TROJ_AGENT_036121.TOMB

セーフモードでの起動：

• Windows 2000 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています･･･」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows XP の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています･･･」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Server 2003 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています･･･」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

レジストリエディタおよびタスクマネージャ、フォルダオプション機能の有効：

1. メモ帳などのテキストエディタを開きます。
   [スタート]-[ファイル名を指定 して実行]を選択し、notepad と入力し、[OK]をクリックします。
   ※notepad は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 以下の文字列をコピーしてください。
   On Error Resume Next Set shl = CreateObject(WScript.Shell) shl.RegDelete HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools shl.RegDelete HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools shl.RegDelete HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr shl.RegDelete HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr shl.RegDelete HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NofolderOptions shl.RegDelete HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NofolderOptions
3. C:\RESTORE.VBS のファイル名でこのファイルを保存してください 。
4. [スタート]-[ファイル名を指定して実行]を選択し、C:\RESTORE.VBS と入力し、[OK]をクリックします。
5. 確認画面が表示されたら[はい]を選択し、画面を終了してください。

このマルウェアが追加したレジストリキーの削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CLASSES_ROOT
3. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   PlayFlashDXA
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion
5. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   RunOnce
6. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CLASSES_ROOT>CLSID
7. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   {C1A8AF25-1257-101B-8FB0-0020AF039CA8}
8. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CLASSES_ROOT>CLSID>{C1A8AF25-1257-101B-8FB0-0020AF039CA8}
9. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   DefaultIcon
10. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CLASSES_ROOT>CLSID>{C1A8AF25-1257-101B-8FB0-0020AF039CA8}>Shell>ÊôÐÔ(&R)
11. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    Command
12. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CLASSES_ROOT>CLSID>{C1A8AF25-1257-101B-8FB0-0020AF039CA8}>Shell>ɾ³ý(&D)
13. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    Command
14. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CLASSES_ROOT>CLSID>{C1A8AF25-1257-101B-8FB0-0020AF039CA8}>Shell>ÖØÃüÃû(&M)
15. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    Command
16. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CLASSES_ROOT>CLSID>{C1A8AF25-1257-101B-8FB0-0020AF039CA8}>Shell>Open(&O)
17. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    Command
18. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    ShellFolder
19. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Explorer>Desktop>NameSpace
20. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    {C1A8AF25-1257-101B-8FB0-0020AF039CA8}
21. 「レジストリエディタ」を閉じます。

このマルウェアが追加したレジストリ値の削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>RunOnce
3. 右側のパネルで以下のレジストリ値を検索し、削除します。
   ϵͳ°²È«Ä£¿é(Í£Ö¹¿ÉÄÜ»áÒýÆðϵͳ±ÀÀ£) = "D:\Backup\Thunder NetWork\system32.exe"
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Explorer>Advanced
5. 右側のパネルで以下のレジストリ値を検索し、削除します。
   ShowSuperHidden = "1"
6. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Classes>PlayFlashDXA
7. 右側のパネルで以下のレジストリ値を検索し、削除します。
   1 = "133556"
8. 右側のパネルで以下のレジストリ値を検索し、削除します。
   cdafile2 = "539b"
9. 右側のパネルで以下のレジストリ値を検索し、削除します。
   9 = "0"
10. 右側のパネルで以下のレジストリ値を検索し、削除します。
    9 = "1"
11. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Classes>CLSID>{C1A8AF25-1257-101B-8FB0-0020AF039CA8}>ShellFolder
12. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Attributes = "0"
13. 「レジストリエディタ」を閉じます。

このマルウェアが変更したレジストリ値の修正：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Explorer>Advanced
3. 右側のパネルで以下のレジストリ値を検索します。
   SuperHidden = "0"
4. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>Main
5. 右側のパネルで以下のレジストリ値を検索します。
   Start Page = "http://www.{BLOCKED}2.com/?yya"
6. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   Start Page = "http://www.microsoft.com/isapi/redir.dll?prd
7. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Internet Explorer>Main
8. 右側のパネルで以下のレジストリ値を検索します。
   Start Page = "http://www.{BLOCKED}2.com/?yya"
9. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   Start Page = "http://www.microsoft.com/isapi/redir.dll?prd
10. レジストリエディタを閉じます。

マルウェアのコンポーネントファイルの削除：

1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
   註：Windowsのバージョンによって異なります。
2. [ファイル名のすべてまたは一部]に以下を入力してください。
   
   • %System%\msscp.reg
   • %Windows%\web\Index.html
   • %Start Menu%\Internet Explorer.lnk
   • %User Profile%\Quick Launch\Internet Explorer.lnk
   • %Favorites%\ÌÔ±¦É̳Ç.url
   • %Favorites%\Ãâ·Ñ¿´µçÓ°.url
3. [探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
4. 検索が終了したら、ファイルを選択し、SHIFT+DELETEを押します。これにより、ファイルが完全に削除されます。
5. 残りのファイルに対して、このマルウェアのコンポーネントファイルの削除の手順2.）から4.）を繰り返してください。