トロイの木馬 Win32/PSW.OnLineGames

職場で昼頃、USBメモリが「トロイの木馬」に感染しているというアラートが出たという相談を受けました。そのときはちょっと手が離せない状態だったので、セキュリティソフトかオンラインスキャンでチェックしてみたら？とアドバイスしました。

夕方になって、別の人から、同じくUSBメモリが「トロイの木馬」に感染しているというアラートが出たとの相談が・・・。どうも職場内で感染が拡大している模様です。

とりあえず、AVG8.0でアラートが出たということだったので、AVG8.0が動いている自分のパソコンに挿してスキャンしてみましたが、特に異常は見つかりません。
次に、アラートが出たというパソコンを持ってきてもらい見てみると、確かにAVGが隔離していました。

ファイル名は f.exe というもので、トロイの木馬型　Win32/PSW.OnlineGames.2.S　というウイルスらしいです。

あらためて、全てのファイル（システムファイルも）を表示するように設定を変えて見てみると、USBメモリのルートに autorun.inf ができていて、これが f.exe を起動するように書かれているようでした。ウイルス自体はUSBメモリからは削除されているようでしたが、念のためこの autorun.inf も削除しておきました。

Webでこのウイルスについて調べてみると、その名のとおりオンラインゲームのアカウント情報などを盗み出すという行動をするウイルスのようで、システムに対する危険性はそう高くはないのかもしれません。
しかし、このウイルスは、システムに対して「隠しファイルを表示する」ように設定することをできなくしてしまうため、ユーザーが感染ファイルを見つけることが難しいばかりでなく、セキュリティソフトでも発見するのが難しいようです。実際、調べてみたところ職場のパソコンのうちキングソフトのセキュリティソフトが稼動しているものが感染していました。

上述の性質から、「隠しファイルを表示する」ように設定を変えることができるかどうかを試してみれば、このウィルスに感染しているかどうかが簡単にチェックできます。

この情報を職員に伝えると、結構たくさんの人が職員共有のパソコンでUSBメモリを使っているようで、AVG8.0の入ったパソコンでチェックしていましたが、やはり感染しているものが多いようでした。

ここに駆除方法が詳しく説明されています。

が、結構複雑な操作をいろいろとやらなくてはいけないので、初心者の方には少し大変な作業かもしれません。ワクチンソフトで簡単に駆除できるといいのですけどね。

駆除後の工夫としては、

• USBメモリの駆除では、AUTORUNが起動しないようにシフトキーを押しながらUSBに接続してください。

• cドライブと同様に、メモリの隠しファイルを見て該当のファイルを削除してください。

• 防御のためにファイルを1つ作ってc:などルートに「autorun.inf」という名前で保存します。このファイルがあることで次に感染しそうになると「ファイルが既に存在します」というメッセージが出ます。もちろん「いいえ」を選択して下さい。

などがあります。

ちなみに、感染したUSBメモリを使っていたVistaのパソコンには感染していないようでした。セキュアなOSだといわれているだけに、簡単には感染しないのでしょうかね。