TSPY_ZBOT.HIT

セーフモードでの起動：

• Windows 2000 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています･･･」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows XP の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています･･･」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Server 2003 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています･･･」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

このマルウェアが追加したレジストリキーの削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>SharedAccess>Parameters>FirewallPolicy>StandardProfile>GloballyOpenPorts
3. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   List
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft
5. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   Usyqu
6. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer
7. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   Privacy
8. 「レジストリエディタ」を閉じます。

このマルウェアが追加したレジストリ値の削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run
3. 右側のパネルで以下のレジストリ値を検索し、削除します。
   {58C4EBA0-47A8-AD40-8C85-A85A94978B48} = ""%User Profile%\Jyfo\zaox.exe""
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Usyqu
5. 右側のパネルで以下のレジストリ値を検索し、削除します。
   37jea49 = "Uv06JJn3hR+LKqjKzS0kELCGQoz0lr+S?   ?"
6. 右側のパネルで以下のレジストリ値を検索し、削除します。
   7icfc13 = "L/1bJA
7. 右側のパネルで以下のレジストリ値を検索し、削除します。
   7icfc13 = 245bfd2e
8. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>SharedAccess>Parameters>FirewallPolicy>StandardProfile
9. 右側のパネルで以下のレジストリ値を検索し、削除します。
   DisableNotifications = 1
10. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>SharedAccess>Parameters>FirewallPolicy>StandardProfile>GloballyOpenPorts>List
11. 右側のパネルで以下のレジストリ値を検索し、削除します。
    22548:UDP = "22548:UDP:*:Enabled:UDP 22548"
12. 右側のパネルで以下のレジストリ値を検索し、削除します。
    16450:TCP = "16450:TCP:*:Enabled:TCP 16450"
13. 右側のパネルで以下のレジストリ値を検索し、削除します。
    24b888g3 = "K6VbJLW3/B/mKsfK_CHAR(0x03)__CHAR(0x05)_?_CHAR(0x08)_?"
14. 右側のパネルで以下のレジストリ値を検索し、削除します。
    g98f12i = "P/1bJDxpTlEgemHTZxf3CFl7SOvMx954G4LYomecBx0++BS2YxzBHxjz2EQUpOLPn8eGZ+qN9uU
15. 右側のパネルで以下のレジストリ値を検索し、削除します。
    g98f12i = "P/1bJDxpTlEgemHTZxf3CFl7SOvMx954G4LYomecBx0++BS2YxzBHxjz2EQUpOLPn8eGZ+qN9uXV91Tv0aWwEglfsKoQzEWRSCjj2ohhVWNerGur+s0rG3tm4Rrl8WVFtPuuHW9YUO8rgfAEkmlORA
16. 右側のパネルで以下のレジストリ値を検索し、削除します。
    5a52jbf = {random values}
17. 右側のパネルで以下のレジストリ値を検索し、削除します。
    2a1ddh9c = {random values}
18. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>Internet Account Manager
19. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Server ID = 4
20. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>WAB>WAB4
21. 右側のパネルで以下のレジストリ値を検索し、削除します。
    FirstRun = 1
22. 右側のパネルで以下のレジストリ値を検索し、削除します。
    7icfc13 = "bv1bJA
23. 右側のパネルで以下のレジストリ値を検索し、削除します。
    7icfc13 = "Zv1bJA
24. 「レジストリエディタ」を閉じます。

このマルウェアが変更したレジストリ値の修正：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Identities
3. 右側のパネルで以下のレジストリ値を検索します。
   Last Username = "Main Identity"
4. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   Last Username = Main Identity
5. 再び、右側のパネルで以下のレジストリ値を検索します。
   Last User ID = "{341F68BA-C841-4200-A7B4-3D5CFF202166}"
6. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   Last User ID = {5D1D9894-914A-4AF9-BD82-81F349A83013}
7. 再び、右側のパネルで以下のレジストリ値を検索します。
   Identity Login = 9853
8. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   Identity Login = 98053
9. 再び、右側のパネルで以下のレジストリ値を検索します。
   Identity Ordinal = 2
10. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Identity Ordinal = 1
11. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>WBEM>WDM
12. 右側のパネルで以下のレジストリ値を検索します。
    %System%\advapi32.dll[MofResourceName] = "LowDateTime:-878345984,HighDateTime:29653303***Binary mof compiled successfully"
13. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    %System%\advapi32.dll[MofResourceName] = LowDateTime:-1618731008,HighDateTime:29653597***Binary mof compiled successfully
14. レジストリエディタを閉じます。

マルウェアのフォルダの削除：

1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
   註：Windowsのバージョンによって異なります。
2. [ファイル名のすべてまたは一部]に以下を入力してください。
   
   • %User Profile%\Application Data\Jyfo
   • %User Profile%\Application Data\Okmeta
3. [探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
4. 検索が終了したら、フォルダを選択し、SHIFT+DELETEを押します。これにより、ファイルが完全に削除されます。
5. 残りのフォルダに対して、このマルウェアのコンポーネントファイルの削除の手順2.）から4.）を繰り返してください。
   • %User Profile%\Application Data\Jyfo
   • %User Profile%\Application Data\Okmeta

マルウェアのコンポーネントファイルの削除：

1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
   註：Windowsのバージョンによって異なります。
2. [ファイル名のすべてまたは一部]に以下を入力してください。
   
   • %User Profile%\Jyfo\zaox.exe
   • %User Profile%\Okmeta\iqoxo.yxu
3. [探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
4. 検索が終了したら、ファイルを選択し、SHIFT+DELETEを押します。これにより、ファイルが完全に削除されます。
5. 残りのファイルに対して、このマルウェアのコンポーネントファイルの削除の手順2.）から4.）を繰り返してください。