TROJ_AGENT_010593.TOMB

セーフモードでの起動：

• Windows 2000 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています･･･」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows XP の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています･･･」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Server 2003 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています･･･」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

このマルウェアが追加したレジストリキーの削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft
3. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   Luhe
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer
5. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   Privacy
6. 「レジストリエディタ」を閉じます。

このマルウェアが追加したレジストリ値の削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run
3. 右側のパネルで以下のレジストリ値を検索し、削除します。
   {58C4EBA0-47A8-AD40-8C85-A85A94978B48} = "%User Profile%\Emmiyr\roxyc.exe"
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Luhe
5. 右側のパネルで以下のレジストリ値を検索し、削除します。
   2ahfe1e9 = "Xg8BKnpLMk2yTQ
6. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>Privacy
7. 右側のパネルで以下のレジストリ値を検索し、削除します。
   CleanCookies = "0"
8. 右側のパネルで以下のレジストリ値を検索し、削除します。
   2edb981b = "AA9TKg
9. 右側のパネルで以下のレジストリ値を検索し、削除します。
   2edb981b = "2a53f1"
10. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>SharedAccess>Parameters>FirewallPolicy>StandardProfile
11. 右側のパネルで以下のレジストリ値を検索し、削除します。
    DisableNotifications = "1"
12. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>SharedAccess>Parameters>FirewallPolicy>StandardProfile>GloballyOpenPorts>List
13. 右側のパネルで以下のレジストリ値を検索し、削除します。
    24669:UDP = "24669:UDP:*:Enabled:UDP 24669"
14. 右側のパネルで以下のレジストリ値を検索し、削除します。
    DisableNotifications = "0"
15. 右側のパネルで以下のレジストリ値を検索し、削除します。
    14529:TCP = "14529:TCP:*:Enabled:TCP 14529"
16. 右側のパネルで以下のレジストリ値を検索し、削除します。
    168b9a8b = "TW9TKtpzA02ETeJG?_CHAR(0x05)_?"
17. 右側のパネルで以下のレジストリ値を検索し、削除します。
    28ja9216 = "{random characters}"
18. 右側のパネルで以下のレジストリ値を検索し、削除します。
    32i70jde = "{random characters}"
19. 右側のパネルで以下のレジストリ値を検索し、削除します。
    28ja9216 = "{random values}"
20. 右側のパネルで以下のレジストリ値を検索し、削除します。
    32i70jde = "{random values}"
21. 右側のパネルで以下のレジストリ値を検索し、削除します。
    2hc949g3 = "{random values}"
22. 右側のパネルで以下のレジストリ値を検索し、削除します。
    19ghi6c8 = "{random values}"
23. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>Internet Account Manager
24. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Server ID = "4"
25. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>WAB>WAB4
26. 右側のパネルで以下のレジストリ値を検索し、削除します。
    FirstRun = "1"
27. 右側のパネルで以下のレジストリ値を検索し、削除します。
    OlkContactRefresh = "0"
28. 右側のパネルで以下のレジストリ値を検索し、削除します。
    OlkFolderRefresh = "0"
29. 右側のパネルで以下のレジストリ値を検索し、削除します。
    2edb981b = "2a53f41"
30. 「レジストリエディタ」を閉じます。

このマルウェアが変更したレジストリ値の修正：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Internet Settings>Zones>0
3. 右側のパネルで以下のレジストリ値を検索します。
   1609 = "0"
4. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   1609 = "1"
5. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Internet Settings>Zones>1
6. 右側のパネルで以下のレジストリ値を検索します。
   1406 = "0"
7. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   1406 = "1"
8. 再び、右側のパネルで以下のレジストリ値を検索します。
   1609 = "0"
9. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   1609 = "1"
10. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Internet Settings>Zones>2
11. 右側のパネルで以下のレジストリ値を検索します。
    1609 = "0"
12. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    1609 = "1"
13. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Internet Settings>Zones>3
14. 右側のパネルで以下のレジストリ値を検索します。
    1406 = "0"
15. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    1406 = "3"
16. 再び、右側のパネルで以下のレジストリ値を検索します。
    1609 = "0"
17. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    1609 = "1"
18. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Internet Settings>Zones>4
19. 右側のパネルで以下のレジストリ値を検索します。
    1406 = "0"
20. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    1406 = "3"
21. 再び、右側のパネルで以下のレジストリ値を検索します。
    1609 = "0"
22. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    1609 = "1"
23. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Identities
24. 右側のパネルで以下のレジストリ値を検索します。
    Last Username = "Main Identity"
25. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Last Username = "Main Identity"
26. 再び、右側のパネルで以下のレジストリ値を検索します。
    Last User ID = "{341F68BA-C841-4200-A7B4-3D5CFF202166}"
27. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Last User ID = "{C0FE0177-5693-4537-9331-A7402AD82D40}"
28. 再び、右側のパネルで以下のレジストリ値を検索します。
    Identity Login = "9853"
29. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Identity Login = "98053"
30. 再び、右側のパネルで以下のレジストリ値を検索します。
    Identity Ordinal = "2"
31. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Identity Ordinal = "1"
32. レジストリエディタを閉じます。

マルウェアのコンポーネントファイルの削除：

1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
   註：Windowsのバージョンによって異なります。
2. [ファイル名のすべてまたは一部]に以下を入力してください。
   
   • %User Profile%\Application Data\Emmiyr
   • %User Profile%\Emmiyr\roxyc.exe
   • %Application Data%\nagama.iqt
3. [探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
4. 検索が終了したら、ファイルを選択し、SHIFT+DELETEを押します。これにより、ファイルが完全に削除されます。
5. 残りのファイルに対して、このマルウェアのコンポーネントファイルの削除の手順2.）から4.）を繰り返してください。

マルウェアのフォルダの削除：

1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
   註：Windowsのバージョンによって異なります。
2. [ファイル名のすべてまたは一部]に、以下のフォルダ名を入力してください。
   
   • %User Profile%\Application Data\Emmiyr
3. [探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
4. 検索が終了したら、フォルダを選択し、SHIFT+DELETEを押します。これにより、フォルダが完全に削除されます。