ierdfgh.exe と AhnRpta.exe - はてなのやじるし.txt

割と新しめの奴と戦ったので駆除方法を記しておきます。
お役に立てたら光栄です。

C:\やD:\に隠し属性で発生する autorun.inf と 2sdsu3.cmd 等の変なファイル。
USBメモリやデジカメのメモリカード、外付けHDDから感染するこやつらは、駆除が厄介です…
Windowsで隠しファイルを表示する設定にしても
ファイルやフォルダ見られない症状が出たら、ウイルス感染でしょう。
Revo.exe・revo0.dllやらKava.exeなどの流れを汲んでると思われます。
厄介な事に、いろいろな名前で潜伏してるのです…
pytdfse0.dllやafmain0.dllで、数字の所は1や2が入っている場合も…

チェック方法としては
ファイル名を指定して実行 "cmd"
”dir c:\ /a:h” でCドライブをチェック、"autorun.inf"が居たらアウトです(汗
"2sdsu3.cmd"や"w.com"とかも居るでしょう…
そいつらとは戦わないとならんのですよ〜！

自分の手こずったモノは
autorun.inf・a81lkgv.com・2sdsu3.cmd・AhnRpta.exe・ierdfgh.exe・afmain0.dll・pytdfse0.dll
の複合パターン？
消しても消しても蘇って、大混乱(笑)
afmain0.dllに気付かなかった…
組み合わせは多分
autorun.inf・2sdsu3.cmd・ierdfgh.exe・pytdfse0.dll
autorun.inf・a81lkgv.com・AhnRpta.exe・afmain0.dll　かな？
わからん＼(^o^)／

で、まずは…
0.ネットワーク接続を物理的に遮断する。
　　(LANケーブルを抜く)
1.システムの復元を無効にする。
2.ファイル名を指定して実行 "msconfig"
3.スタートアップのタブで、見慣れないものがないかをチェック
　　(自分の場合は”ierdfgh”が登録されていた）
　　(見慣れないものが居たら正常なPCでひたすらググれ！)
4.見慣れないもののチェックを外し、ファイル名をメモる。
5.再起動をsafeモードで起動
　　(F8連打 or msconfigでsafemode指定)
6.ファイル名を指定して実行 "regedit"
7.3つのレジストリ値を修正する。
　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\
　　"CheckedValue"の値を⇒1
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
　　"Hidden"　と　"ShowSuperHidden"の値を⇒1
　　(ここで注意！レジストリは少し間違えるとWindowsが起動しなくなる恐れがあります！！)
　　(くれぐれも自己責任でお願いします！！！)
8.エクスプローラ(スタートメニュー→プログラム→エクスプローラ)を開く。
　　(マイコンピュータだとレジストリが元に戻っちゃうから駄目！)
9.アドレスにc:を入れ、該当ファイルを削除する。
　　(ここに”autorun.inf” ”a81lkgv.com” ”2sdsu3.cmd”が居る)
　　(シフトを押しながらdelキーで消す事！)
　　(この時、削除したファイル名をメモしておく事！！)
10.アドレスにd:など、HDDの全てチェックし、怪しいものは削除する。
　　(ここにも”autorun.inf” ”a81lkgv.com” ”2sdsu3.cmd”が居る)
11.ファイル名を指定して実行 "cmd"
　　”dir c:\windows /a:h” ”dir c:\windows\system32 /a:h” で
　　4でメモったファイル名や怪しい実行ファイルやdllを探す。
　　(\Windowsに"AhnRpta.exe"、\System32に"ierdfgh.exe" "afmain0.dll" ”pytdfse0.dll”が居る)
　　(怪しいファイルは隠しファイル属性になっているので半透明表示になっている事が多い)
　　(ただし、manifestファイルも半透明なので誤って消さないように！)
　　(よって、拡張子表示設定を強く勧める！！)
12.11でメモした該当ファイルをエクスプローラで削除する。
　　(シフトを押しながらdelキーで消す事！)
　　(この時、削除したファイル名をメモしておく事！！)
13.ファイル名を指定して実行 "regedit"
　　検索でメモったものを全て探し出し、キーを削除する。
14.Tempファイルを全て消す。
　　(Documents and Settings\ユーザ名\Local Settingsにある）
　　(tempやインターネットtempの中身を全て削除する、もちろん全ユーザ名)
　　(Windows\tempの中も全て消す)
　　("ATF-Cleaner"を使うと楽↓)
　　(http://www.higaitaisaku.com/atfcleaner.html)
15.ウイルス駆除ソフトで"完全スキャン"を実行する。
16.スキャン完了後、通常モードで再起動し、
　ファイル名を指定して実行 "cmd"でC:\やc:\windows等再チェック。
17-1.居なければ念のため"クイックスキャン”をして完了！
念のため使ってる所とは違うオンラインスキャンをかけ、SpywareGuideまでやるとなお良いかも？
17-2.居たら再びチェック！
　　（この時、"autorun.inf"をメモ帳で開くとキックしてる実行ファイルを探し出せる）

”afmain0.dll”や"AhnRpta.exe"など、削除出来ない場合がある。
その場合、
1."ComboFix.exe”をデスクトップ上にダウンロード。
　　(http://download.bleepingcomputer.com/sUBs/ComboFix.exe)
2.メモ帳を開き、削除出来ないファイル名を記載し、"CFScript.txt"という名前でデスクトップ上に保存。
下は作成の例。

File::
C:\WINDOWS\AhnRpta.exe
C:\WINDOWS\system32\afmain0.dll

3.作成した"CFScript.txt"を"ComboFix.exe”にドラッグ&ドロップする
表示されたダイアログには、OKまたはYesで処理を続行。

これで削除できるかな〜？

そして、感染源と思われるUSBメモリやデジカメのメモリカード、外付けHDDはフォーマット！
それがいやならLinuxで削除DA(笑)

最後に、HDDのドライブ直下とUSBメモリ内にautorun.infのフォルダを作り
隠しファイルと読み取り専用属性をつける事！
簡単な予防にはなる…　はず…

自分で出来なければ、windowsを再インストールするとか、詳しい人に依頼するとか、業者を呼ぶとか…
放置が一番(・A・)ｲｸﾅｲ！

対応したPCはWindowsXPです。
多分こんな感じ？足りない所があるかもしれません…
思い出したら追記します(笑)
とにかく時間が許す限りトライ&エラーしかないんでないかな？(汗
頑張って行きましょう！！！！！！！！