TSPY_RANBYUS.W

レジストリエディタおよびタスクマネージャ、フォルダオプション機能の有効：

1. メモ帳などのテキストエディタを開きます。
   
   • Windows 2000、 XP および Server 2003 の場合：
     [スタート]-[ファイル名を指定して実行]を選択し、notepad と入力し、[OK]をクリックします。
   • Windows Vista、7 および Server 2008 の場合：
     [スタート]をクリックし、[プログラムとファイルの検索]に notepad と入力し、Enter を押します。
   • Windows 8、8.1 および Server 2012 の場合：
     画面の左下隅を右クリックし、[実行]を選択します。入力欄にnotepad と入力し、Enter を押します。
     ※notepad は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 以下の文字列をコピーしてください。
   On Error Resume Next Set shl = WScript.CreateObject("WScript.Shell") shl.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools" shl.RegDelete "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools" shl.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr" shl.RegDelete "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr" shl.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions" shl.RegDelete "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions"
3. "C:\RESTORE.VBS" のファイル名でこのファイルを保存してください。
4. このファイル上でダブルクリックし、"C:\RESTORE.VBS"を実行します。
5. 確認画面が表示されたら[はい]を選択し、画面を終了してください。

このマルウェアが追加したレジストリキーの削除：

1. 「レジストリエディタ」を起動します。
   • Windows 2000、XP および Server 2003 の場合
     [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、Enter を押します。
   • Windows Vista、7 および Server 2008 の場合：
     [スタート]をクリックし、検索入力欄に regedit と入力し、Enter を押します。
   • Windows 8、8.1 および Server 2012 の場合：
     画面の左下隅を右クリックし、[ファイル名を指定して実行]を選択します。入力ボックスに regedit と入力し、Enter を押します。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>S-1-5-21-1645522239-1292428093-682003330-1003>SOFTWARE>Microsoft>Windows NT>CurrentVersion
3. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   Winlogon
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_USERS>S-1-5-21-1645522239-1292428093-682003330-1003>Software>Microsoft>Windows>CurrentVersion>policies>Explorer
5. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   Run
6. 「レジストリエディタ」を閉じます。

このマルウェアが追加したレジストリ値の削除：

1. 「レジストリエディタ」を起動します。
   • Windows 2000、XP および Server 2003 の場合：
     [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、Enter を押します。
   • Windows Vista、7、Server 2008 の場合：
     [スタート]をクリックし、検索入力欄に regedit と入力し、Enter を押します。
   • Windows 8、8.1 および Server 2012 の場合：
     画面の左下隅を右クリックし、[ファイル名を指定して実行]を選択します。入力ボックスに regedit と入力し、Enter を押します。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>S-1-5-21-1645522239-1292428093-682003330-1003>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Winlogon
3. 右側のパネルで以下のレジストリ値を検索し、削除します。
   SysDebug32 = "{random characters}"
4. 「レジストリエディタ」を閉じます。

マルウェアのコンポーネントファイルの削除：