うは・・・W32.Randex.genからのアクセスがものすごく多い

web PC

このBlogには、W32.Randex.genについての詳細情報は記述してありません。ご了承ください。

稚拙な知識で申し上げますと、このウイルスはW32.Randexと呼ばれるウイルスの亜種を、一般的に総称してW32.Randex.gen（genはgeneral：一般の意）と呼んでいるものです。
ここ
http://securityresponse.symantec.com/region/jp/sarcj/data/index/w.html
をご覧ください。W32.Randex.AD、W32.Randex.ARなど、さまざまな亜種が存在していることがお分かりになるかと思います。


このSymantecに書いてある駆除方法は、結局、ウイルス定義ファイルを最新のものにして、セーフモードで起動し、全ファイルをウイルススキャンしろ、というものです。


ここからは自分自身の見解なので、自己責任で判断していただきたいのですが・・・。
実際、このウイルススキャンで検出され、全部駆除されたとしても、例えばその後Norton Internet Securityなどで「リモートアドレスどこどこからトロイの木馬攻撃を受けた」という警告があまりに頻繁に起こるなら、まだ少し注意した方がいいのかもしれません。W32.Randex.Dのようなものもあるようですので・・・。


ともあれ一般論的な総括になりますが、注意するに越したことはない、かと。
最悪、Nortonをお使いの方は
http://service1.symantec.com/SUPPORT/INTER/entsecurityjapanesekb.nsf/jp_docid/20020331233922949?open&prod=&ver=&pcode=&src=&miniver=&tpre=jp&prev=&dtype=
ここからサンプルを提出してみてもいいかもしれません。


しかし、これだけアクセスが多いということは、亜種が大量に走り回っているのかもしれないですね・・・。


※追記
感染していた自分のＰＣは、Norton先生は感知してくれませんが、正直なところまだ感染している気がします。

・・・ということで調べてみたらば・・・・まだ感染してるかもorz

以下は、ご自身の責任でお試し下さい。
以下の内容をいじくったら動きがおかしくなった、等があっても、責任は一切とりません。
ファイル名を指定して実行、からregeditを実行し、レジストリエディタを起動する。
次のキーを調べてみてください。

ここにファイルのパスや、パスの通っているファイルの名前を記述すると、Windowsが起動したとき、そのファイルを自動的に実行するようになります。

自分のＰＣのキー見てみたら・・・あからさまに怪しいキー発見・・・。
"metalrock has sex with camels" = "ranger.exe"
なんじゃこりゃぁぁぁ！！

このキーの名前の部分を検索してみると、英語版のSymantecＨＰにある、W32.Randex.F、のページに引っかかりました。こいつかぁ。
ここで問題なのは、日本語版のSymantecの、ウイルス辞典のW32.Randex.Fの項目のところには、この名前は記載されていないんだよなぁ。
結構、いい加減なところがあるのですネ。

ということで、このウイルスとその亜種が追加しうるキーを、Symantec社のウイルス辞典から引用し、テキトーにピックアップしてみましょう。かなり長くはなりますが。そして、以下以外の、Symantecがまだ載せていないキーがある可能性も、当然あります。

  • "System Configuration"="%System%\iexplore.exe"
  • "Microsoft UPDATER32"="%System%\lsass.exe"
  • "Microsoft Internet Firewall Manager"="GMT16.exe"
  • "kernel system daemon" = "ACTIVAT0R.exe"
  • "Microsoft Database Handler" = "mssql32.exe"
  • "Microsoft Windows Dependency Rerouter" = "QMS32.exe"
  • "System Executable DLL Library" = "EXECDLL32.exe"
  • "superslut"="msslut32.exe"
  • "EnableDCOM"="N"
  • "Microsoft Runtime"="CfgDll32.exe"
  • "Casdvqwa" = "bmqnzkg.exe"
  • "Windows Services"="winspsv.exe"
  • "Windows Commands. do not shut down! will result in computer fail" = "WindowsNT3.2.exe"
  • "Microsoft Netview"="%System%\gesfm32.exe"
  • "mssyslanhelper"="msmsgri32.exe"
  • "mslanhelper"="msmsgri32.exe"
  • "System Initialization"="payload.dat"
  • "NDplDeamon"="nstask32.exe"
  • "NDpLDeamon"="winlogin.exe"
  • "winlogon"="winlogin.exe"
  • "MicrosoftNetwork Daemon for Win32" = "NETD32.EXE"
  • "MS_NETD_WIN32" = "netd32.EXE"
  • "Microsoft Netview Component v5.1" = "msnv32.exe"
  • "This is a virus, please delete it" = "bigbadvirus.exe"
  • "metalrock has sex with camels" = "ranger.exe"
  • "Windows mangement"="winlogonn.exe"
  • "Winux Piriax Service" = PH32.EXE
  • "Microsoft Spool Server for Win32" = "spoolsrv.exe"
  • "helpmanager"=%System%\spoler.exe
  • "Mspatch89"="%System%\cnqmax.exe"
  • "MusIRC (irc.music.com) client"=%System%\musirc4.71.exe
  • "Windows Services" = "service.exe"
  • "Microsoft Internet Exploerer" = "svhost.exe"
  • "Microsoft Mouse Driver Ver 3.0" = "pointer32.exe"
  • "System time updator"="CSysTime.exe"
  • "Postpatch"="nvdes.exe"
  • "Postdavatch"="nvdas.exe"
  • "Iamnacho On Irc.MusIrc.com Is a Homosexual!=XBox64.exe"
  • "Pofatch"="nstrue.exe"

ホラ長かった。
お分かりのとおり、これらの右辺にある.exeのファイルが起動されるファイルです。
・・・このファイル消せば、なんとかなるのかなぁ。なんともならないかなぁ。


・・・状況悪化したぜ。イヤフィ(´,_ゝ｀)

※追記4/1：
W32.Randex.genで検索されている方は、「Win32.Randex」でググったりすると、もう少しマシな情報が見つかるかもしれません。
ちなみに、うちのＰＣのその後ですが。色々いじくってたら、起動時に青画面出たり、デスクトップに移行する段階で再起動したりするようになったので、修復セットアップせざるをえなくなりました。そして、WindowsUpdateしたりなんなりして、何回かAntiVirus走らしたらば*1、ウソのように平和になりました。
修復セットアップ前、Norton Internet Securityを有効にしているときは比較的平和で、無効にすると暴れだしたりしていたことからも、おかしなパケットが流れてたことに関係あるのかなぁとか妄想しています。
小さいからよくわかんなーい（逃げ

*1:確か、検出された