W32.SillyFDC, W32.SillyDC 関連でちょっとまとめてみる

びぼーろく

なんだかここが上記でよく検索されている模様なので、ちょっち整理してみようかと。但し以下に列挙するような症状は重症クラス時の対応方法と理解してほしい。また当方はW32.SillyFDC, W32.SillyDCは固有のウイルス名ではなく、所謂「Trojan.Horse」のような総称名と理解していること、「Sillyうんにゃら」で検出されても決して下記の対応のみをすれば安全、というわけではないことも併せて含んでおいてほしい。
またこれから記述することは OS が Windwos XP Professional SP2を前提とした記述であり、レジストリの操作を必要とするので、レジストリの操作に自信のない方はやめたほうがいい。最悪の場合、Windowsが起動しなくなるから。また念のためにレジストリはバックアップを取るのが吉。

レジストリの

という値があり、値のデータで1(DisableCMDの場合は2もあり得る)がセットされている。これらの値はWindows上で存在しなくても動作に支障はないので、値ごと削除するか値のデータを0にセットすればOK。但し会社によっては管理上の目的で意図的に埋め込んでいる可能性があるので判断に困ったら担当者に確認してほしい。

    • 隠しファイルまたはフォルダが見えなくなる
    • 拡張子が見えなくなる

フォルダオプションの「全てのファイルを表示する」を選択しても隠しファイルが見えなかったり、「登録されているファイルの拡張子は表示しない」のチェックを外しても拡張子が表示されるようにならないことがある。以下のレジストリが改ざんされているからだ。
1) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL の'Type' に空白値がセットされている。
→ radio という文字列をいれる
2) HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced の'ShowSuperHidden' が 00000000 になっている
→ 00000000 なら隠しフォルダやファイルは見えない、00000001 なら全てのファイルが見える
3) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt の 'UncheckedValue' が 00000001 になっている
→ いくらがんばって設定変更をしても拡張子が表示されなくなっている原因。00000000 になおす
4) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL の 'CheckedValue' が 00000000 になっている
→ いくらがんばって設定変更をしても隠しファイルやフォルダが表示されなくなっている原因。00000001 になおす。
5) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden の 'UncheckedValue' が 00000001 になっている
→ (前回はここの記述が誤っていたので訂正)特に上記のままでも問題なし。

    • 上記を修正してもまだ隠しフォルダが見えない・拡張子が表示されない

[ShowSuperHidden] や [HideFileExt] という値が同じカテゴリに2つ存在したりしていませんか？2つあるようですが片方は偽者です。よぉ〜く見てみると[ShowSuperHidden ] [HideFileExt ] と語尾に半角空白文字が含まれています。勿論そんな値は消してもいいのですが、もう一つ、この偽者の値を値のデータとしてセットしている箇所があります。それを空白を含めない状態に修正してようやく元通りです。

    • あのーそれでも状況が改善しません

大抵は「C:\WINDOWS\system32」フォルダ内にウイルスファイル本体がいます。以下はそのファイルの一例

    • amvo.exe, amvo0.dll, amvo1.dll
    • kavo.exe, kavo0.dll, kavo1.dll

こいつらがまたちょこざいなことに「オペレーティングシステムで保護されたファイル」と名乗っているせいで、隠しファイルを見えるようにしただけでは不十分なのです。そこで見えるようにしないといけないのですが、酷い奴は上記のレジストリ修正をして見えるようにしても元に戻す奴とかいます。
なのでここはタスクマネージャを使用して「explorer.exe」を強制終了させてください。画面下のタスクバーが消えます。この後 [ファイル(F)] - [新しいタスクの実行(N)] から「explorer.exe」と入力して再度起動させます(注：「explorer」のみの記述は不可)。そうするとレジストリを勝手に書き換える症状が治まるのでここからレジストリ修正→隠しファイル及び「オペレーティングシステムで保護されたファイル」の表示→ウイルスファイル本体の削除と一気に畳み掛けるようにやっていきます。
ちなみに
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon 内の 'Userinit = C:\Windows\system32\userinit.exe,'
の部分に上記ファイル名の記述があったらそれも削除です。

とりあえずはここまで。また随時補足を入れていきたいと思います。