TROJ_ENCPDF.A

セーフモードでの起動：

• Windows 2000 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています･･･」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows XP の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています･･･」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Server 2003 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています･･･」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

このマルウェアが追加したレジストリ値の削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>policies>system
3. 右側のパネルで以下のレジストリ値を検索し、削除します。
   EnableLUA = 0
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Control>Class>{4D36E972-E325-11CE-BFC1-08002bE10318}>0002
5. 右側のパネルで以下のレジストリ値を検索し、削除します。
   EnableForRas = 0
6. 右側のパネルで以下のレジストリ値を検索し、削除します。
   EnableForRouting = 0
7. 右側のパネルで以下のレジストリ値を検索し、削除します。
   EnableForOutboundRouting = 0
8. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Control>Class>{4D36E972-E325-11CE-BFC1-08002bE10318}>0003
9. 右側のパネルで以下のレジストリ値を検索し、削除します。
   EnableForRas = 0
10. 右側のパネルで以下のレジストリ値を検索し、削除します。
    EnableForRouting = 0
11. 右側のパネルで以下のレジストリ値を検索し、削除します。
    EnableForOutboundRouting = 0
12. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Control>Class>{4D36E972-E325-11CE-BFC1-08002bE10318}>0004
13. 右側のパネルで以下のレジストリ値を検索し、削除します。
    EnableForRas = 0
14. 右側のパネルで以下のレジストリ値を検索し、削除します。
    EnableForRouting = 0
15. 右側のパネルで以下のレジストリ値を検索し、削除します。
    EnableForOutboundRouting = 0
16. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Control>Class>{4D36E972-E325-11CE-BFC1-08002bE10318}>0005
17. 右側のパネルで以下のレジストリ値を検索し、削除します。
    EnableForRas = 0
18. 右側のパネルで以下のレジストリ値を検索し、削除します。
    EnableForRouting = 0
19. 右側のパネルで以下のレジストリ値を検索し、削除します。
    EnableForOutboundRouting = 0
20. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>RasMan>Parameters
21. 右側のパネルで以下のレジストリ値を検索し、削除します。
    IpOutLowWatermark = 1
22. 右側のパネルで以下のレジストリ値を検索し、削除します。
    IpOutHighWatermark = 5
23. 右側のパネルで以下のレジストリ値を検索し、削除します。
    NbfOutLowWatermark = 1
24. 右側のパネルで以下のレジストリ値を検索し、削除します。
    NbfOutHighWatermark = 5
25. 右側のパネルで以下のレジストリ値を検索し、削除します。
    NbfInLowWatermark = 1
26. 右側のパネルで以下のレジストリ値を検索し、削除します。
    NbfInHighWatermark = 5
27. 「レジストリエディタ」を閉じます。

このマルウェアが追加したレジストリキーの削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、"regedit" と入力し、[OK]をクリックします。
   ※"regedit" は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Tracing
3. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   BAP
4. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   PPP
5. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   RASBACP
6. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   RASCCP
7. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   RASEAP
8. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   RASIPCP
9. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   RASIPHLP
10. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    RASMAN
11. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    RASPAP
12. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    RASQEC
13. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    RASSPAP
14. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    RASTAPI
15. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>Eventlog>Application
16. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    Microsoft H.323 Telephony Service Provider
17. 「レジストリエディタ」を閉じます。

このマルウェアが変更したレジストリ値の修正：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、"regedit" と入力し、[OK]をクリックします。
   ※"regedit" は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Winlogon
3. 右側のパネルで以下のレジストリ値を検索します。
   Userinit = %System%\userinit.exe,%System%\mstap32.exe
4. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   Userinit = %System%\userinit.exe,
5. レジストリエディタを閉じます。

HOSTSファイルの修正：

1. メモ帳などのテキストエディタを用いて、以下のファイルを開きます。
   %System%\drivers\etc\HOSTS
   (註： %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)
2. 下記記述を含む行を削除してください。
   69.90.81.66 {username}
3. ファイルを保存し、テキストエディタを閉じます。

マルウェアのファイルの削除：

1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
   註：Windowsのバージョンによって異なります。
2. [ファイル名のすべてまたは一部]に、以下のファイル名を入力してください。
   
   %System%\htdns.dll
   %User Temp%\GeoIP.dat
   %Windows%\pdoor.exe
   
   
3. [探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
4. 検索が終了したら、ファイルを選択し、SHIFT+DELETEを押します。これにより、ファイルが完全に削除されます。