WORM_SLENFBOT.BN

セーフモードでの起動：

• Windows 2000 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows XP の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Server 2003 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Vista および Windows 7 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
3. 「詳細ブート オプション」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

このマルウェアが追加したレジストリキーの削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services
3. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   avg8wd
4. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   avg8emc
5. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Image File Execution Options
6. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   ctfmon.exe
7. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>AppCompatFlags
8. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   Layers
9. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Policies>Microsoft>Windows NT
10. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    SystemRestore
11. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Policies>Microsoft
12. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    MRT
13. 「レジストリエディタ」を閉じます。

このマルウェアが追加したレジストリ値の削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Run
3. 右側のパネルで以下のレジストリ値を検索し、削除します。
   ctfmon.exe = "ctfmon.exe"
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Image File Execution Options>ctfmon.exe
5. 右側のパネルで以下のレジストリ値を検索し、削除します。
   Debugger = "avgvpp.exe"
6. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>AppCompatFlags>Layers
7. 右側のパネルで以下のレジストリ値を検索し、削除します。
   %System%\avgvpp.exe = "DisableNXShowUI"
8. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>SharedAccess>Parameters>FirewallPolicy>StandardProfile>AuthorizedApplications>List
9. 右側のパネルで以下のレジストリ値を検索し、削除します。
   %System%\avgvpp.exe = "%System%\avgvpp.exe:*:Enabled:Windows Live"
10. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>SharedAccess>Parameters>FirewallPolicy>DomainProfile>AuthorizedApplications>List
11. 右側のパネルで以下のレジストリ値を検索し、削除します。
    %System%\avgvpp.exe = "%System%\avgvpp.exe:*:Enabled:Windows Live"
12. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Policies>Microsoft>Windows NT>SystemRestore
13. 右側のパネルで以下のレジストリ値を検索し、削除します。
    DisableConfig = "1"
14. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Policies>Microsoft>Windows>WindowsUpdate
15. 右側のパネルで以下のレジストリ値を検索し、削除します。
    DoNotAllowXPSP2 = "1"
16. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Policies>Microsoft>MRT
17. 右側のパネルで以下のレジストリ値を検索し、削除します。
    DontReportInfectionInformation = "1"
18. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>avg8wd
19. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Start = "4"
20. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>avg8emc
21. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Start = "4"
22. 「レジストリエディタ」を閉じます。

このマルウェアが変更したレジストリ値の修正：

1. 「レジストリエディタ」を起動します。
   
   • Windows 2000、XP および Server 2003 の場合
     [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、Enter を押します。。
   • Windows Vista および 7 の場合
     [スタート]をクリックし、[プログラムとファイルの検索]に regedit と入力し、Enter を押します。
     ※"regedit" は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>SystemRestore
3. 右側のパネルで以下のレジストリ値を検索します。
   DisableSR = "1"
4. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Explorer>Advanced>Folder>SuperHidden
5. 右側のパネルで以下のレジストリ値を検索します。
   CheckedValue = "1"
6. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Explorer>Advanced
7. 右側のパネルで以下のレジストリ値を検索します。
   Hidden = "2"
8. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   Hidden = "2"
9. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Ole
10. 右側のパネルで以下のレジストリ値を検索します。
    EnableDCOM = "N"
11. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    EnableDCOM = "Y"
12. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Security Center
13. 右側のパネルで以下のレジストリ値を検索します。
    AntiVirusOverride = "1"
14. 再び、右側のパネルで以下のレジストリ値を検索します。
    AntiVirusDisableNotify = "1"
15. 再び、右側のパネルで以下のレジストリ値を検索します。
    FirewallOverride = "1"
16. 再び、右側のパネルで以下のレジストリ値を検索します。
    FirewallDisableNotify = "1"
17. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Control>Lsa
18. 右側のパネルで以下のレジストリ値を検索します。
    restrictanonymous = "1"
19. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>wscsvc
20. 右側のパネルで以下のレジストリ値を検索します。
    Start = "4"
21. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Start = "2"
22. レジストリエディタを閉じます。