★山田ウィルス対策スレ【ええけつしとるのぉ(*´Д`)ﾊｧﾊｧ】２

**ｒｅｆｆｉ@報告人 ★** · 2005/04/28(木) 22:42:15

ここは山田ウィルスによる投稿を報告するスレッドです。
幾つかパターンがあるようなので、見かけたら報告して下さい。

前スレ
★山田ウィルス対策スレ【ええけつしとるのぉ(*´Д`)ﾊｧﾊｧ】
http://qb5.2ch.net/test/read.cgi/operate/1113229514/

■山田ウィルスとは？（ttp://nemoba.seesaa.net/article/2891535.htmlより転載）

アップローダを利用してばら撒かれているウィルスらしいです。
感染するとデスクトップのスクリーンショットと、ハードディスクに保存されているファイル
全てを、外部からダウンロード出来るようにHTTPサーバーで公開します。そのアドレスを
２ちゃんねる内の掲示板にランダムに書き込みます。

他にも、ホストファイルを書き換えて、マイクロソフトやアンチウィルスソフト会社サイト
などへのアクセスを民主党（210.253.211.2）に変更し、ウィルス定義ファイルの更新、
ウィンドウズの更新などを利用出来ないようにします。

Q.　なぜ山田？
A.　友人の山田くんがメッセで送ってきたyoujo.exeを踏んで感染したという書き込みから。
書き込みはネタだったけど、そのまま定着。

【書き込み例】（※複数の亜種があるらしいです）

　23 名前：[名無し]さん(bin+cue).rar　[sage]　投稿日：2005/04/10(日) 10:28:30 ID:WjcJ6AbX0
　ええけつしとるのぉ(*´Д`)ﾊｧﾊｧ
　http://○○○.○○○.○○○.○○/
　http://○○○.○○○.○○○.○○/~ss.jpg
　http://hogehoge/
　http://hogehoge/~ss.jpg

-------------------------------------------------
　247 名前：http:// （IPアドレス）/~ss.jpg　[sage]　投稿日：2005/04/11(月) 06:29:22 ID:Viw/FtIW0
　ええけつしとるのぉ(*´Д`)ﾊｧﾊｧ

　うはっｗｗｗおｋｗｗｗ？？
-------------------------------------------------

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 01:12:37

regeditが分らなければいるDATAを退避後、リカバリ

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 01:14:41

http://tmp5.2ch.net/test/read.cgi/download/1115222547/ 2005/05/05 01:10:22 ID:K69gWeHs0

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 01:15:22

>>316
訂正

http://tmp5.2ch.net/test/read.cgi/download/1115222547/153 2005/05/05 01:10:22 ID:K69gWeHs0

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 01:17:48

>>316中身が見えるやつお願いｗ

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 01:18:30

とりあえず、OS はXPかな ?
セキュリティーソフトは何か使ってるか(使ってるんだったらそのソフト名とバージョン)
復元ポイントは作成してるのか
ctrl + alt + del キーを押して、タスクマネージャーに何々出てきたか ?
PCは一台だけだよね ?

ぽ · 2005/05/05(木) 01:22:35

>>319

ＯＳはＸＰ、セキュリティーソフトは、デフォルトで入ってたノートン2003.しかも
更新期限去年の12月で切れてた

復旧ポイント・・・・？

タスクマネージャー
.exeって拡張子のもんがずらーっと

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 01:24:01

>>320
> .exeって拡張子のもんがずらーっと
これは何々ある(ちょっと大変だろうけど)

ぽ · 2005/05/05(木) 01:24:31

なかなかあるというと？

ぽ · 2005/05/05(木) 01:27:14

漢字の読み方さえも間違えてスマソ

どんな名前のものがあるかってことで？？

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 01:28:56

winny.exe　　とか（；´Д｀）

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 01:30:53

Windowsは駆除するより再インストールの方が楽なんだよな・・・
数が多いならなお更

ぽ · 2005/05/05(木) 01:32:30

winnyはなかった汗

INAZUMAとかwdfmgr snmp svchost

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 01:34:31

>>326
winnyは気にしないでくれｗ

INAZUMAって。。。。。なんだ？？

ぽ · 2005/05/05(木) 01:36:36

風呂はいってきていい？

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 01:41:50

>>328
じゃ、風呂はいるついでにトレンドマイクロオンラインスキャンでもしてみる
終わったら感染ファイル一覧が出るから

ぽ · 2005/05/05(木) 01:42:35

>>329とはいったい・・・？

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 01:44:25

ttp://www.trendmicro.com/jp/home/enterprise.htm

ここ

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 01:45:31

上　のウイルスバスターオンラインスキャンで

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 01:45:31

>>328
もうさ、いるデータバックアップして再インスコしちゃいなよ

ぽ · 2005/05/05(木) 01:45:33

ちっくしょ、ページを表示できませんになる・・・

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 01:46:03

チャットかよ

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 01:46:45

山田説濃厚だな

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 01:49:10

>>333で答え出てるだろ。データ退避しろ。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 01:49:50

どっかでhosts遮断されててもスキャンできたのあったけどな・・・・

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 01:50:54

>>334
http://nemoba.seesaa.net/article/2891535.html
感染確認方法ーー＞http://127.0.0.1/で何か表示されるかい？

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 01:53:16

http://www.imgup.org/file/iup26077.jpg

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 01:53:56

ウィルス情報＆質問　総合スレッド☆Part30
http://pc8.2ch.net/test/read.cgi/sec/1115094416/

スレ違いになってるからこっちゃ行け

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 01:54:32

>>341
山田さんの可能性があるんだからしょうがないじゃない

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 01:56:20

>>342
運用ですんなよってこと
個人単位のはここでやるもんじゃないっしょ

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 01:56:30

ttp://www.securityzone-za.bne.jp/virusscan.htm

>>334　ここにいろいろあるから開けたらスキャンしてみ

FLA1Adf169.tky.mesh.ad.jp · 2005/05/05(木) 01:59:11

>>339
ぽ氏は>>94で表示されたと言ってる。

**339** · 2005/05/05(木) 02:02:39

>>345
わかりやした
http://pc8.2ch.net/test/read.cgi/sec/1115048816/29
既出ならゴメン

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 02:03:32

もしかして新種？

http://qb5.2ch.net/test/read.cgi/operate/1115208431/
387 名前：(￣ー￣)ﾆﾔﾘ[sage] 投稿日：2005/05/05(木) 00:57:55 ID:1mZyxEqe0
****からは**させなーい
459 名前：(￣ー￣)ﾆﾔﾘ[sage] 投稿日：2005/05/05(木) 01:59:48 ID:1mZyxEqe0
***利用の***はさせなーい（＾＾）

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 02:04:49

>>347
スレのアド用チェック

ぽ · 2005/05/05(木) 02:21:20

>>344ページを表示できません

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 02:25:49

>>349
http://jp.mcafee.com/root/runapplication.asp?appid=73
これは？

ぽ · 2005/05/05(木) 02:28:36

>>350むりぽだね

おわってる

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 02:32:30

（；´Д｀）だめだこりゃ

>>303で対処してちょ　　無能ですまぬorz

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 02:33:25

http://housecall.antivirus.com/housecall/start_jp.asp?i=n
　or
http://66.35.253.32/housecall/start_jp.asp?i=n

ぽ · 2005/05/05(木) 02:34:29

まあ逆に言えば、>>339もページを表示できませんなんだが

ぽ · 2005/05/05(木) 02:42:55

明日も仕事じゃ・・・

みなさんおやすみ

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 02:47:56

>>355
OS再インスコした方がいいと思うからいろいろ調べときなよ～。
どうなったか報告よろ。

. · 2005/05/05(木) 02:49:44

また携帯からの登場

インスコって、インストールのこと？

FLA1Adf169.tky.mesh.ad.jp · 2005/05/05(木) 02:54:14

>>357
Yes

**ｒｅｆｆｉ@報告人 ★** · 2005/05/05(木) 03:04:40

今日の速報値
数としては頭打ち状態で記録ホスト数も減少傾向にあります。

04/26 40000
04/27 46000
04/28 48000
04/29 50000
04/30 53000
05/01 56000
05/02 52000
05/03 52000
05/04 51000

※統計作業はＭＢでも見ながらノンビリと

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 03:05:43

本人より周りのほうが真剣な件について

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 03:23:48

同意

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 04:43:00

pert1と極端にスレの趣旨が違ってきたインターネッツはここでいいですか？

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 05:10:45

セキュリティ初心者質問スレッドpart54
http://pc8.2ch.net/test/read.cgi/sec/1113654596/713,715

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 06:49:03

ここまで、川の流れのようにぃ流し読み。

>>357
そんな君に最強手段。
新しくＰＣを買いなおせ。
プロバイダも解約して新しいところへ。
旧ＰＣの思い出は滅殺消去解体、間違っても新ＰＣに受け継がせようと思うな。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 06:50:08

アンカーミス
>>364
>>355

ぽ氏くんへ

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 06:53:27

スレッド立てるまでもない質問はこちら！（9）
http://pc8.2ch.net/test/read.cgi/hosting/1108179137/376

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 07:05:38

山田ウイルスに感染してるみたいなんです。
助けて下さい～

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 07:11:18

脳みそが山田ウィルスに感染した奴
http://tmp5.2ch.net/test/read.cgi/download/1115095378/8

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 07:23:44

>>35
一行目にURLを書いたら、確認画面を強制的に
出すようにすればいいんじゃないでしょうか？

と、提案してみるテスト。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 07:24:34

>>355
急な仕事で抜けてすみません

a.zip (7.10MB)
http://ahee.web.infoseek.co.jp/cgi-bin/aua/15/src/ahe2945.zip.html

c ドライブに解凍
中の readme に従って、a.bat を実行

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 07:25:26

http://pc8.2ch.net/test/read.cgi/sec/1115123955/24

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 07:51:45

どうやって

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 08:40:29

http://47.167.210.220.dy.bbexcite.jp
っうぇおｋｗｗｗｗｗｗｗｗｗｗｗｗうぇｗｗｗおｋｗｗｗ
ｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗっｗｗｗｗｗｗｗｗｗｗｗｗ
おｋｗｗｗｗｗｗｗｗｗｗｗｗ
ｗｗｗｗｗｗうはっｗｗｗｗｗｗうはっっうぇｗｗｗ
ｗｗｗ

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 09:31:19

亜種か･･･

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 09:36:08

http://tmp5.2ch.net/test/read.cgi/download/1114789079/

↑のスレ、山田感染者の専用スレｗ

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 09:56:15

http://proxy.news4vip.ex10.2ch.net/
っうぇおｋｗｗｗｗｗｗｗｗｗｗｗｗうぇｗｗｗおｋｗｗｗ
ｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗっｗｗｗｗｗｗｗｗｗｗｗｗ
おｋｗｗｗｗｗｗｗｗｗｗｗｗ
ｗｗｗｗｗｗうはっｗｗｗｗｗｗうはっっうぇｗｗｗ
ｗｗｗ

◆SAZg8cCj9A · 2005/05/05(木) 10:38:17

h抜きのもあるようで・・・
http://tmp5.2ch.net/test/read.cgi/download/1107476106/716

◆SAZg8cCj9A · 2005/05/05(木) 10:48:38

>>377のアドレス間違えますた　　orz

http://tmp5.2ch.net/test/read.cgi/download/1107476106/715

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 10:50:45

http://tmp5.2ch.net/test/read.cgi/tubo/1115175401/271

**379** · 2005/05/05(木) 10:53:52

ダウソの傘スレに既に来てた奴でした。すんません。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 13:37:14

>>373
こんな感じのレスのリンクってクリックしても大丈夫ですかね？

**ｒｅｆｆｉ@報告人 ★** · 2005/05/05(木) 13:44:30

統計作業をチビチビやっていたんですけどふと全部のログを一つにして集計ソフトに
突っ込んだらどういう統計が取れるか興味がわいてきて試しに４月分（２６日～３０日）
のログをまとめて集計ソフトに集計してみました。
（全部はさすがにメモリが足らないので諦めました。）
２４万行、４０メガの巨大ファイルでしたけど何とか集計できました（滝汗
２６日から３０日に記録されたホスト数は１１９０で３桁いっているホストが２４０もあり
ました。

参考記録ですけどワースト１０は以下のようになりました。

JJ013206.ppp.dion.ne.jp 1679回 16782ppm
61-24-28-151.rev.home.ne.jp 1656回 16552ppm
218.33.144.147.eo.eaccess.ne.jp 1152回 11514ppm
kctv56148.ccnw.ne.jp 1114回 11134ppm
210-20-232-245.rev.home.ne.jp 1109回 11084ppm
YahooBB218131054094.bbtec.net 1060回 10595ppm
i1087168.icntv.ne.jp 1053回 10525ppm
gk4.leo-net.jp 1046回 10455ppm
ZH235052.ppp.dion.ne.jp 1002回 10015ppm
p30212-adsau17honb12-acca.tokyo.ocn.ne.jp 969回 9685ppm

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 14:00:28

>>382それって、なんの回数？？

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 14:03:41

>>381
そいつのルーターのＩＤとＰＡＳＳがわかれば（自主規制）。
直でつないでいたらあちゃー（そいつ）だよ。
放置しといてあげなさい。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 14:08:16

http://pc8.2ch.net/test/read.cgi/sec/1071903527/381

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 14:49:44

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 15:01:41

>>382
自分と近いアドレスの人がいるとちょっとびびるなぁ
て俺だったらどうしましょ

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 15:18:02

http://tmp5.2ch.net/test/read.cgi/download/1115222547/892 2005/05/05 11:40:06 ID:DFa1gfP00
http://tmp5.2ch.net/test/read.cgi/download/1115222547/906 2005/05/05 11:48:22 ID:BFEvKTS70
http://tmp5.2ch.net/test/read.cgi/download/1115262256/37 2005/05/05 12:05:40 ID:tzVArakd0

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 17:06:00

http://pc8.2ch.net/test/read.cgi/win/1099264661/968 2005/05/05(木) 08:35:44 ID:OtV2DV/a

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 17:58:11

ダウン板　今日はよく釣れるщ(゜Д゜щ)

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 18:10:46

http://pc8.2ch.net/test/read.cgi/software/1113654343/286　2005/05/05(木) 17:34:10 ID:ubCjHtCS

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 18:26:13

もう随分と長いこと気付かないままデスクトップを晒し続け
思いっきり本名や Yahoo! ID も晒した上に
現在進行形でエロゲをプレイしている香具師をﾊｹｰﾝ

2005/05/05(木) 18:28:06

>>392
そんなの晒されちゃってるページがあるの？

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 18:32:04

>>393
ページというか、問題の人のマシン上でウイルスが活動中らしく
現在も淡々とデスクトップを晒し続けてる模様

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 18:33:16

>>394
アドレス

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 18:34:43

>>395
晒すとアクセス集中してサーバが落ちてしまう気が

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 18:36:07

>>396
ないない
ってか大抵の場合はすぐに見れなくなる

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 18:36:19

>>396
サーバ落ちたら感染に気付きそう

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 18:39:23

>>397
最初は14時頃に晒されてて10分もしないうちに落ちたんだけど
18時近くに再度動き始めてから現在に至るまで40分ほど稼働中

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 18:42:43

ほう(　ﾟДﾟ)ｙ－~~

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 18:50:38

感染してるかどうかわかるテストはないの？

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 18:51:54

感染確認方法
http://127.0.0.1/をクリック
ウィルスに感染するとHTTPサーバが立ち上がっているためhttp://127.0.0.1/にハードディスクのフィルリスト一覧が表示される。
感染してたらこのスレに↓
http://qb5.2ch.net/test/read.cgi/operate/1114695735/l50
山田ウイルス対策スレ

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 18:55:41

http://tmp5.2ch.net/test/read.cgi/download/1108105423/456 ID:DFa1gfP00
http://tmp5.2ch.net/test/read.cgi/download/1107476106/739 ID:wds6LxiV0
http://tmp5.2ch.net/test/read.cgi/download/1107476106/740 ID:kGpb+jxI0
http://tmp5.2ch.net/test/read.cgi/download/1107476106/742 ID:WSUnmyVK0
http://tmp5.2ch.net/test/read.cgi/download/1113212258/78 ID:K69gWeHs0
http://tmp5.2ch.net/test/read.cgi/download/1113212258/86 ID:xflwgxnE0
http://tmp5.2ch.net/test/read.cgi/download/1114014505/598 ID:jBXXMEJa0

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 18:58:03

>402
thx
大丈夫だったよ

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 19:04:50

>>404
http://127.0.0.1/を踏むと接続できませんですが大丈夫なのか。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 19:06:10

>>405
接続できないから大丈夫なんだろ？

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 19:08:59

なんか　ttp://127.0.0.1/　これすると　{・　こんなんが表示される。
ドライブとかファイルリストは出ないが・・・

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 19:09:04

>>406
ありがとう

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 19:14:07

スクリーンショット取ってうｐ

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 19:16:50

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 19:18:05

>>407
ポート80 で何か他のモノ動かしてないか？

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 19:21:19

ああ動かしてる。それが何かあんの～？

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 19:25:09

やっぱそうか。http://hogehoge.com で繋がると、デフォルトで 80 番にアクセスする。だから。
自宅鯖上げてる人とか、winny で規制避けのおまじないに 80 で動かしてる人は、この判別法は使えない。

ま、そもそもその状況だと、同時にこのウィルスによる実害もないっぽいけど。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 19:29:20

そうなんだ(　ﾟДﾟ)ｙ－~~

**動け動けウゴウゴ２ちゃんねる** · 2005/05/05(木) 19:31:28

>>413
shttpdでポート80空けてるからかな？
自宅鯖・・・つーかftp○○・・・ｗ

とりあえず大丈夫なんすね。