ウィルス感染したマシンが持ち込まれてきた

ウィルス対策ソフトのメッセージから、「BKDR_GINWUI.B」というトロイの木馬であることはわかった。「対応方法」を見ると駆除ツールも用意されているので「なんだ楽勝」と作業を開始した。
ところが全く楽勝などではなかった。該当ファイルであるZSYHIDE.DLLとZSYDLL.DLLが、何度削除しても再起動すると復活するのである。
このファイル名で検索しても他に情報は得られず、どうしてこんなことになるのか全く原因がつかめない。ただし、現象から考えれば他にも何らかの不正プログラムが動作してこれらのファイルを再生していると考える他ない。
システム構成ユーティリティ(msconfig.exe)を動かし、再起動時に動作するプロセスをチェックすることにした。スタートアップ項目の怪しげなファイル名を片っ端からググってみたが「シロ」。最後に「wincfgs.exe」なんてのが残った。これはまともっぽいけどまーダメ元で…とか思ってたらこれが「真っ黒」だった。「WORM_DELF.EFF」だそうだ。ファイル名だけで疑ってちゃダメだねー。レジストリからエントリを消し、ファイルをリネームするとあっさり問題が解決した。
けどアレだ。トレンドもシマンテックもマカフィーも、どこをどう読んでもこの「wincfgs.exe」つーか「WORM_DELF.EFF」がそんなヨソのウィルスを復活させるような機能を持ってるように書かれてないってのはどうよ。ムカツク。つーかおれどっか見落としてる？
あと駆除ツールをこのマシンに持ってくるためにUSBフラッシュメモリ使ったんだが、「WORM_DELF.EFFの詳細」に書かれている通りきっちりAUTORUN.INFが作成されててビビッた。マシンの所有者にも、とりあえずこのマシンに挿したUSBメモリや外付けHDDはヨソで使わんように、次使うときはShiftキー押しながら挿した上でAUTORUN.INF削除するように警告しておかんとな。やれやれ。

一応 google:wincfgs zsydll とかやってみたが

ほとんど中国語のサイトばっか。どうにか日本語で出てきたのはひとつだけだった。
http://geistindemnetz.air-nifty.com/trash/2006/12/virus.html

っていうかUSトレンドマイクロの「BKDR_GINWUI.B」にはちゃんとwincfgs.exeについて書かれてるじゃないか

When executed, it drops a copy of itself as WINCFGS.EXE in the Windows system folder. It also drops the files ZSYHIDE.DLL and ZSYDLL.DLL in the said folder. This backdoor injects the said .DLL files, which are also detected as BKDR_GINWUI.B, into running processes to ensure memory residency and to hide its process, hence avoiding easy detection.

ちゃんと情報アップデートしろよ＞www.trendmicro.co.jp。