WORM_AUTORUN.AWK

2012年11月26日

別名:

Trojan:Win32/Orsam!rts (Microsoft); BackDoor-DRV.gen.c (McAfee); ARC:Embedded (Kaspersky); Trojan.Win32.Autorun.dm (v) (Sunbelt); Trojan:W32/Agent.DQOD (FSecure)

プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

危険度:

ダメージ度:

感染力:

感染確認数:

マルウェアタイプ: ワーム
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、タスクマネージャやレジストリエディタ、フォルダオプションを無効にします。

詳細

ファイルサイズ 1,259,934 bytes

タイプ EXE

メモリ常駐なし

発見日 2012年11月25日

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

%User Profile%\My Documents\Î¢ÈíÎå±ÊÊäÈë·¨86°æ.exe

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

ワームは、以下のフォルダを作成します。

%User Temp%\zhichiku

他のシステム変更

ワームは、以下のファイルを削除します。

%User Temp%\nsd1.tmp

ワームは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Internet Explorer\Extensions\{F2C63239-A5DB-487B-B283-4132351E7AB6}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\MenuExt\¡¾°Ù¶ÈÒ»ÏÂ,Äã¾ÍÖªµÀ¡¿

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Îå±ÊÐÍ

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Keyboard Layouts\E0200804

ワームは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Extensions\{F2C63239-A5DB-487B-B283-4132351E7AB6}
ButtonText = "°Ù¶ÈÒ»ÏÂ,Äã¾ÍÖªµÀ"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Extensions\{F2C63239-A5DB-487B-B283-4132351E7AB6}
CLSID = "{1FBA04EE-3024-11d2-8F1F-0000F87ABD16}"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Extensions\{F2C63239-A5DB-487B-B283-4132351E7AB6}
Default Visible = "yes"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Extensions\{F2C63239-A5DB-487B-B283-4132351E7AB6}
Exec = "http://www.{BLOCKED}u.com/index.php?tn=mm667_pg"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Extensions\{F2C63239-A5DB-487B-B283-4132351E7AB6}
HotIcon = "%Windows%\baidu.ico"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Extensions\{F2C63239-A5DB-487B-B283-4132351E7AB6}
Icon = "%Windows%\baidu.ico"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\MenuExt\¡¾°Ù¶ÈÒ»ÏÂ,Äã¾ÍÖªµÀ¡¿
Contexts = "3"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Îå±ÊÐÍ
ENTER = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Îå±ÊÐÍ
SPACE = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Îå±ÊÐÍ
FC aid = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Îå±ÊÐÍ
FC Input = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Îå±ÊÐÍ
GB/GBK = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Îå±ÊÐÍ
²å¿Õ¸ñ = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Îå±ÊÐÍ
´ÊÓïÁªÏë = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Îå±ÊÐÍ
´ÊÓïÊäÈë = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Îå±ÊÐÍ
¹â±ê¸úËæ = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Îå±ÊÐÍ
ÍâÂëÌáÊ¾ = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Îå±ÊÐÍ
Öð½¥ÌáÊ¾ = "1"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Keyboard Layouts\E0200804
Ime File = "WINWB86.IME"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Keyboard Layouts\E0200804
Layout Text = "ÍõÂëÎå±ÊÐÍÊäÈë·¨86°æ"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Keyboard Layouts\E0200804
Layout File = "kbdus.dll"

ワームは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Start Page = "http://www.{BLOCKED}u.com/index.php?tn=mm667_pg"

(註：変更前の上記レジストリ値は、「http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Search
SearchAssistant = "http://www.{BLOCKED}0.com/Search.html"

(註：変更前の上記レジストリ値は、「http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchasst.htm」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Search
CustomizeSearch = "http://www.{BLOCKED}0.com/Search.html"

(註：変更前の上記レジストリ値は、「http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchcust.htm」となります。)

HKEY_CURRENT_USER\Keyboard Layout\Preload
2 = "E0200804"

(註：変更前の上記レジストリ値は、「e00e0804」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
Microsoft\Imapi
LogSessionName = "stdout"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
Microsoft\Imapi
Active = "1"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
Microsoft\Imapi
ControlFlags = "1"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
Microsoft\Imapi\ImapiSvc
Guid = "8107d8e9-e323-49f5-bba2-abc35c243dca"

(註：変更前の上記レジストリ値は、「8107d8e9-e323-49f5-bba2-abc35c243dca」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
Microsoft\Imapi\ImapiSvc
BitNames = "{random characters}"

(註：変更前の上記レジストリ値は、「 ImapiDebugError ImapiDebugWarning ImapiDebugTrace ImapiDebugInfo ImapiDebugX ImapiDebugSort」となります。)

ワームは、以下のレジストリ値を追加し、タスクマネージャやレジストリエディタ、フォルダオプションを無効にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoInternetIcon = "1"

作成活動

ワームは、以下のファイルを作成します。

%User Temp%\zhichiku\krnln.fnr
%User Temp%\zhichiku\shell.fne
%User Temp%\zhichiku\eAPI.fne
%User Temp%\zhichiku\HtmlView.fne
%User Temp%\zhichiku\ERawSock.fne
%User Temp%\wb2008.exe
%Windows%\baidu.ico
%System%\baidu.htm
%Favorites%\¨y¨z¨¨}¨ ÉÏÍøµ¼º½.lnk
%Favorites%\¡¾ °Ù¶ÈÊ×Ò³ ¡¿.lnk
%Desktop%\Internet Explorer.lnk
%User Temp%\nsd2.tmp
%System%\Wb86_Reg.exe
%System%\Winwb86.IME
%System%\WINWB86.MB
%Windows%\help\WINWB86.CHM
%Temp%\046wsp6b.TMP

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。. %Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。. %Desktop%フォルダは、Windows 98 および MEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\デスクトップ" です。 Windows NTの場合、"C:\WINNT\Profiles\＜ユーザ名＞\デスクトップ"、Windows 2000、XP、Server 2003の場合は "C:\Documents and Settings\＜ユーザ名＞\デスクトップ" です。. %Temp%は、＜Windows Temporary フォルダ＞のことで、標準設定では "C:\WINNT\Temp" または "C:\Windows\Temp" です。)

このウイルス情報は、自動解析システムにより作成されました。

対応方法

対応検索エンジン: 9.300

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

レジストリエディタおよびタスクマネージャ、フォルダオプションの機能を有効にします。

[ 詳細 ]

この手順により、このワームが無効にした他のアプリケーションまたはプログラムの機能も有効になります。

手順 3

このレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Extensions
- {F2C63239-A5DB-487B-B283-4132351E7AB6}

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt
- ¡¾°Ù¶ÈÒ»ÏÂ,Äã¾ÍÖªµÀ¡¿

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion
- Îå±ÊÐÍ

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Keyboard Layouts
- E0200804

手順 4

このレジストリ値を削除します。

[ 詳細 ]

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Extensions\{F2C63239-A5DB-487B-B283-4132351E7AB6}
- ButtonText = "°Ù¶ÈÒ»ÏÂ,Äã¾ÍÖªµÀ"

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Extensions\{F2C63239-A5DB-487B-B283-4132351E7AB6}
- CLSID = "{1FBA04EE-3024-11d2-8F1F-0000F87ABD16}"

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Extensions\{F2C63239-A5DB-487B-B283-4132351E7AB6}
- Default Visible = "yes"

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Extensions\{F2C63239-A5DB-487B-B283-4132351E7AB6}
- Exec = "http://www.{BLOCKED}u.com/index.php?tn=mm667_pg"

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Extensions\{F2C63239-A5DB-487B-B283-4132351E7AB6}
- HotIcon = "%Windows%\baidu.ico"

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Extensions\{F2C63239-A5DB-487B-B283-4132351E7AB6}
- Icon = "%Windows%\baidu.ico"

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt\¡¾°Ù¶ÈÒ»ÏÂ,Äã¾ÍÖªµÀ¡¿
- Contexts = "3"

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Îå±ÊÐÍ
- ENTER = "0"

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Îå±ÊÐÍ
- SPACE = "1"

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Îå±ÊÐÍ
- FC aid = "0"

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Îå±ÊÐÍ
- FC Input = "0"

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Îå±ÊÐÍ
- GB/GBK = "0"

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Îå±ÊÐÍ
- ²å¿Õ¸ñ = "0"

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Îå±ÊÐÍ
- ´ÊÓïÁªÏë = "1"

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Îå±ÊÐÍ
- ´ÊÓïÊäÈë = "1"

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Îå±ÊÐÍ
- ¹â±ê¸úËæ = "1"

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Îå±ÊÐÍ
- ÍâÂëÌáÊ¾ = "1"

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Îå±ÊÐÍ
- Öð½¥ÌáÊ¾ = "1"

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Keyboard Layouts\E0200804
- Ime File = "WINWB86.IME"

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Keyboard Layouts\E0200804
- Layout Text = "ÍõÂëÎå±ÊÐÍÊäÈë·¨86°æ"

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Keyboard Layouts\E0200804
- Layout File = "kbdus.dll"

このマルウェアが追加したレジストリ値の削除：

「レジストリエディタ」を起動します。
[スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>Extensions>{F2C63239-A5DB-487B-B283-4132351E7AB6}
右側のパネルで以下のレジストリ値を検索し、削除します。
ButtonText = "°Ù¶ÈÒ»ÏÂ,Äã¾ÍÖªµÀ"
右側のパネルで以下のレジストリ値を検索し、削除します。
CLSID = "{1FBA04EE-3024-11d2-8F1F-0000F87ABD16}"
右側のパネルで以下のレジストリ値を検索し、削除します。
Default Visible = "yes"
右側のパネルで以下のレジストリ値を検索し、削除します。
Exec = "http://www.{BLOCKED}u.com/index.php?tn
右側のパネルで以下のレジストリ値を検索し、削除します。
HotIcon = "%Windows%\baidu.ico"
右側のパネルで以下のレジストリ値を検索し、削除します。
Icon = "%Windows%\baidu.ico"
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>MenuExt>¡¾°Ù¶ÈÒ»ÏÂ,Äã¾ÍÖªµÀ¡¿
右側のパネルで以下のレジストリ値を検索し、削除します。
Contexts = "3"
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Îå±ÊÐÍ
右側のパネルで以下のレジストリ値を検索し、削除します。
ENTER = "0"
右側のパネルで以下のレジストリ値を検索し、削除します。
SPACE = "1"
右側のパネルで以下のレジストリ値を検索し、削除します。
FC aid = "0"
右側のパネルで以下のレジストリ値を検索し、削除します。
FC Input = "0"
右側のパネルで以下のレジストリ値を検索し、削除します。
GB/GBK = "0"
右側のパネルで以下のレジストリ値を検索し、削除します。
²å¿Õ¸ñ = "0"
右側のパネルで以下のレジストリ値を検索し、削除します。
´ÊÓïÁªÏë = "1"
右側のパネルで以下のレジストリ値を検索し、削除します。
´ÊÓïÊäÈë = "1"
右側のパネルで以下のレジストリ値を検索し、削除します。
¹â±ê¸úËæ = "1"
右側のパネルで以下のレジストリ値を検索し、削除します。
ÍâÂëÌáÊ¾ = "1"
右側のパネルで以下のレジストリ値を検索し、削除します。
Öð½¥ÌáÊ¾ = "1"
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Control>Keyboard Layouts>E0200804
右側のパネルで以下のレジストリ値を検索し、削除します。
Ime File = "WINWB86.IME"
右側のパネルで以下のレジストリ値を検索し、削除します。
Layout Text = "ÍõÂëÎå±ÊÐÍÊäÈë·¨86°æ"
右側のパネルで以下のレジストリ値を検索し、削除します。
Layout File = "kbdus.dll"
「レジストリエディタ」を閉じます。

手順 5

変更されたレジストリ値を修正します。

[ 詳細 ]

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
- From: Start Page = "http://www.{BLOCKED}u.com/index.php?tn=mm667_pg"
  To: Start Page = ""http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome""

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Search
- From: SearchAssistant = "http://www.{BLOCKED}0.com/Search.html"
  To: SearchAssistant = ""http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchasst.htm""

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Search
- From: CustomizeSearch = "http://www.{BLOCKED}0.com/Search.html"
  To: CustomizeSearch = ""http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchcust.htm""

In HKEY_CURRENT_USER\Keyboard Layout\Preload
- From: 2 = "E0200804"
  To: 2 = ""e00e0804""

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\Microsoft\Imapi
- From: LogSessionName = "stdout"
  To: LogSessionName = ""{random values}""

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\Microsoft\Imapi
- From: Active = "1"
  To: Active = ""1""

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\Microsoft\Imapi
- From: ControlFlags = "1"
  To: ControlFlags = ""1""

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\Microsoft\Imapi\ImapiSvc
- From: Guid = "8107d8e9-e323-49f5-bba2-abc35c243dca"
  To: Guid = ""8107d8e9-e323-49f5-bba2-abc35c243dca""

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\Microsoft\Imapi\ImapiSvc
- From: BitNames = "{random characters}"
  To: BitNames = "" ImapiDebugError ImapiDebugWarning ImapiDebugTrace ImapiDebugInfo ImapiDebugX ImapiDebugSort""

このマルウェアが変更したレジストリ値の修正：

「レジストリエディタ」を起動します。
[スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>Main
右側のパネルで以下のレジストリ値を検索します。
Start Page = "http://www.{BLOCKED}u.com/index.php?tn
[値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
Start Page = "http://www.microsoft.com/isapi/redir.dll?prd
レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Internet Explorer>Search
右側のパネルで以下のレジストリ値を検索します。
SearchAssistant = "http://www.{BLOCKED}0.com/Search.html"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
SearchAssistant = "http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchasst.htm"
再び、右側のパネルで以下のレジストリ値を検索します。
CustomizeSearch = "http://www.{BLOCKED}0.com/Search.html"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
CustomizeSearch = "http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchcust.htm"
レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CURRENT_USER>Keyboard Layout>Preload
右側のパネルで以下のレジストリ値を検索します。
2 = "E0200804"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
2 = "e00e0804"
レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Tracing>Microsoft>Imapi
右側のパネルで以下のレジストリ値を検索します。
LogSessionName = "stdout"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
LogSessionName = "{random values}"
再び、右側のパネルで以下のレジストリ値を検索します。
Active = "1"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
Active = "1"
再び、右側のパネルで以下のレジストリ値を検索します。
ControlFlags = "1"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
ControlFlags = "1"
レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Tracing>Microsoft>Imapi>ImapiSvc
右側のパネルで以下のレジストリ値を検索します。
Guid = "8107d8e9-e323-49f5-bba2-abc35c243dca"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
Guid = "8107d8e9-e323-49f5-bba2-abc35c243dca"
再び、右側のパネルで以下のレジストリ値を検索します。
BitNames = "{random characters}"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
BitNames = " ImapiDebugError ImapiDebugWarning ImapiDebugTrace ImapiDebugInfo ImapiDebugX ImapiDebugSort"
レジストリエディタを閉じます。

手順 6

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%User Temp%\zhichiku\krnln.fnr
%User Temp%\zhichiku\shell.fne
%User Temp%\zhichiku\eAPI.fne
%User Temp%\zhichiku\HtmlView.fne
%User Temp%\zhichiku\ERawSock.fne
%User Temp%\wb2008.exe
%Windows%\baidu.ico
%System%\baidu.htm
%Favorites%\¨y¨z¨¨}¨ ÉÏÍøµ¼º½.lnk
%Favorites%\¡¾ °Ù¶ÈÊ×Ò³ ¡¿.lnk
%Desktop%\Internet Explorer.lnk
%User Temp%\nsd2.tmp
%System%\Wb86_Reg.exe
%System%\Winwb86.IME
%System%\WINWB86.MB
%Windows%\help\WINWB86.CHM
%Temp%\046wsp6b.TMP

手順 7

以下のフォルダを検索し削除します。

[ 詳細 ]

註：このフォルダは、隠しフォルダとして設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%User Temp%\zhichiku

手順 8

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「WORM_AUTORUN.AWK」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 9

以下のファイルをバックアップを用いて修復します。なお、マイクロソフト製品に関連したファイルのみ修復されます。このマルウェア／グレイウェア／スパイウェアが同社製品以外のプログラムをも削除した場合には、該当プログラムを再度インストールする必要があります。

%User Temp%\nsd1.tmp

ご利用はいかがでしたか？　アンケートにご協力ください