
