BKDR_TENPEQ.AD

マルウェアのファイルの確認および削除：

• Windows XP および Server 2003 の場合：

1. 最新のバージョン（エンジン、パターンファイル）を導入したセキュリティ対策製品を用いてウイルス検索を実行し、検出したマルウェアのパス名およびファイル名を確認し、メモ等をとってください。
2. [スタート]-[ファイル名を指定して実行]を選択し、"secpol.msc" と入力し、Enter を押します。
3. 左側のパネルにある [ローカル ポリシー]-[セキュリティ オプション] をダブルクリックします。
4. 右側のパネルにある [回復コンソール：すべてのドライブとフォルダに、フロッピーのコピーとアクセスを許可する] をダブルクリックします。
5. [有効] を選択し、[OK] をクリックします。
6. Windows のインストール CD を使用して、コンピュータを再起動します。
7. [セットアップへようこそ] 画面で、修復の R キーを押します。
8. キーボードを選択します。
9. 修復する Windows がインストールされているドライブを選択します（通常は 1 を選択します）。
10. 管理者のパスワードを入力し、Enter を押します。管理者パスワードがない場合は、何も入力せずにEnter を押します。
11. 以下のコマンドを入力し、Enter を押します。
    SET AllowAllPaths = TRUE
    del "＜上記で確認したマルウェアのパス名およびファイル名＞"
    ※del と "＜上記で確認したマルウェアのパス名およびファイル名＞" の間に半角スペースを入れてください。
12. コマンドプロンプトに exit と入力し、コンピュータを通常どおり再起動してください。

• Windows Vista、7 および Server 2008 の場合：

1. Windows のインストールDVDを使用して、コンピュータを再起動します。
2. インストールDVDによっては、インストール言語の選択が必要な場合があります。その場合、Windowsのインストールウィンドウで、言語、ロケール、キーボードレイアウトや入力方法を選択します。[次へ]-[コンピューターの修復]をクリックします。
3. [Windowsの起動に伴う問題の修復用の回復ツールを使用します。]を選択。インストールされたWindowsを選択し、[次へ]をクリックします。
4. [スタートアップ修復]ウィンドウが表示される場合、[キャンセル]－[はい]－[終了]をクリックします。
5. [詳細オプション]－[コマンドプロンプト]を選択。[コマンドプロンプト]ウィンドウで、以下を入力し、Enterを押します。
   BootRec.exe /fixmbr
   del "＜上記で確認したマルウェアのパス名およびファイル名＞"
   ※del と "＜上記で確認したマルウェアのパス名およびファイル名＞" の間に半角スペースを入れてください。
6. 上記で検出されたすべてのファイルについてこの手順を繰り返します。
7. exitを入力し、Enterを押し、コマンドプロンプト画面を閉じます。
8. [再起動]をクリックし、コンピュータを通常起動します。

• Windows 8、8.1 および Server 2012 の場合：

1. Windows のインストールDVDを使用して、コンピュータを再起動します。
2. インストールDVDによっては、インストール言語の選択が必要な場合があります。その場合、Windowsのインストールウィンドウで、言語、ロケール、キーボードレイアウトや入力方法を選択します。[次へ]-[コンピューターの修復]をクリックします。
3. [トラブルシューティング]－[詳細オプション]－[コマンドプロンプト]を選択。[コマンドプロンプト]ウィンドウで、以下を入力し、Enterを押します。
   BootRec.exe /fixmbr
   del "＜上記で確認したマルウェアのパス名およびファイル名＞"
   ※del と "＜上記で確認したマルウェアのパス名およびファイル名＞" の間に半角スペースを入れてください。
4. 上記で検出されたすべてのファイルについてこの手順を繰り返します。
5. exitを入力し、Enterを押し、コマンドプロンプト画面を閉じます。
6. [再起動]をクリックし、コンピュータを通常起動します。

レジストリエディタおよびタスクマネージャ、フォルダオプション機能の有効：

1. メモ帳などのテキストエディタを開きます。
   
   • Windows 2000、 XP および Server 2003 の場合：
     [スタート]-[ファイル名を指定して実行]を選択し、notepad と入力し、[OK]をクリックします。
   • Windows Vista、7 および Server 2008 の場合：
     [スタート]をクリックし、[プログラムとファイルの検索]に notepad と入力し、Enter を押します。
   • Windows 8、8.1 および Server 2012 の場合：
     画面の左下隅を右クリックし、[実行]を選択します。入力欄にnotepad と入力し、Enter を押します。
     ※notepad は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 以下の文字列をコピーしてください。
   On Error Resume Next Set shl = WScript.CreateObject("WScript.Shell") shl.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools" shl.RegDelete "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools" shl.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr" shl.RegDelete "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr" shl.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions" shl.RegDelete "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions"
3. "C:\RESTORE.VBS" のファイル名でこのファイルを保存してください。
4. このファイル上でダブルクリックし、"C:\RESTORE.VBS"を実行します。
5. 確認画面が表示されたら[はい]を選択し、画面を終了してください。

このマルウェアが追加したレジストリキーの削除：

1. 「レジストリエディタ」を起動します。
   • Windows 2000、XP および Server 2003 の場合
     [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、Enter を押します。
   • Windows Vista、7 および Server 2008 の場合：
     [スタート]をクリックし、検索入力欄に regedit と入力し、Enter を押します。
   • Windows 8、8.1 および Server 2012 の場合：
     画面の左下隅を右クリックし、[ファイル名を指定して実行]を選択します。入力ボックスに regedit と入力し、Enter を押します。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>policies
3. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   Explorer
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows Script
5. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   Settings
6. 「レジストリエディタ」を閉じます。

このマルウェアが追加したレジストリ値の削除：

1. 「レジストリエディタ」を起動します。
   • Windows 2000、XP および Server 2003 の場合：
     [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、Enter を押します。
   • Windows Vista、7、Server 2008 の場合：
     [スタート]をクリックし、検索入力欄に regedit と入力し、Enter を押します。
   • Windows 8、8.1 および Server 2012 の場合：
     画面の左下隅を右クリックし、[ファイル名を指定して実行]を選択します。入力ボックスに regedit と入力し、Enter を押します。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Run
3. 右側のパネルで以下のレジストリ値を検索し、削除します。
   82354699 = "{malware path and file name}"
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Control>Session Manager>Memory Management
5. 右側のパネルで以下のレジストリ値を検索し、削除します。
   IoPageLockLimit = "8"
6. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Classes>CLSID>{00021400-0000-0000-C000-000000000046}
7. 右側のパネルで以下のレジストリ値を検索し、削除します。
   MenuShowDelay = "1"
8. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Explorer
9. 右側のパネルで以下のレジストリ値を検索し、削除します。
   DesktopProcess = "1"
10. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Control>FileSystem
11. 右側のパネルで以下のレジストリ値を検索し、削除します。
    NtfsDisableLastAccessUpdate = "1"
12. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Internet Settings
13. 右側のパネルで以下のレジストリ値を検索し、削除します。
    MaxConnectionsPer1_0Server = "a"
14. 右側のパネルで以下のレジストリ値を検索し、削除します。
    MaxConnectionsPerServer = "a"
15. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>Tcpip>Parameters
16. 右側のパネルで以下のレジストリ値を検索し、削除します。
    EnablePMTUDiscovery = "1"
17. 右側のパネルで以下のレジストリ値を検索し、削除します。
    EnablePMTUBHDetect = "1"
18. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Tcp1323Opts = "3"
19. 右側のパネルで以下のレジストリ値を検索し、削除します。
    SackOpts = "1"
20. 右側のパネルで以下のレジストリ値を検索し、削除します。
    TcpMaxDupAcks = "2"
21. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>lanmanworkstation>parameters
22. 右側のパネルで以下のレジストリ値を検索し、削除します。
    MaxCmds = "1e"
23. 右側のパネルで以下のレジストリ値を検索し、削除します。
    MaxThreads = "1e"
24. 右側のパネルで以下のレジストリ値を検索し、削除します。
    MaxCollectionCount = "2"
25. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>policies>Explorer
26. 右側のパネルで以下のレジストリ値を検索し、削除します。
    NoDriveTypeAutoRun = "ff"
27. 右側のパネルで以下のレジストリ値を検索し、削除します。
    ConfigFileAllocSize = "1f4"
28. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Explorer
29. 右側のパネルで以下のレジストリ値を検索し、削除します。
    AlwaysUnloadDLL = "1"
30. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>SharedAccess>Parameters>FirewallPolicy>StandardProfile>AuthorizedApplications>List
31. 右側のパネルで以下のレジストリ値を検索し、削除します。
    %System%\attrib.exe = "%System%\attrib.exe:*:Enabled:Sevsl"
32. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>Windows Script>Settings
33. 右側のパネルで以下のレジストリ値を検索し、削除します。
    JITDebug = "0"
34. 「レジストリエディタ」を閉じます。

このマルウェアが変更したレジストリ値の修正：

1. 「レジストリエディタ」を起動します。
   • Windows 2000、XP および Server 2003 の場合：
     [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、Enter を押します。
   • Windows Vista、7 および Server 2008 の場合：
     [スタート]をクリックし、検索入力欄に regedit と入力し、Enter を押します。
   • Windows 8、8.1 および Server 2012 の場合：
     画面の左下隅を右クリックし、[ファイル名を指定して実行]を選択します。入力ボックスに regedit と入力し、Enter を押します。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Control Panel>Desktop
3. 右側のパネルで以下のレジストリ値を検索します。
   HungAppTimeout = "1000"
4. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   HungAppTimeout = "5000"
5. 再び、右側のパネルで以下のレジストリ値を検索します。
   WaitToKillAppTimeout = "1000"
6. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   WaitToKillAppTimeout = "20000"
7. 再び、右側のパネルで以下のレジストリ値を検索します。
   AutoEndTasks = "1"
8. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   AutoEndTasks = "0"
9. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Control>PriorityControl
10. 右側のパネルで以下のレジストリ値を検索します。
    Win32PrioritySeparation = "26"
11. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Win32PrioritySeparation = "2"
12. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Control Panel>Desktop>WindowMetrics
13. 右側のパネルで以下のレジストリ値を検索します。
    MinAnimate = "0"
14. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    MinAnimate = "1"
15. 再び、右側のパネルで以下のレジストリ値を検索します。
    MenuShowDelay = "0"
16. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    MenuShowDelay = "400"
17. 再び、右側のパネルで以下のレジストリ値を検索します。
    UserPreferencesMask = "{random values}"
18. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    UserPreferencesMask = "{random values}"
19. 再び、右側のパネルで以下のレジストリ値を検索します。
    DragFullWindows = "0"
20. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    DragFullWindows = "1"
21. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>AeDebug
22. 右側のパネルで以下のレジストリ値を検索します。
    Auto = "0"
23. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Auto = "0"
24. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>PCHealth>ErrorReporting
25. 右側のパネルで以下のレジストリ値を検索します。
    ShowUI = "0"
26. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    ShowUI = "1"
27. 再び、右側のパネルで以下のレジストリ値を検索します。
    DoReport = "0"
28. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    DoReport = "1"
29. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>NetBT>Parameters
30. 右側のパネルで以下のレジストリ値を検索します。
    NameSrvQueryTimeout = "bb8"
31. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    NameSrvQueryTimeout = "5dc"
32. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Policies>Explorer
33. 右側のパネルで以下のレジストリ値を検索します。
    NoDriveTypeAutoRun = "ff"
34. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    NoDriveTypeAutoRun = "91"
35. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>SystemRestore
36. 右側のパネルで以下のレジストリ値を検索します。
    DisableSR = "1"
37. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Control>Session Manager>Memory Management>PrefetchParameters
38. 右側のパネルで以下のレジストリ値を検索します。
    AppLaunchMaxNumPages = "fa"
39. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    AppLaunchMaxNumPages = "fa0"
40. 再び、右側のパネルで以下のレジストリ値を検索します。
    AppLaunchMaxNumSections = "aa"
41. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    AppLaunchMaxNumSections = "aa"
42. 再び、右側のパネルで以下のレジストリ値を検索します。
    AppLaunchTimerPeriod = "{random values}"
43. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    AppLaunchTimerPeriod = "{random values}"
44. 再び、右側のパネルで以下のレジストリ値を検索します。
    BootMaxNumPages = "1f4"
45. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    BootMaxNumPages = "1f400"
46. 再び、右側のパネルで以下のレジストリ値を検索します。
    BootMaxNumSections = "ff"
47. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    BootMaxNumSections = "ff0"
48. 再び、右側のパネルで以下のレジストリ値を検索します。
    BootTimerPeriod = "{random values}"
49. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    BootTimerPeriod = "{random values}"
50. 再び、右側のパネルで以下のレジストリ値を検索します。
    EnablePrefetcher = "3"
51. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    EnablePrefetcher = "3"
52. 再び、右側のパネルで以下のレジストリ値を検索します。
    MaxNumActiveTraces = "8"
53. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    MaxNumActiveTraces = "8"
54. 再び、右側のパネルで以下のレジストリ値を検索します。
    MaxNumSavedTraces = "8"
55. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    MaxNumSavedTraces = "8"
56. 再び、右側のパネルで以下のレジストリ値を検索します。
    RootDirPath = "Prefetch"
57. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    RootDirPath = "Prefetch"
58. 再び、右側のパネルで以下のレジストリ値を検索します。
    VideoInitTime = "15b5"
59. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    VideoInitTime = "3e"
60. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>Main
61. 右側のパネルで以下のレジストリ値を検索します。
    Start Page = "www.naver.com"
62. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Start Page = "http://www.microsoft.com/isapi/redir.dll?prd
63. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Winlogon
64. 右側のパネルで以下のレジストリ値を検索します。
    AutoRestartShell = "1"
65. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    AutoRestartShell = "1"
66. レジストリエディタを閉じます。

マルウェアのコンポーネントファイルの削除：

マルウェアのフォルダの削除：

1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
   註：Windowsのバージョンによって異なります。
2. [ファイル名のすべてまたは一部]に、以下のフォルダ名を入力してください。
   
   • %User Temp%\AA_
3. [探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
4. 検索が終了したら、フォルダを選択し、SHIFT+DELETEを押します。これにより、フォルダが完全に削除されます。