WORM_AUTORUN.MMS

レジストリエディタおよびタスクマネージャ、フォルダオプション機能の有効：

1. メモ帳などのテキストエディタを開きます。
   
   • Windows 2000、 XP および Server 2003 の場合
   
   [スタート]-[ファイル名を指定して実行]を選択し、notepad と入力し、[OK]をクリックします。
   • Windows Vista および 7 の場合
   
   [スタート]をクリックし、[プログラムとファイルの検索]に notepad と入力し、Enter を押します。
   ※notepad は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 以下の文字列をコピーしてください。
   On Error Resume Next Set shl = WScript.CreateObject("WScript.Shell") shl.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools" shl.RegDelete "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools" shl.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr" shl.RegDelete "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr" shl.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions" shl.RegDelete "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions"
3. "C:\RESTORE.VBS" のファイル名でこのファイルを保存してください。
4. [スタート]-[ファイル名を指定して実行]を選択し、C:\RESTORE.VBS と入力し、Enter を押します。
5. 確認画面が表示されたら[はい]を選択し、画面を終了してください。

このマルウェアが追加したレジストリキーの削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>VB and VBA Program Settings version
3. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   trial
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Image File Execution Options
5. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   ctfmon.exe
6. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   taskmgr.exe
7. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   boot.exe
8. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   autorun.exe
9. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   autoruns.exe
10. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    auto.exe
11. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    msconfig.exe
12. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    procexp.exe
13. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>SOFTWARE>Microsoft>Windows>CurrentVersion
14. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    RunOnce
15. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>policies>Explorer
16. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    Run
17. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Policies>Microsoft>Windows>System>Scripts>Logoff
18. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    0
19. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    0
20. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>Software>Policies>Microsoft>Windows>System>Scripts>Shutdown
21. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    0
22. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    0
23. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>Software>Policies>Microsoft>Windows>System>Scripts>Startup
24. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    0
25. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    0
26. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Policies>Explorer
27. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    DisallowRun
28. 「レジストリエディタ」を閉じます。

このマルウェアが追加したレジストリ値の削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>VB and VBA Program Settings>trial version>trial
3. 右側のパネルで以下のレジストリ値を検索し、削除します。
   date1 = "5/13/2013"
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Image File Execution Options>ctfmon.exe
5. 右側のパネルで以下のレジストリ値を検索し、削除します。
   Debugger = "%Windows%\Fonts\Fonts.exe"
6. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Image File Execution Options>taskmgr.exe
7. 右側のパネルで以下のレジストリ値を検索し、削除します。
   Debugger = "%Windows%\Fonts\tskmgr.exe"
8. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Image File Execution Options>boot.exe
9. 右側のパネルで以下のレジストリ値を検索し、削除します。
   Debugger = "%Windows%\Fonts\fonts.exe"
10. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Image File Execution Options>autorun.exe
11. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Debugger = "%System%\drivers\drivers.cab.exe"
12. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Image File Execution Options>autoruns.exe
13. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Debugger = "%System%\drivers\drivers.cab.exe"
14. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Image File Execution Options>auto.exe
15. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Debugger = "%System%\drivers\drivers.cab.exe"
16. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Image File Execution Options>msconfig.exe
17. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Debugger = "%Windows%\Media\rndll32.pif"
18. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Image File Execution Options>procexp.exe
19. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Debugger = "%Windows%\pchealth\helpctr\binaries\HelpHost.com"
20. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>policies>Explorer>Run
21. 右側のパネルで以下のレジストリ値を検索し、削除します。
    sys = "%Windows%\Fonts\Fonts.exe"
22. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Policies>Microsoft>Windows>System>Scripts>Logoff>0
23. 右側のパネルで以下のレジストリ値を検索し、削除します。
    DisplayName = "Local Group Policy"
24. 右側のパネルで以下のレジストリ値を検索し、削除します。
    GPO-ID = "LocalGPO"
25. 右側のパネルで以下のレジストリ値を検索し、削除します。
    GPOName = "Local Group Policy"
26. 右側のパネルで以下のレジストリ値を検索し、削除します。
    SOM-ID = "Local"
27. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Policies>Microsoft>Windows>System>Scripts>Logoff>0>0
28. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Script = "%Windows%\Cursors\Boom.vbs"
29. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Policies>Microsoft>Windows>System>Scripts>Shutdown>0
30. 右側のパネルで以下のレジストリ値を検索し、削除します。
    DisplayName = "Local Group Policy"
31. 右側のパネルで以下のレジストリ値を検索し、削除します。
    GPO-ID = "LocalGPO"
32. 右側のパネルで以下のレジストリ値を検索し、削除します。
    GPOName = "Local Group Policy"
33. 右側のパネルで以下のレジストリ値を検索し、削除します。
    SOM-ID = "Local"
34. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Policies>Microsoft>Windows>System>Scripts>Shutdown>0>0
35. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Script = "%Windows%\Cursors\Boom.vbs"
36. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Policies>Microsoft>Windows>System>Scripts>Startup>0
37. 右側のパネルで以下のレジストリ値を検索し、削除します。
    DisplayName = "Local Group Policy"
38. 右側のパネルで以下のレジストリ値を検索し、削除します。
    GPO-ID = "LocalGPO"
39. 右側のパネルで以下のレジストリ値を検索し、削除します。
    GPOName = "Local Group Policy"
40. 右側のパネルで以下のレジストリ値を検索し、削除します。
    SOM-ID = "Local"
41. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Policies>Microsoft>Windows>System>Scripts>Startup>0>0
42. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Script = "%Windows%\Boom.vbs"
43. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Classes>exefile
44. 右側のパネルで以下のレジストリ値を検索し、削除します。
    NeverShowExt = "1"
45. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Classes>comfile
46. 右側のパネルで以下のレジストリ値を検索し、削除します。
    NeverShowExt = "1"
47. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>policies>system
48. 右側のパネルで以下のレジストリ値を検索し、削除します。
    DisableStatusMessages = "1"
49. 「レジストリエディタ」を閉じます。

このマルウェアが変更したレジストリ値の修正：

1. 「レジストリエディタ」を起動します。
   
   • Windows 2000、XP および Server 2003 の場合
     [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、Enter を押します。。
   • Windows Vista および 7 の場合
     [スタート]をクリックし、[プログラムとファイルの検索]に regedit と入力し、Enter を押します。
     ※"regedit" は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Explorer>Advanced>Folder>SuperHidden
3. 右側のパネルで以下のレジストリ値を検索します。
   ValueName = "ShowSuperHiden"
4. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   ValueName = "ShowSuperHidden"
5. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Control Panel>Desktop
6. 右側のパネルで以下のレジストリ値を検索します。
   SCRNSAVE.EXE = "%Windows%\pchealth\helpctr\binaries\HelpHost.com"
7. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   SCRNSAVE.EXE = "%Windows%\system32\logon.scr"
8. 再び、右側のパネルで以下のレジストリ値を検索します。
   ScreenSaveTimeOut = "30"
9. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   ScreenSaveTimeOut = "600"
10. 再び、右側のパネルで以下のレジストリ値を検索します。
    AutoEndTasks = "1"
11. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    AutoEndTasks = "0"
12. レジストリエディタを閉じます。

マルウェアのコンポーネントファイルの削除：

マルウェアのフォルダの削除：

1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
   註：Windowsのバージョンによって異なります。
2. [ファイル名のすべてまたは一部]に、以下のフォルダ名を入力してください。
   
   • %System%\dllcache\Recycler.{645FF040-5081-101B-9F08-00AA002F954E}
3. [探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
4. 検索が終了したら、フォルダを選択し、SHIFT+DELETEを押します。これにより、フォルダが完全に削除されます。