TROJ_BUZUS.DFC

セーフモードでの起動：

• Windows 2000 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています･･･」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows XP の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています･･･」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Server 2003 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています･･･」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

このマルウェアが追加したレジストリキーの削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>Software
3. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   mdlwe42dgd
4. 「レジストリエディタ」を閉じます。

このマルウェアが追加したレジストリ値の削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Run
3. 右側のパネルで以下のレジストリ値を検索し、削除します。
   Mshost Manager = "%User Profile%\Application Data\svchost.exe"
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Internet Settings
5. 右側のパネルで以下のレジストリ値を検索し、削除します。
   WarnonBadCertRecving = "0"
6. 右側のパネルで以下のレジストリ値を検索し、削除します。
   CertificateRevocation = "0"
7. 右側のパネルで以下のレジストリ値を検索し、削除します。
   WarnonZoneCrossing = "0"
8. 右側のパネルで以下のレジストリ値を検索し、削除します。
   WarnOnPostRedirect = "0"
9. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Explorer>Advanced
10. 右側のパネルで以下のレジストリ値を検索し、削除します。
    ShowSuperHidden = "0"
11. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>Windows NT>CurrentVersion>Windows
12. 右側のパネルで以下のレジストリ値を検索し、削除します。
    win = "%User Profile%\Application Data\svchost.exe"
13. 右側のパネルで以下のレジストリ値を検索し、削除します。
    init = "%User Profile%\Application Data\svchost.exe"
14. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Internet Explorer>Main
15. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Use FormSuggest = "yes"
16. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>Main
17. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Use FormSuggest = "yes"
18. 右側のパネルで以下のレジストリ値を検索し、削除します。
    DisableScriptDebuggerIE = "yes"
19. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Error Dlg Displayed On Every Error = "no"
20. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>mdlwe42dgd
21. 右側のパネルで以下のレジストリ値を検索し、削除します。
    mdlwe42dgdpath = "%User Profile%\Application Data"
22. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CLASSES_ROOT
23. 右側のパネルで以下のレジストリ値を検索し、削除します。
    .grp = "MSProgramGroup"
24. 右側のパネルで以下のレジストリ値を検索し、削除します。
    MSProgramGroup = "Microsoft Program Group"
25. 右側のパネルで以下のレジストリ値を検索し、削除します。
    MSProgramGroup\Shell\Open\Command = "%System%\grpconv.exe %1"
26. 「レジストリエディタ」を閉じます。

このマルウェアが変更したレジストリ値の修正：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Explorer>Advanced
3. 右側のパネルで以下のレジストリ値を検索します。
   Hidden = "2"
4. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   Hidden = "2"
5. 再び、右側のパネルで以下のレジストリ値を検索します。
   SuperHidden = "1"
6. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>AeDebug
7. 右側のパネルで以下のレジストリ値を検索します。
   Auto = "0"
8. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   Auto = "0"
9. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Internet Settings>Zones>3
10. 右側のパネルで以下のレジストリ値を検索します。
    1601 = "0"
11. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    1601 = "1"
12. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>Main
13. 右側のパネルで以下のレジストリ値を検索します。
    Disable Script Debugger = "yes"
14. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Disable Script Debugger = "no"
15. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>GrpConv
16. 右側のパネルで以下のレジストリ値を検索します。
    Log = "Init Application."
17. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Log = "Uninit Application."
18. 再び、右側のパネルで以下のレジストリ値を検索します。
    Log = "bdg: ..."
19. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Log = "Uninit Application."
20. 再び、右側のパネルで以下のレジストリ値を検索します。
    Log = "bdg: Done."
21. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Log = "Uninit Application."
22. 再び、右側のパネルで以下のレジストリ値を検索します。
    Log = "dros: ..."
23. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Log = "Uninit Application."
24. 再び、右側のパネルで以下のレジストリ値を検索します。
    Log = "dros: Renames."
25. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Log = "Uninit Application."
26. 再び、右側のパネルで以下のレジストリ値を検索します。
    Log = "dros: Copies."
27. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Log = "Uninit Application."
28. 再び、右側のパネルで以下のレジストリ値を検索します。
    Log = "dros: Deletes."
29. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Log = "Uninit Application."
30. 再び、右側のパネルで以下のレジストリ値を検索します。
    Log = "dros: Done."
31. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Log = "Uninit Application."
32. 再び、右側のパネルで以下のレジストリ値を検索します。
    Log = "Uninit Application."
33. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Log = "Uninit Application."
34. レジストリエディタを閉じます。

マルウェアのコンポーネントファイルの削除：

1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
   註：Windowsのバージョンによって異なります。
2. [ファイル名のすべてまたは一部]に以下を入力してください。
   
   • %User Profile%\Application Data\Plug.bat
   • %User Profile%\Application Data\driver.inf
3. [探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
4. 検索が終了したら、ファイルを選択し、SHIFT+DELETEを押します。これにより、ファイルが完全に削除されます。
5. 残りのファイルに対して、このマルウェアのコンポーネントファイルの削除の手順2.）から4.）を繰り返してください。