WORM_OTORUN.WKJ

セーフモードでの起動：

• Windows 2000 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています･･･」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows XP の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています･･･」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Server 2003 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています･･･」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

このマルウェアが追加したレジストリ値の削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run
3. 右側のパネルで以下のレジストリ値を検索し、削除します。
   wmi32 = "%system root%\Documents and Settings>All Users>Application Data>wmimgmt.exe"
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CLASSES_ROOT>exefile
5. 右側のパネルで以下のレジストリ値を検索し、削除します。
   NeverShowExt = ""
6. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Classes>exefile
7. 右側のパネルで以下のレジストリ値を検索し、削除します。
   NeverShowExt = ""
8. 「レジストリエディタ」を閉じます。

このマルウェアが変更したレジストリ値の修正：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、"regedit" と入力し、[OK]をクリックします。
   ※"regedit" は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Explorer>Advanced
3. 右側のパネルで以下のレジストリ値を検索します。
   ShowSuperHidden = 0
4. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   ShowSuperHidden = 1
5. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Explorer>Advanced>Folder>SuperHidden
6. 右側のパネルで以下のレジストリ値を検索します。
   UncheckedValue = 0
7. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   UncheckedValue = 1
8. レジストリエディタを閉じます。

マルウェアのフォルダの削除：

1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
   註：Windowsのバージョンによって異なります。
2. [ファイル名のすべてまたは一部]に以下を入力してください。
   
   %system root%\Documents and Settings\All Users\DRM\Media
   {shared folder or removable drive}\RECYCLER
3. [探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
4. 検索が終了したら、フォルダを選択し、SHIFT+DELETEを押します。これにより、ファイルが完全に削除されます。
5. 残りのフォルダに対して、このマルウェアのコンポーネントファイルの削除の手順2.）から4.）を繰り返してください。
   %system root%\Documents and Settings\All Users\DRM\Media
   {shared folder or removable drive}\RECYCLER

マルウェアのファイルの削除：

1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
   註：Windowsのバージョンによって異なります。
2. [ファイル名のすべてまたは一部]に、以下のファイル名を入力してください。
   
   %User Temp%\RHFLQB.XML
   %User Temp%\tmp~ghi.log
3. [探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
4. 検索が終了したら、ファイルを選択し、SHIFT+DELETEを押します。これにより、ファイルが完全に削除されます。

作成された AUTORUN.INF の検索および削除：

1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
   註：Windowsのバージョンによって異なります。
2. [ファイル名のすべてまたは一部]に以下を入力してください。
   AUTORUN.INF
3. [探す場所]の一覧から該当ドライブを選択し、[検索]を押します。
4. 検索が終了したら、ファイルを選択し、メモ帳などテキストエディタを用いて開いてください。
5. 以下の文字列が存在するか確認してください。
   
   ; for 16-bit app support
   [extensions]
   [fonts]
   [mci extensions]
   [Mail]
   [files]
   MAPI=1
   MAPIX=1
   MAPIXVER=1.0.0.1
   OLEMessaging=1
   CMCDLLNAME32=mapi32.dll
   CMC=1
   [MCI Extensions]
   aif=loghours.dll
   aiff=ole2.dll
   asf=d3dramp.dll
   aifc=psnppagn.dll
   asx=MPEGVideo2
   mpe=usrdtea.dll
   mpg=MPEGVideo
   mpv2=idq.dll
   mpeg=MPEGVideo
   snd=atl.dll
   wm=mcd32.dll
   wma=MP4
   wmp=MP3
   wmv=MPEG
   wmx=MPEGVideo32
   251846kfi56s
   ;{garbage}
   [Kasasf0q]iLasdfjKD28Ls33wDm2rq6Jl1EdAf8
   ;{garbage}
   [shellas]dBop1comasdnhsdf=fdsjsdf.exenghsadnetstad.
   as=asdfash0fsad asd1safsd9safdasf 
   ;{garbage}
   oaeFK1Kajkw6DdDL2f3a31zazi8a135Lwra
   Ls33wDm2rq6Jl1EdAf8soae   FK1Kajkw6DdDLKAl6sdcO7K
   asdfsadfLsafdsfadsdm   FKajkw6KAl6sdcO7K
   ;{garbage}
   [autorun]K0qi3adCa19lhsdfjKD2asfd23asdfsdfa
   PRINT=PRINT.EXE ASDd98daf897asdj
   ;{garbage}
   Play= Copy pictures to a foler on my computer
   shEllEXEcuTe   = RECYCLER\wmimgmt.com
   ;{garbage}
   sheLL\oPeN\coMManD =RECYCLER\wmimgmt.com
   ;{garbage}
   shELl\ExpLore\ComMand= RECYCLER\wmimgmt.com
   s=asfdsa5dffafdAf8soaeFExpLoreqiLasJ8Z3adC
   ;{garbage}
   Action=Open folder to view files 
   ;{garbage}
   Spell=Take no action then print the picture
   [drivers]
   wave=mmdrv.dll
   [driver32]
   timer=timer.drv
   [mci]
   woafont=app936.FON
   EGA40WOA.FON=EGA40WOA.FON
   [386enh]
   EGA51WOA.FON=KBDDSP.FON
6. この文字列が存在する場合はファイルを削除してください。
7. 他のリムーバブルドライブ内の残りの AUTORUN.INF についても、この手順3.)から6.)を繰り返してください。
8. [検索結果]画面を閉じてください。