TSPY_ZBOT.IWS

セーフモードでの起動：

• Windows 2000 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows XP の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Server 2003 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Vista および Windows 7 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
3. 「詳細ブート オプション」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

このマルウェアが追加したレジストリキーの削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft
3. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   Wiohb
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer
5. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   Privacy
6. 「レジストリエディタ」を閉じます。

このマルウェアが追加したレジストリ値の削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run
3. 右側のパネルで以下のレジストリ値を検索し、削除します。
   {58C4EBA0-47A8-AD40-8C85-A85A94978B48} = "%User Profile%\Bomaeh\lahuyk.exe"
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Wiohb
5. 右側のパネルで以下のレジストリ値を検索し、削除します。
   1f29h64j = "sjemkaCrB0ltbw
6. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>Privacy
7. 右側のパネルで以下のレジストリ値を検索し、削除します。
   CleanCookies = "0"
8. 右側のパネルで以下のレジストリ値を検索し、削除します。
   1jd35jcd = "91f437ec"
9. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>SharedAccess>Parameters>FirewallPolicy>StandardProfile
10. 右側のパネルで以下のレジストリ値を検索し、削除します。
    DisableNotifications = "1"
11. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>SharedAccess>Parameters>FirewallPolicy>StandardProfile>GloballyOpenPorts>List
12. 右側のパネルで以下のレジストリ値を検索し、削除します。
    23449:UDP = "23449:UDP:*:Enabled:UDP 23449"
13. 右側のパネルで以下のレジストリ値を検索し、削除します。
    DisableNotifications = "0"
14. 右側のパネルで以下のレジストリ値を検索し、削除します。
    17412:TCP = "17412:TCP:*:Enabled:TCP 17412"
15. 右側のパネルで以下のレジストリ値を検索し、削除します。
    93f3fjd = "ZWz0kcXvNklbb9Yl_CHAR(0x05)_C"
16. 右側のパネルで以下のレジストリ値を検索し、削除します。
    284068c0 = "{random characters}"
17. 右側のパネルで以下のレジストリ値を検索し、削除します。
    366ciaeg = "{random characters}"
18. 右側のパネルで以下のレジストリ値を検索し、削除します。
    366ciaeg = "{random values}"
19. 右側のパネルで以下のレジストリ値を検索し、削除します。
    284068c0 = "{random values}"
20. 右側のパネルで以下のレジストリ値を検索し、削除します。
    20i355gh = "{random values}"
21. 右側のパネルで以下のレジストリ値を検索し、削除します。
    e3447ca = "{random values}"
22. 右側のパネルで以下のレジストリ値を検索し、削除します。
    1jd35jcd = "91f437ed"
23. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>Internet Account Manager
24. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Server ID = "4"
25. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>WAB>WAB4
26. 右側のパネルで以下のレジストリ値を検索し、削除します。
    FirstRun = "1"
27. 右側のパネルで以下のレジストリ値を検索し、削除します。
    OlkContactRefresh = "0"
28. 右側のパネルで以下のレジストリ値を検索し、削除します。
    OlkFolderRefresh = "0"
29. 右側のパネルで以下のレジストリ値を検索し、削除します。
    1jd35jcd = "{random values}"
30. 右側のパネルで以下のレジストリ値を検索し、削除します。
    9c77dc4 = "{random values}"
31. 「レジストリエディタ」を閉じます。

このマルウェアが変更したレジストリ値の修正：

1. 「レジストリエディタ」を起動します。
   
   • Windows 2000、XP および Server 2003 の場合
     [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、Enter を押します。。
   • Windows Vista および 7 の場合
     [スタート]をクリックし、[プログラムとファイルの検索]に regedit と入力し、Enter を押します。
     ※"regedit" は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Internet Settings>Zones>0
3. 右側のパネルで以下のレジストリ値を検索します。
   1609 = "0"
4. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   1609 = "1"
5. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Internet Settings>Zones>1
6. 右側のパネルで以下のレジストリ値を検索します。
   1406 = "0"
7. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   1406 = "1"
8. 再び、右側のパネルで以下のレジストリ値を検索します。
   1609 = "0"
9. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   1609 = "1"
10. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Internet Settings>Zones>2
11. 右側のパネルで以下のレジストリ値を検索します。
    1609 = "0"
12. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    1609 = "1"
13. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Internet Settings>Zones>3
14. 右側のパネルで以下のレジストリ値を検索します。
    1406 = "0"
15. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    1406 = "3"
16. 再び、右側のパネルで以下のレジストリ値を検索します。
    1609 = "0"
17. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    1609 = "1"
18. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Internet Settings>Zones>4
19. 右側のパネルで以下のレジストリ値を検索します。
    1406 = "0"
20. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    1406 = "3"
21. 再び、右側のパネルで以下のレジストリ値を検索します。
    1609 = "0"
22. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    1609 = "1"
23. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Identities
24. 右側のパネルで以下のレジストリ値を検索します。
    Last Username = "Main Identity"
25. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Last Username = "Main Identity"
26. 再び、右側のパネルで以下のレジストリ値を検索します。
    Last User ID = "{341F68BA-C841-4200-A7B4-3D5CFF202166}"
27. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Last User ID = "{C0FE0177-5693-4537-9331-A7402AD82D40}"
28. 再び、右側のパネルで以下のレジストリ値を検索します。
    Identity Login = "9853"
29. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Identity Login = "98053"
30. 再び、右側のパネルで以下のレジストリ値を検索します。
    Identity Ordinal = "2"
31. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Identity Ordinal = "1"
32. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Tracing>Microsoft>Imapi
33. 右側のパネルで以下のレジストリ値を検索します。
    LogSessionName = "stdout"
34. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    LogSessionName = "{random values}"
35. 再び、右側のパネルで以下のレジストリ値を検索します。
    Active = "1"
36. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Active = "1"
37. 再び、右側のパネルで以下のレジストリ値を検索します。
    ControlFlags = "1"
38. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    ControlFlags = "1"
39. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Tracing>Microsoft>Imapi>ImapiSvc
40. 右側のパネルで以下のレジストリ値を検索します。
    Guid = "8107d8e9-e323-49f5-bba2-abc35c243dca"
41. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Guid = "8107d8e9-e323-49f5-bba2-abc35c243dca"
42. 再び、右側のパネルで以下のレジストリ値を検索します。
    BitNames = "{random characters}"
43. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    BitNames = " ImapiDebugError ImapiDebugWarning ImapiDebugTrace ImapiDebugInfo ImapiDebugX ImapiDebugSort"
44. レジストリエディタを閉じます。

マルウェアのコンポーネントファイルの削除：

マルウェアのフォルダの削除：

1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
   註：Windowsのバージョンによって異なります。
2. [ファイル名のすべてまたは一部]に、以下のフォルダ名を入力してください。
   
   • %User Profile%\Application Data\Bomaeh
3. [探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
4. 検索が終了したら、フォルダを選択し、SHIFT+DELETEを押します。これにより、フォルダが完全に削除されます。