Skype lol is this your new profile pic?

lol is this your new profile pic? とSkypeから送られて指定されたURLに行くと
ZIPをDLされ、開くと強制的にほかの人にメッセージを送られる現象について
じょうほうが欲しい。誰から始まったかそれを知りたいし
解決方法も求む!!

Fフォルダに作成されたショートカットファイルの件ですが、
これはクリックすると、ショートカット先に飛ぶのと同時にウィルスファイルの.exeを実行するものだということが分かりました。
今日作成されたショートカット類は念のため削除しておいた方が良いでしょう。

>>77
じゃあウィルス本体のexeはPCに残ってるってこと？
なんか裏でプロセスが動いたままとかじゃない？

>>50に加えて、>>77の実行をやった後、再起動するのが良さそうですね。
出来る人はシステムの復元もした方が良いでしょう。
更にできる人は、システムのクリーンインストー（ｒｙ

>>79情報ありがとうです

>>78
FフォルダにRECYCLERとかいうフォルダを作られて、
そこにexeファイルが置かれていました。
ショートカットを踏んだ時に実行されるexeファイルはこれです。

復元したら直った
これが簡単で確実だわ

>>81
なるほど
RECYCLERっていうフォルダは「ゴミ箱」の実体フォルダだから、
ゴミ箱の中にウィルスを置いたんだろうね。他のウィルスにもときどきある。

OSはXPかな？Vista以降のゴミ箱はRECYCLERではなく隠しフォルダの$RECYCLE.BINフォルダなので、
探したい・消したい人はそっちも探してみてね

で
このウイルスは何をするんだよ
個人情報でも流出させんの？

MSSE:駆除
Norton:"脅威なし"

>>82 復元は突発的に復活する可能性あるので>>50参照

>>83
なるほど。ご参考までに、自分のOSはWin 7 64です。

>>84
>>33が事実なら、他のウィルスをダウンロードしている可能性がある。
俺は>>26だけど、そのときはVundoとかいろいろDLされた

決して、
SkypeでのURL拡散が止まったからウィルス駆除完了したとは考えないこと。
裏で怪しいプロセスが動いていないか、ネットワークが動いていないかをきちんと見守ること。

>>3
某サイトでは消すのはshared.xmlであって
shared.lckは消すなって書いてあるが・・・。

ていうかそもそも今回の件でいうと感染した場合
roaming内に直接スカイプアイコンのexeが生成されるらしいから
それを消すのがとりあえずの方法じゃねーかな

自分はavastとMSSEとNortonの3重でスキャン中です。
まだ見つかっていないウィルスが後々検出される可能性もありますが。

>>90結果まってます

感染した人のshared.lckってファイルサイズがいくらかあるの？
通常は中身は何もないと思うんだけど。消して意味があるのか疑問。

shared.xmlはSkypeに接続できない不具合のときに消すと復旧するっていうファイルだし、
ということは接続先とか各種設定を保存したものなんじゃないのかな
だからそのファイルが改竄されて悪用とかならありそうだけど。

exe.を踏まなければいいのか？
それともzip.を開いた時点でアウト？

>>91
目ぼしいファイルを削除した後なので、ウィルスは殆ど見つかりませんね。
唯一見つかったのは、>>77で見つけたショートカットのコマンドをコピー・保存していたテキストファイルのみですｗ

ひとまずはこれで対処は終わりとしたいですが、
まだウィルス対策ソフトが対応していないウィルスが後で見つかることもあるので、
油断は禁物ですね。

やはりできる人はクリーンインストー（ｒｙ

>>93
exe開いた時だよ

まぁ念のためにスキャンはやっとくべき

ニュー速から

25 ： 黒トラ(大阪府)：2012/10/07(日) 16:48:17.89 ID:Xa9fsuCU0
MSSE:駆除
Norton:"脅威なし"

>>93
基本的にはexeファイルが実行されていなければ問題無いはずです。
念のため、上の方の対策をしておいても良いかもしれません。

>>95
ありがとう。
一応avastやっとくわ

ウイルス名判明しました
wormウイルスだそうです
詳しいことはURLへ
http://e-words.jp/w/E383AFE383BCE383A0.html

avastでスキャン途中だが、Ihoyog.exeってのが隔離された
URL踏んでからAviraが起動できなくてAvast入れたんだが、
２週間前のフルスキャンじゃAviraは何も検出してなかったから、たぶんこれかな

wormで気になる点ががある
破壊的症状とゆうのがまだでてない
繁殖はしているが・・・
ぐぬぬ
だれかしれべてくれないか？

レジストリとかまだ一時的な削除のほかのまとめは無いのかな？

>>100了解した

収まった模様です。自分のやったことを記載しておきます。

「AppData\Roaming\Skype」内を全消去
→右クリックで消せないものはタスクマネジャーでプロセスを停止してから消去

本日変更が有ったファイルを検索して全消去
→システムファイル等の消しにくいものは残しておいた。
→この時、メールデータも一緒に削除してしまったので、復元をするハメに。

システム再起動(裏でダウンロードがスケジュール実行されているような・・・)

システムの復元で昨日まで戻す

新しいSkypeアカウントで実験開始。URL送付なし。問題無さそう。
その他いくつかのウィルス対策ソフトでスキャン。問題無さそう。
→新種のウィルスで後で見つかる可能性も有る。

>>104やはりどこかにファイルの一部が残っている場合があるんですね

>>99>>101
WORMってのはウィルス名というよりジャンルだな、というのはおいといて。

>>33にあるIEが別のウィルスをダウンロードしてるという件は大丈夫なの？
skypeに拡散するためのワームなんてただのきっかけの用途なんじゃないのかな

>>106
>>33です。大丈夫であるという断言はできませんが、
どうも自身と同じような類のウィルスをダウンロードしてきていたようなので、
基本的には上記対策で解決可能なのではないかな、と思います。

ダウンロードしてきていたファイルは全部Nortonで確認していました。
ダウンロード先はRoaming\Skypeの所で、
ダウンロードされてきたファイルを実行してSkype APIで他の人にメッセージを送っている模様でした。
実際、ダウンロードされた瞬間、プロセスにそのexeが追加され、Skypeでメッセージが飛んでいました。

いくつかNortonさんにスキャンしてもらっていたのですが、Nortonさんは無反応でした。
(というよりも無反応だから自動ダウンロードができていたというか。)

https://www.virustotal.com/file/51100553d15597e9d0ca98aa0f3be3ab5a49c0ca10808456b7a92884296e1b68/analysis/

>>106>>107 ありがとうです

対応した手順↓
�@skype→ツール→設定→詳細→詳細設定→ほかのryからアクセスの削除
�Awindowsキー+Rで"%appdata%"→見慣れないexeファイル（スカイプアイコン等の、
自分は２個だった）削除
�Bwindowsキー+Rでmsconfig→スタートUPから不明製造元不明のものを無効に（↑
で削除したファイルと同じ名前のものがあったので）
ちなみに私のはEdrirmという名前でした。

ウイルス感染時にはIEやクローム等が使えなくなる程度の症状でしたが
現在は回復

しかし気になることが
skype→プロパティ→セキュリティに不明なアカウントが追加（多分）されていました
skypeプロパティは初めてみるのであったのか知りませんが、怪しい　と
削除しようとしたところ、親からアクセス許可を継承してるためオブジェクト
が削除できないとのことでした。

皆さんはどうでしょうか？ということと
問題であれば対応方法を教えていただきたい

おれっちはwin732bit IE9なんだけどIEがタスクバーからは起動できなくなったなー
他のブラウザから2chとか開いて安価とかクリックするとIEが起動するんだけど
なんか設定変えられたんかね？それともまだ残ってるのかな？

>>107
なるほど。Skype APIを使って送ってるのね
DLしている別のウィルスも役割が同じだとすれば、
>>50の方法で少なくともSkypeへの友達の拡散は止められるし、それでだいたい解決みたいですね

>>108
virustotalありがとう
まだまだ大手は壊滅に近いな

送られてきた奴踏まなければ送られてくること自体以外は被害なし？

>>112
それで一筋縄にはいかなくて、ダウンロードされてきたウィルスにも新たにskypeへのアクセス権が追加されていますｗ
ですので、定期的にダウンロードしてくる元を絶たないといけないのです。

どうも色々な人の対処策を比較して考えてみると、
再起動をすると、ダウンロードがされなくなるようです。

ですので、何回消してもウィルスソフトがダウンロードされてきて止まらない、という場合には、
再起動やシステムの復元などをお試しください。

>>110
自分のアカウントは特に変化はないように思いました。
AdministratorsとUsersとSystemです。

ただ、この辺り詳しくないので、ほかの人の続報を待ちましょうか。

>>114
無いはずです。

>>115感謝です。その他情報まってます。
それとこのウイルスはかなり昔からあるそうです

>>50の
凍結したデータを消す
ってどういう意味？

>>107
%appdata%のskype内のデータは全て消しましたが、再起動すると%appdata%内に４〜３ケタの英数字アプリケーションが再出現します。
これらはスカイプの設定の他のプログラムからのskypeへのアクセスを管理で出てくるアプリケーションと同じものです。
これが発生しない方法はないのでしょうか？

>>119
私は>>104で防止できました。

システムの再起動だけで防げない場合、システムの復元も行った方が良いかもしれません。
また、MSSEやAvast(両方無料)が本ウィルスに対応しているようなので、そちらでのスキャンも実施した方が良いかもしれません。

あ、あと、Fドライブのフォルダにウィルスソフトとウィルスソフトを起動する似非ショートカットが作られていたので、
そちらの削除も必要だと思います。

>>120>>121 ありです、今後もお願いします

ちなみにこれってiPhoneでも感染するのかな？気がつく前に間違って押したら「ダウンロード出来ません」って出てダウンロードに失敗したみたいだけど...
感染しているかどうか確認する方法があればな...

>>115
ほうほう。IEにそうさせてるものが何かはまだ不明というわけだね

ということはこういう感じかな
1.友人からlol is this your new profile pic?の発言とともに、skype_06102012_image.zipが送られてくる。
2.skype_06102012_image.zipの中身はskype_06102012_image.exe。実行すると感染。
3.感染するとskype_06102012_image.exeがその場から消えるが、バックグラウンドでIEが起動。
4.友人に拡散するための実行プログラム(ランダムのアルファベット4文字.exe)を%AppData%\Skype\内にダウンロード？
5.SkypeAPIを利用し、友人への拡散を実行する。
skype_06102012_image.exe本体が消えた(移動した？)後に、IEを制御しているプログラムは今のところ不明。

っていうところかな？（あくまで推測

>>123
確実なことは言えないけど、
あくまで実行ファイルはWindowsでしか実行できないexeなのでiOSではおそらく問題無い。
wine系のWindowsエミュレータ(?)を入れていない限りはMacも同様。

>>124
自分の認識でもそんな感じです。

このウイルスは変化する可能性はあるのかな？

症状にばらつきがあるので、もしかしたら様々な亜種が有る可能性は有ります。

>>120
システム復元はなぜかエラーがでてうまくいきませんので、なんとかして取り除く方向で頑張りたいです。
MSSEをダウンロードしてみます。
あと、Fドライブはなく、CドライブとDドライブなわけですが、擬似ショートカットの見つけ方がよくわかりません。
どうするのがよいのでしょう？

>>129
Windowsのファイル検索機能で本日作成されたファイルを全て検索し、
その中から「ショートカット」を探して削除するのが良いと思います。
他にも怪しいファイルが有れば削除する方が良いかもしれません(大事なファイルは消さないように気を付けて・・・)。

普通のショートカットと似非ショートカットの見分け方ですが、
右クリックでプロパティか何かを見た時に、
変なコマンド(%System32%/cmd.exe "start・・・"みたいな)が入っているものが似非ショートカットです。

＞＞125
情報ありがとうっす...てかよく考えたらそれ以前に落とせませんでしたからね。
一応Macに繋いじゃったんでavast先生に診てもらってます。

>>129
フォルダオプションを開く(エクスプローラ上で、Altキー⇒ツール⇒フォルダオプション)
↓
表示タブ
↓
隠しフォルダが見えないようにしてあるなら、[すべてのファイルとフォルダを表示する]を有効にする。
もうひとつ、一番下の方にある[保護されたオペレーティングシステムファイルを表示しない(推奨)]のチェックをはずす。
なんか警告出るけどここは無視。
各ドライブ上に、$RECYCLE.BINもしくはRECYCLERフォルダ(どちらもの可能性)が表示
あとは中身を探してみてくれ

>>129
そうだあと、窓+Rでmsconfigを起動してスタートアップにウィルスファイルが含まれていないか見ておいた方が良いと思います。
そういう報告が有ったので。

タスクマネジャーでiexplorerのプロセスも切っておいた方がより安全かも。

>>132
$RECYCLE.BINが表示されました。
が、中身はゴミ箱と、「S-1-5-21-1928356326-1789006262-1695655949-1003」とかいう長ったらしい名前のフォルダが一つでした。
何か原因があるのでしょうか。

>>130
検索が終わりましたが、今日の日付で更新、作成されたものはひっかかりませんでした。

>>135
じゃあショートカットの件は大丈夫そうですね。

ゴミ箱の中にexeファイルが有れば消去しておいてください。
S-1-・・・・・はなんだったかな・・・

>>135
S-1-なんたらかんたらは、ゴミ箱に入っているゴミファイルだった気がする。俺もずいぶん前からあるよ
今回の件とは無関係のはず

あ、でも、>>136さんの言うようにもしゴミ箱内にexeファイルがあったら消しておくとおｋ

IE開けなかったわけではないけど、ネット接続がプツプツ切れた
ネットワークと共有センターの状態を表示→診断でなおせた。
これでIEを使うことができたんだけどこの情報役にたたないだろうか


ついでに復元しただけでなおったけど、他になにもしなくていい？

>>139
もしかしたらそのままでも良いかもしれませんが、どこかのドライブのフォルダ等にウィルスが残っている可能性が有るので、
>>134等の手順を踏んでPC内からウィルスを削除することをお勧めします。

skypeのパスワードも変更しておきました

対処プログラム(Win7用)
http://www1.axfc.net/uploader/Sc/so/383995.zip
問題のファイル削除とレジストリ内自動起動設定解除と
Skypeの設定変更。※IEとウイルスの強制終了も
よく分からん奴はこれ使え

嫌儲とニュー速にも貼ってあったけど怖すぎワロタｗｗ

lol is this your new profile pic?
これでDLしたソフト名「AutoKMS」
このフォルダorインストーラーがトロイの木馬をマンエンさせてる
ソフトです
ウイルスバスターなどでサーチかけてください

>>142
AppData\Roaming\内のexeファイルを事前に消してから
試しにやってみたが、ウィルスが見つからないって言われたな。

よくわからないが、Avast入れたら復活しなくなった。
効果があったということなのかよくわからん。
>>142
vista用はないのですかっ

>>146
vistaと7って基本的なアーキテクチャーは同じじゃなかったっけ。
結構、vistaでも動きそうな気がする。

まぁ・・・善意から作られているのかもしれないけど、
ちょっと怖いけどね、こういうexeを実行するのはｗ
(今日のウィルスの件も有ったことだし。)

自分もついふんでしまったのでPCを2日前に復元したんですが
復元じゃ意味ないですか？

>>148
症状は出なくなるかもしれませんが、
PCの中にウィルスが残っている可能性が有り、
その駆除が必要であると思います。

手順として>>134が有ります。
また、Skypeのパスワード変更もしておいた方が安心でしょう。

>>147
やってみたら同じく「見つからない」って言われました。
無いとみていいのか…

>>150
上記ソフトウェアの仕組みが正確には分かりませんが、
より確実に対処したい場合は>>134やウィルススキャン等を実施するのが良いと思います。

まぁ一番確実な対処はクリーンインストー（ｒｙ

とりあえず、MSSEでもAvastでも異常が見つかりませんでした。
とはいえ、既にノートン入れてるのにこんな２つも常駐させたくもなく…。
Avastを停止させたらまた復活し出すのかと疑問符です。

クリーンインストールは出来ればしたくないな…。

俺ん所にも届いたよ
これ個別に履歴削除って出来ないもんなのか？

>>>153
まだ正確な情報もなく、実験されてないので良く分からないですね・・・(T_T)

>>154
Skypeのデフォルト機能では「履歴の削除」でまとめて消すことしかできなさそうですね。

mac使ってるんですが、
avast!でHomeにサーチかけたところ、
warning3とでたんですが、どうしたら良いんでしょうか・・。

>>156
レスありがとう。触らないようにするわー

>>158
ご参考まで。

Win7だと、
C:\Users\*********\AppData\Roaming\Skype\****skypeユーザ名****\charsync

あたりに会話履歴が保存されているようです。
メッセージが飛んできた時間等からファイルを特定して削除すると良いでしょう。
中のdatファイルをUTF-8で開くと若干、中身を読むこともできます。

(実際に自分でやったことはありません。不具合が有るかもしれません。実行は自己責任でお願いします。)

あぁでもダメか・・・結局サーバ側からまた会話履歴をダウンロードしてくるから・・・

URLクリックだけしちゃってexe実行とかしてない人は何消せばいいんだろう

ウイルス踏んじまってとりあえずavast!を導入したものの
どうしていいかさっぱりわからない

フォルダ全表示しても「AppData\Roaming\Skype」が出てこないけど、
とりあえず上に書いてあることで出来ることをやっていけばおｋってこと？
このままだと俺のネット人生終わるんじゃね。

>>162
%AppData%\Skypeね
Skypeのフォルダではないよ。
↑のまま、スタートメニューの検索バーのところに入れたらフォルダが開くはず。

もしくは、
C:\Users\【ユーザ名】\AppData\Roaming\Skype
を開いてみて。Vistaの場合だが、他のWindowsだと違うかもしれん

てｓｔ

外付けの中身がSystem Volume Informationファイルに変えられてたわ...

仮想PCで踏んでみたところ、explorer.exeが
s15403588.onlinehome-server.info
というサーバーと接続を開始した。
それと同時にスタートアップに%appdata%\Pqcwcl.exeというのを作った。
このPqcwcl.exeはAdministratorでログインしても見えない不思議なやつだったよ。Everythingの検索には引っかかったが。
こっちがウイルスの本体でランダム数字.exeはSkypeを媒介として感染者を増やすためだけの
付属ツールなのではないかと。

Avast!を入れてみたらSkype自動送信ツールの数値.exeはブロックしたが、explorer.exeの通信は続いたままだった。

>>166
つまり…どういうことだってばよ？？
に%appdata%\Pqcwcl.exeとかいうのを削除しなきゃいけないってことけ？

とおもったらAvast!いれてPCを再起動したらexplorerの通信はなくなっていた。

Avast!最強伝説

XPの場合はRoamingはないと思う

もう俺には治せない…

メインのデスクPCはHDD複数接続とかで対処がめんどくさいので
とりあえずNortonで定義ファイルできるまでLANケーブル抜いとく
感染してないノートPCで用は済ます
勿論Skypeは起動しない

>>171 自分はこれに引っかかってNorton入れましたがダメでした
回線抜いておいたほうがいいですよね…

avastかMSSEの方が良いみたい。

今回、nortonはまだ対応していない。

Avast先輩強過ぎわろす
ノートン先生なにやってるの

外付けの変なファイル消してフォーマットしておけば大丈夫だよね？

外付けって言うのがよくわからないんですけど、ごめんなさい
パソコンそんなに詳しくなくて