『トロイの木馬 c:\system volume information\』 の クチコミ掲示板

[ライトユーザ]

#私の環境は、OS:WindowsXP_Pro(SP2)でカスペルスキー2009ですが、
#セキュリティソフトの種類に関係なく参考にしていただける情報だと
#思えたため、情報共有として書き込みします。


本日(12/8)、カスペルスキー2009の完全スキャンにて、
標記のトロイの木馬を検出したのですが、駆除する動作の段になって
「駆除できません」→「処理が延期されました」となってしまいました。

検出されたマルウェアの名前は『trojan.win32,Agent,atcf』

駆除できなかった、上記マルウェアを含むファイルの場所は以下のとおり。
「c:\system volume information\_restore{(英数字羅列以下省略)」

ネット検索をかけてみたところ、「system volume info〜」とは
WindowsXP以降でヘルプとサポートにて使用できる『システムの復元』で
作成されるバックアップファイルの為、同機能を停止しなければ
このディレクトリ配下で検出された悪意のあるファイルの削除は、
マルウェアの種類を問わず出来ないとの事でした。

#つまり、マルウェアなどを内包した状態でシステムの復元ポイントを
#作成してしまっているということです。


この様な場合のウィルス駆除方法ですが、以下の方法で可能となるようです。

1.「マイコンピュータ」上で右クリックし、「プロパティ」を選択。
2.「システムの復元」タブを選択
3.『すべてのドライブでシステムの復元を無効にする(T)にチェックをいれる
4.適用ボタンを押し、復元を停止する。
　※注意(以前の復元ポイントは全て破棄されるます。)

=>システムの復元を無効化すると、バックアップファイルが削除される為、
　ウィルス自体も同時に削除されるようです。

以上の処理を実施した後に、ウィルス対策ソフトにて完全スキャンを実施し、
ウィルスが無い事を確認出来ればOKという事です。

PCに脅威が無くなった事を確認した後に、「ヘルプとサポート」で
『コンピュータへの変更をシステムの復元で元に戻す』を選択すれば、
システムの復元を有効にするかどうかのポップアップが表示されるので、
『はい』を選択する事で、今までのように自動で復元ポイント
(=システムチェックポイント)の作成がなされるようになります。

尚、先に書いた事の繰り返しとなりますが、「システムの復元」を無効化すると、
以前に作成された「復元ポイント」は全て破棄されてしまう為、
PCで頻繁にシステムの復元を利用される方は、注意された方が良いと思います。



#今回の私の場合は、12/2に行った完全スキャン後に感染し、
#翌々日のシステムチェックポイント作成のタイミングで、
#保存されてしまったようでした。
#簡易スキャンでは、検出できていなかったようです。。。

#その間、行ったPC操作は「ブログめぐり」や「メール送受信」、
#「MicrosoftUpdate」のみでしたし、Hな大人のHPなども
#閲覧していませんでしたので、マルウェア感染に驚くばかりでした。

#通常は、感染していてもセキュリティソフトの設定で、
#自動的に駆除するようにしていたりするので、感染していても
#気が付かないだけかも知れませんが。


長文となってしまいましたが、ご参考になれば幸いです。

・・・上記に間違い等を見つけられた方には、
お手数ですが訂正して頂きたくお願い致します。

書込番号：8751529