TROJ_LOWZONE.JG

レジストリエディタおよびタスクマネージャ、フォルダオプション機能の有効：

1. メモ帳などのテキストエディタを開きます。
   
   • Windows 2000、 XP および Server 2003 の場合
   
   [スタート]-[ファイル名を指定して実行]を選択し、notepad と入力し、[OK]をクリックします。
   • Windows Vista および 7 の場合
   
   [スタート]をクリックし、[プログラムとファイルの検索]に notepad と入力し、Enter を押します。
   ※notepad は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 以下の文字列をコピーしてください。
   On Error Resume Next Set shl = WScript.CreateObject("WScript.Shell") shl.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools" shl.RegDelete "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools" shl.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr" shl.RegDelete "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr" shl.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions" shl.RegDelete "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions"
3. "C:\RESTORE.VBS" のファイル名でこのファイルを保存してください。
4. [スタート]-[ファイル名を指定して実行]を選択し、C:\RESTORE.VBS と入力し、Enter を押します。
5. 確認画面が表示されたら[はい]を選択し、画面を終了してください。

このマルウェアが追加したレジストリキーの削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>ODBC
3. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   Boot
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Control>Keyboard Layouts
5. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   E6861806
6. 「レジストリエディタ」を閉じます。

このマルウェアが追加したレジストリ値の削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>ODBC>Boot
3. 右側のパネルで以下のレジストリ値を検索し、削除します。
   Runner1 = "{random values}"
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Control>Keyboard Layouts>E6861806
5. 右側のパネルで以下のレジストリ値を検索し、削除します。
   IME File = "MSCTFIMEEXT.IME"
6. 右側のパネルで以下のレジストリ値を検索し、削除します。
   Layout File = "KBDUS.DLL"
7. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>ODBC
8. 右側のパネルで以下のレジストリ値を検索し、削除します。
   ie = "{malware path and file name}"
9. 右側のパネルで以下のレジストリ値を検索し、削除します。
   it2 = "{random values}"
10. 右側のパネルで以下のレジストリ値を検索し、削除します。
    id2 = "124228D8NPY9KZ2F"
11. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Internet Settings
12. 右側のパネルで以下のレジストリ値を検索し、削除します。
    CertificateRevocation = "1"
13. 右側のパネルで以下のレジストリ値を検索し、削除します。
    DisableCachingOfSSLPages = "1"
14. 「レジストリエディタ」を閉じます。

このマルウェアが変更したレジストリ値の修正：

1. 「レジストリエディタ」を起動します。
   
   • Windows 2000、XP および Server 2003 の場合
     [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、Enter を押します。。
   • Windows Vista および 7 の場合
     [スタート]をクリックし、[プログラムとファイルの検索]に regedit と入力し、Enter を押します。
     ※"regedit" は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>IMM
3. 右側のパネルで以下のレジストリ値を検索します。
   LoadImm = "1"
4. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   LoadImm = "1"
5. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Keyboard Layout>Preload
6. 右側のパネルで以下のレジストリ値を検索します。
   1 = "E6861806"
7. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   1 = "00000409"
8. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Internet Settings>Zones>3
9. 右側のパネルで以下のレジストリ値を検索します。
   1C00 = "0"
10. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    1C00 = "10000"
11. 再び、右側のパネルで以下のレジストリ値を検索します。
    1400 = "0"
12. 再び、右側のパネルで以下のレジストリ値を検索します。
    1402 = "0"
13. 再び、右側のパネルで以下のレジストリ値を検索します。
    1200 = "0"
14. 再び、右側のパネルで以下のレジストリ値を検索します。
    1201 = "0"
15. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    1201 = "3"
16. 再び、右側のパネルで以下のレジストリ値を検索します。
    1601 = "0"
17. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    1601 = "1"
18. 再び、右側のパネルで以下のレジストリ値を検索します。
    CurrentLevel = "0"
19. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Internet Settings
20. 右側のパネルで以下のレジストリ値を検索します。
    PrivacyAdvanced = "0"
21. 再び、右側のパネルで以下のレジストリ値を検索します。
    EnableHttp1_1 = "1"
22. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    EnableHttp1_1 = "1"
23. 再び、右側のパネルで以下のレジストリ値を検索します。
    1001 = "3"
24. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    1001 = "1"
25. 再び、右側のパネルで以下のレジストリ値を検索します。
    1004 = "3"
26. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    1004 = "3"
27. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>Main
28. 右側のパネルで以下のレジストリ値を検索します。
    Start Page = "about:blank"
29. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Start Page = "http://www.microsoft.com/isapi/redir.dll?prd
30. レジストリエディタを閉じます。

マルウェアのコンポーネントファイルの削除：