TROJ_AGENT_006051.TOMB

レジストリエディタおよびタスクマネージャ、フォルダオプション機能の有効：

1. メモ帳などのテキストエディタを開きます。
   [スタート]-[ファイル名を指定 して実行]を選択し、notepad と入力し、[OK]をクリックします。
   ※notepad は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 以下の文字列をコピーしてください。
   On Error Resume Next Set shl = CreateObject(WScript.Shell) shl.RegDelete HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools shl.RegDelete HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools shl.RegDelete HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr shl.RegDelete HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr shl.RegDelete HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NofolderOptions shl.RegDelete HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NofolderOptions
3. C:\RESTORE.VBS のファイル名でこのファイルを保存してください 。
4. [スタート]-[ファイル名を指定して実行]を選択し、C:\RESTORE.VBS と入力し、[OK]をクリックします。
5. 確認画面が表示されたら[はい]を選択し、画面を終了してください。

このマルウェアが追加したレジストリキーの削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CLASSES_ROOT
3. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   Play2a
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CLASSES_ROOT>CLSID
5. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   {C1A8AF25-1257-101B-8FB0-0020AF039CA8}
6. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CLASSES_ROOT>CLSID>{C1A8AF25-1257-101B-8FB0-0020AF039CA8}
7. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   DefaultIcon
8. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CLASSES_ROOT>CLSID>{C1A8AF25-1257-101B-8FB0-0020AF039CA8}>Shell>ÊôÐÔ(&R)
9. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   Command
10. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CLASSES_ROOT>CLSID>{C1A8AF25-1257-101B-8FB0-0020AF039CA8}>Shell>ɾ³ý(&D)
11. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    Command
12. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CLASSES_ROOT>CLSID>{C1A8AF25-1257-101B-8FB0-0020AF039CA8}>Shell>ÖØÃüÃû(&M)
13. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    Command
14. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CLASSES_ROOT>CLSID>{C1A8AF25-1257-101B-8FB0-0020AF039CA8}>Shell>Open(&O)
15. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    Command
16. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    ShellFolder
17. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Explorer>Desktop>NameSpace
18. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    {C1A8AF25-1257-101B-8FB0-0020AF039CA8}
19. 「レジストリエディタ」を閉じます。

このマルウェアが追加したレジストリ値の削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Explorer>Advanced
3. 右側のパネルで以下のレジストリ値を検索し、削除します。
   ShowSuperHidden = "1"
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Classes>Play2a
5. 右側のパネルで以下のレジストリ値を検索し、削除します。
   1 = "133289"
6. 右側のパネルで以下のレジストリ値を検索し、削除します。
   3 = "33a9e"
7. 右側のパネルで以下のレジストリ値を検索し、削除します。
   10 = "0"
8. 右側のパネルで以下のレジストリ値を検索し、削除します。
   10 = "1"
9. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Classes>CLSID>{C1A8AF25-1257-101B-8FB0-0020AF039CA8}>ShellFolder
10. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Attributes = "0"
11. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>Main
12. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Window Title = "Microsoft Internet Explorer"
13. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Internet Explorer>Main
14. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Window Title = "Microsoft Internet Explorer"
15. 「レジストリエディタ」を閉じます。

このマルウェアが変更したレジストリ値の修正：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Explorer>Advanced
3. 右側のパネルで以下のレジストリ値を検索します。
   SuperHidden = "0"
4. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>Main
5. 右側のパネルで以下のレジストリ値を検索します。
   Start Page = "http://www.{BLOCKED}6.com/?da"
6. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   Start Page = "http://www.microsoft.com/isapi/redir.dll?prd
7. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Internet Explorer>Main
8. 右側のパネルで以下のレジストリ値を検索します。
   Start Page = "http://www.{BLOCKED}6.com/?da"
9. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   Start Page = "http://www.microsoft.com/isapi/redir.dll?prd
10. 再び、右側のパネルで以下のレジストリ値を検索します。
    Start Page = "http://www.{BLOCKED}9.com"
11. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Start Page = "http://www.microsoft.com/isapi/redir.dll?prd
12. 再び、右側のパネルで以下のレジストリ値を検索します。
    Start Page = "http://www.{BLOCKED}9.com"
13. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Start Page = "http://www.microsoft.com/isapi/redir.dll?prd
14. レジストリエディタを閉じます。

マルウェアのコンポーネントファイルの削除：

1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
   註：Windowsのバージョンによって異なります。
2. [ファイル名のすべてまたは一部]に以下を入力してください。
   
   • %Program Files%\Common Files\dao.ico
   • %Start Menu%\Internet Explorer.url
   • %Start Menu%\Programs\Internet Explorer.url
   • %User Profile%\Quick Launch\Internet Explorer.url
   • %Favorites%\¡ö35dhÉÏÍøµ¼º½-×²ÊÉñÃصÄÍøÖ·´óÈ«£¡.url
   • %Favorites%\¡ö71755СÓÎÏ·-×îºÃÍæµÄÔÚÏßСÓÎÏ·£¡.url
   • %Favorites%\¡ö¼«¹âÍøÂçµçÊÓ-¼«ËÙ¸ßÇåÍøÂçµçÊÓÔÚÏß¹Û¿´.url
   • %Favorites%\¡ö¾øÉ«¸ßÇåµçÓ°Íø.url
   • %Favorites%\VANCL ·²¿Í³ÏÆ· ÔÚÏßÏúÊÛÄÐ×° Å®×° ͯװ Ь ÅäÊÎ ¼Ò¾Ó.url
   • %Favorites%\µ±µ±Íø¡ªÍøÉϹºÎïÖÐÐÄ£ºÍ¼Ê顢ĸӤ¡¢ÃÀ×±¡¢¼Ò¾Ó¡¢ÊýÂë¡¢¼Òµç¡¢·þ×°¡¢Ð¬°üµÈ£¬ÕýÆ·µÍ¼Û£¬»õµ½¸¶¿î.url
   • %Favorites%\¾©¶«É̳Ç-ÖйúרҵµÄµçÄÔ¡¢ÊÖ»ú¡¢ÊýÂë¡¢¼Òµç¡¢ÈÕÓðٻõÍøÉϹºÎïÉ̳Ç.url
   • %Favorites%\Âó¿¼ÁÖÍøÉϹºÎÏíÊÜÍø¹ºÀÖȤ£¬¾¡ÔÚÂóÍø¹ºÎïÉ̳Ç! ʱÉÐÅ®×° ÄÚÒ ÅäÊÎ »¯×±Æ· ÃÀÈݱ£½¡ ͯװĸӤ ¼Ò¾ÓÓÃÆ· ÄÐ×°µÈ¹ºÎﾫƷ!.url
   • %Favorites%\Çå´¿ÓÕ»óÃÀŮͼ.url
   • %Favorites%\ÌÔ±¦É̳Ç-Æ·ÅÆÕýÆ· É̳DZ£ÕÏ.url
   • %Favorites%\ÌÔ±¦Íø - ÌÔ£¡ÎÒϲ»¶.url
   • %Favorites%\Ò»±¾Ð¡ËµÍø--Ãâ·ÑÔĶÁÎäÏÀ¡¢ÑÔÇé¡¢ÍøÓΡ¢Ðþ»ÃµÈС˵.url
   • %Favorites%\Öйú¸£Àû²ÊƱ£¬Ê±Ê±²Ê¡¢ÌåÓý²ÊƱͶעÖÐÐÄ£¡¡¾²ÊƱ´óÓ®¼Ò¡¿.url
   • %Favorites%\׿ԽÑÇÂíÑ·ÍøÉϹºÎïͼÊ飬ÊÖ»ú£¬ÊýÂ룬¼Òµç£¬»¯×±Æ·£¬ÖÓ±í£¬Ê×ÊεÈÔÚÏßÏúÊÛ.url
   • %Favorites%\×îеçÊÓ¾ç´óÈ«.url
3. [探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
4. 検索が終了したら、ファイルを選択し、SHIFT+DELETEを押します。これにより、ファイルが完全に削除されます。
5. 残りのファイルに対して、このマルウェアのコンポーネントファイルの削除の手順2.）から4.）を繰り返してください。