TROJ_AGENT_008368.TOMB

セーフモードでの起動：

• Windows 2000 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows XP の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Server 2003 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Vista および Windows 7 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
3. 「詳細ブート オプション」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

このマルウェアが追加したレジストリキーの削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Classes
3. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   clsid
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>clsid
5. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   {42aedc87-2188-41fd-b9a3-0c966feabec1}
6. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>clsid>{42aedc87-2188-41fd-b9a3-0c966feabec1}
7. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   InprocServer32
8. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Direct3D
9. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   MostRecentApplication
10. 「レジストリエディタ」を閉じます。

このマルウェアが追加したレジストリ値の削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run
3. 右側のパネルで以下のレジストリ値を検索し、削除します。
   toenur = "%User Profile%\toenur.exe /m"
4. 右側のパネルで以下のレジストリ値を検索し、削除します。
   toenur = "%User Profile%\toenur.exe /s"
5. 右側のパネルで以下のレジストリ値を検索し、削除します。
   toenur = "%User Profile%\toenur.exe /k"
6. 右側のパネルで以下のレジストリ値を検索し、削除します。
   toenur = "%User Profile%\toenur.exe /w"
7. 右側のパネルで以下のレジストリ値を検索し、削除します。
   toenur = "%User Profile%\toenur.exe /h"
8. 右側のパネルで以下のレジストリ値を検索し、削除します。
   toenur = "%User Profile%\toenur.exe /j"
9. 右側のパネルで以下のレジストリ値を検索し、削除します。
   toenur = "%User Profile%\toenur.exe /d"
10. 右側のパネルで以下のレジストリ値を検索し、削除します。
    toenur = "%User Profile%\toenur.exe /O"
11. 右側のパネルで以下のレジストリ値を検索し、削除します。
    toenur = "%User Profile%\toenur.exe /V"
12. 右側のパネルで以下のレジストリ値を検索し、削除します。
    toenur = "%User Profile%\toenur.exe /N"
13. 右側のパネルで以下のレジストリ値を検索し、削除します。
    toenur = "%User Profile%\toenur.exe /Q"
14. 右側のパネルで以下のレジストリ値を検索し、削除します。
    toenur = "%User Profile%\toenur.exe /J"
15. 右側のパネルで以下のレジストリ値を検索し、削除します。
    toenur = "%User Profile%\toenur.exe /e"
16. 右側のパネルで以下のレジストリ値を検索し、削除します。
    toenur = "%User Profile%\toenur.exe /S"
17. 右側のパネルで以下のレジストリ値を検索し、削除します。
    toenur = "%User Profile%\toenur.exe /K"
18. 右側のパネルで以下のレジストリ値を検索し、削除します。
    toenur = "%User Profile%\toenur.exe /W"
19. 右側のパネルで以下のレジストリ値を検索し、削除します。
    lueqow = "%User Profile%\lueqow.exe /z"
20. 右側のパネルで以下のレジストリ値を検索し、削除します。
    lueqow = "%User Profile%\lueqow.exe /m"
21. 右側のパネルで以下のレジストリ値を検索し、削除します。
    lueqow = "%User Profile%\lueqow.exe /q"
22. 右側のパネルで以下のレジストリ値を検索し、削除します。
    lueqow = "%User Profile%\lueqow.exe /r"
23. 右側のパネルで以下のレジストリ値を検索し、削除します。
    lueqow = "%User Profile%\lueqow.exe /g"
24. 右側のパネルで以下のレジストリ値を検索し、削除します。
    lueqow = "%User Profile%\lueqow.exe /j"
25. 右側のパネルで以下のレジストリ値を検索し、削除します。
    lueqow = "%User Profile%\lueqow.exe /t"
26. 右側のパネルで以下のレジストリ値を検索し、削除します。
    lueqow = "%User Profile%\lueqow.exe /u"
27. 右側のパネルで以下のレジストリ値を検索し、削除します。
    lueqow = "%User Profile%\lueqow.exe /e"
28. 右側のパネルで以下のレジストリ値を検索し、削除します。
    lueqow = "%User Profile%\lueqow.exe /l"
29. 右側のパネルで以下のレジストリ値を検索し、削除します。
    lueqow = "%User Profile%\lueqow.exe /y"
30. 右側のパネルで以下のレジストリ値を検索し、削除します。
    lueqow = "%User Profile%\lueqow.exe /w"
31. 右側のパネルで以下のレジストリ値を検索し、削除します。
    lueqow = "%User Profile%\lueqow.exe /d"
32. 右側のパネルで以下のレジストリ値を検索し、削除します。
    lueqow = "%User Profile%\lueqow.exe /o"
33. 右側のパネルで以下のレジストリ値を検索し、削除します。
    lueqow = "%User Profile%\lueqow.exe /n"
34. 右側のパネルで以下のレジストリ値を検索し、削除します。
    lueqow = "%User Profile%\lueqow.exe /s"
35. 右側のパネルで以下のレジストリ値を検索し、削除します。
    lueqow = "%User Profile%\lueqow.exe /k"
36. 右側のパネルで以下のレジストリ値を検索し、削除します。
    lueqow = "%User Profile%\lueqow.exe /a"
37. 右側のパネルで以下のレジストリ値を検索し、削除します。
    lueqow = "%User Profile%\lueqow.exe /i"
38. 右側のパネルで以下のレジストリ値を検索し、削除します。
    lueqow = "%User Profile%\lueqow.exe /c"
39. 右側のパネルで以下のレジストリ値を検索し、削除します。
    lueqow = "%User Profile%\lueqow.exe /x"
40. 右側のパネルで以下のレジストリ値を検索し、削除します。
    lueqow = "%User Profile%\lueqow.exe /f"
41. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Explorer>Advanced
42. 右側のパネルで以下のレジストリ値を検索し、削除します。
    ShowSuperHidden = "0"
43. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Policies>Microsoft>Windows>WindowsUpdate>AU
44. 右側のパネルで以下のレジストリ値を検索し、削除します。
    NoAutoUpdate = "1"
45. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>clsid>{42aedc87-2188-41fd-b9a3-0c966feabec1}>InprocServer32
46. 右側のパネルで以下のレジストリ値を検索し、削除します。
    ThreadingModel = "Both"
47. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>Direct3D>MostRecentApplication
48. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Name = "FP_AX_CAB_INSTALLER.exe"
49. 「レジストリエディタ」を閉じます。

このマルウェアが変更したレジストリ値の修正：

1. 「レジストリエディタ」を起動します。
   
   • Windows 2000、XP および Server 2003 の場合
     [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、Enter を押します。。
   • Windows Vista および 7 の場合
     [スタート]をクリックし、[プログラムとファイルの検索]に regedit と入力し、Enter を押します。
     ※"regedit" は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>WinSock2>Parameters>Protocol_Catalog9>Catalog_Entries>000000000013
3. 右側のパネルで以下のレジストリ値を検索します。
   PackedCatalogItem = "{random values}"
4. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   PackedCatalogItem = "{random values}"
5. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>WinSock2>Parameters>Protocol_Catalog9>Catalog_Entries>000000000012
6. 右側のパネルで以下のレジストリ値を検索します。
   PackedCatalogItem = "{random values}"
7. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   PackedCatalogItem = "{random values}"
8. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>WinSock2>Parameters>Protocol_Catalog9>Catalog_Entries>000000000011
9. 右側のパネルで以下のレジストリ値を検索します。
   PackedCatalogItem = "{random values}"
10. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    PackedCatalogItem = "{random values}"
11. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>WinSock2>Parameters>Protocol_Catalog9>Catalog_Entries>000000000010
12. 右側のパネルで以下のレジストリ値を検索します。
    PackedCatalogItem = "{random values}"
13. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    PackedCatalogItem = "{random values}"
14. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>WinSock2>Parameters>Protocol_Catalog9>Catalog_Entries>000000000009
15. 右側のパネルで以下のレジストリ値を検索します。
    PackedCatalogItem = "{random values}"
16. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    PackedCatalogItem = "{random values}"
17. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>WinSock2>Parameters>Protocol_Catalog9>Catalog_Entries>000000000008
18. 右側のパネルで以下のレジストリ値を検索します。
    PackedCatalogItem = "{random values}"
19. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    PackedCatalogItem = "{random values}"
20. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>WinSock2>Parameters>Protocol_Catalog9>Catalog_Entries>000000000005
21. 右側のパネルで以下のレジストリ値を検索します。
    PackedCatalogItem = "{random values}"
22. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    PackedCatalogItem = "{random values}"
23. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>WinSock2>Parameters>Protocol_Catalog9>Catalog_Entries>000000000004
24. 右側のパネルで以下のレジストリ値を検索します。
    PackedCatalogItem = "{random values}"
25. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    PackedCatalogItem = "{random values}"
26. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>WinSock2>Parameters>Protocol_Catalog9>Catalog_Entries>000000000003
27. 右側のパネルで以下のレジストリ値を検索します。
    PackedCatalogItem = "{random values}"
28. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    PackedCatalogItem = "{random values}"
29. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>WinSock2>Parameters>Protocol_Catalog9>Catalog_Entries>000000000002
30. 右側のパネルで以下のレジストリ値を検索します。
    PackedCatalogItem = "{random values}"
31. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    PackedCatalogItem = "{random values}"
32. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>WinSock2>Parameters>Protocol_Catalog9>Catalog_Entries>000000000001
33. 右側のパネルで以下のレジストリ値を検索します。
    PackedCatalogItem = "{random values}"
34. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    PackedCatalogItem = "{random values}"
35. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>WinSock2>Parameters>NameSpace_Catalog5>Catalog_Entries>000000000003
36. 右側のパネルで以下のレジストリ値を検索します。
    LibraryPath = "mswsock.dll"
37. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    LibraryPath = "%SystemRoot%\System32\mswsock.dll"
38. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>WinSock2>Parameters>NameSpace_Catalog5>Catalog_Entries>000000000001
39. 右側のパネルで以下のレジストリ値を検索します。
    LibraryPath = "mswsock.dll"
40. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    LibraryPath = "%SystemRoot%\System32\mswsock.dll"
41. レジストリエディタを閉じます。

マルウェアのコンポーネントファイルの削除：

このマルウェアまたはアドウェア等が作成したフォルダの削除：