PE_SALITY.JER

セーフモードでの起動：

• Windows 2000 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows XP の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Server 2003 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Vista および Windows 7 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
3. 「詳細ブート オプション」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

変更されたレジストリ値の修正：

1. 「メモ帳」を起動します。
   » Windows 2000 および Windows XP、Windows Server 2003の場合、[スタート]-[ファイル名を指定して実行]を選択し、"notepad" と入力し、[OK]をクリックします。
   » Windows Vista および Windows 7の場合、[スタート]-[プログラムとファイルの検索]を選択し、"notepad" と入力し、[Enter]キーを押します。
   ※"notepad" は半角英数字で入力する必要があります。（大文字／小文字は区別されません）。
2. 以下のスクリプトをコピーおよびペーストします。
   On Error Resume Next Set shl = WScript.CreateObject("WScript.Shell") shl.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools" shl.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr" shl.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Hidden", "1", "REG_DWORD"
3. このファイルを "C:\RESTORE.VBS" として保存します。
4. "C:\RESTORE.VBS" を実行します。
   » For Windows 2000, XP, and Server 2003 users, click Start>Run. In the Open input box, type C:\RESTORE.VBS then press Enter.
   » Windows 2000 および Windows XP、Windows Server 2003の場合、[スタート]-[ファイル名を指定して実行]を選択し、"C:\RESTORE.VBS" と入力し、[OK]をクリックします。
   » Windows Vista および Windows 7の場合、[スタート]-[プログラムとファイルの検索]を選択し、"C:\RESTORE.VBS" と入力し、[Enter]キーを押します。
   ※"notepad" は半角英数字で入力する必要があります。（大文字／小文字は区別されません）。

このマルウェアが追加したレジストリ値の削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Internet Settings
3. 右側のパネルで以下のレジストリ値を検索し、削除します。
   GlobalUserOffline = "0"
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>SharedAccess>Parameters>FirewallPolicy>StandardProfile
5. 右側のパネルで以下のレジストリ値を検索し、削除します。
   EnableFirewall = "0"
6. 右側のパネルで以下のレジストリ値を検索し、削除します。
   DoNotAllowExceptions = "0"
7. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>SharedAccess>Parameters>FirewallPolicy>StandardProfile>AuthorizedApplications>List
8. 右側のパネルで以下のレジストリ値を検索し、削除します。
   {malware path and file name}.exe = "{malware path and file name}.exe:*:Enabled:ipsec"
9. 「レジストリエディタ」を閉じます。

このマルウェアが追加したレジストリキーの削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software
3. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   {user name}914
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Security Center
5. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   Svc
6. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Tracing
7. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   FWCFG
8. 「レジストリエディタ」を閉じます。

このマルウェアが変更したレジストリ値の修正：

1. 「レジストリエディタ」を起動します。
   
   • Windows 2000、XP および Server 2003 の場合
     [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、Enter を押します。。
   • Windows Vista および 7 の場合
     [スタート]をクリックし、[プログラムとファイルの検索]に regedit と入力し、Enter を押します。
     ※"regedit" は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Security Center
3. 右側のパネルで以下のレジストリ値を検索します。
   AntiVirusDisableNotify = "1"
4. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   AntiVirusDisableNotify = ""
5. 再び、右側のパネルで以下のレジストリ値を検索します。
   AntiVirusOverride = "1"
6. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   AntiVirusOverride = "0"
7. 再び、右側のパネルで以下のレジストリ値を検索します。
   FirewallDisableNotify = "1"
8. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   FirewallDisableNotify = ""
9. 再び、右側のパネルで以下のレジストリ値を検索します。
   FirewallOverride = "1"
10. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    FirewallOverride = ""
11. 再び、右側のパネルで以下のレジストリ値を検索します。
    UacDisableNotify = "1"
12. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    UacDisableNotify = ""
13. 再び、右側のパネルで以下のレジストリ値を検索します。
    UpdatesDisableNotify = "1"
14. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    UpdatesDisableNotify = ""
15. レジストリエディタを閉じます。

HOSTSファイルの修正：

1. メモ帳などのテキストエディタを用いて、以下のファイルを開きます。
   %System%\drivers\etc\HOSTS
   (註： %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)
2. 下記記述を含む行を削除してください。
   82.165.237.14
   82.165.250.33
   avp.com
   ca.com
   casablanca.cz
   customer.symantec.com
   d-eu-1f.kaspersky-labs.com
   d-eu-1h.kaspersky-labs.com
   d-eu-2f.kaspersky-labs.com
   d-eu-2h.kaspersky-labs.com
   d-ru-1f.kaspersky-labs.com
   d-ru-1h.kaspersky-labs.com
   d-ru-2f.kaspersky-labs.com
   d-ru-2h.kaspersky-labs.com
   d-us-1f.kaspersky-labs.com
   d-us-1h.kaspersky-labs.com
   d66.myleftnut.info
   dispatch.mcafee.com
   download.mcafee.com
   downloads-us1.kaspersky.com
   downloads1.kaspersky.com
   downloads1.kaspersky.ru
   downloads2.kaspersky.ru
   downloads3.kaspersky.ru
   downloads4.kaspersky.ru
   downloads5.kaspersky.ru
   eset.casablanca.cz
   eset.com
   f-secure.com
   kaspersky-labs.com
   kaspersky.com
   liveupdate.symantec.com
   liveupdate.symantecliveupdate.com
   mast.mcafee.com
   mcafee.com
   metalhead2005.info
   my-etrust.com
   nai.com
   networkassociates.com
   nod32.com
   norton.com
   rads.mcafee.com
   secure.nai.com
   securityresponse.symantec.com
   sophos.com
   symantec.com
   trendmicro.com
   u2.eset.com
   u3.eset.com
   u4.eset.com
   u7.eset.com
   update.symantec.com
   updates-us1.kaspersky.com
   updates.symantec.com
   updates1.kaspersky.com
   updates2.kaspersky.com
   updates3.kaspersky.com
   us.mcafee.com
   viruslist.com
   www.avp.com
   www.ca.com
   www.eset.com
   www.f-secure.com
   www.kaspersky.com
   www.mcafee.com
   www.microsoft.com
   www.my-etrust.com
   www.nai.com
   www.networkassociates.com
   www.nod32.com
   www.norton.com
   www.sophos.com
   www.symantec.com
   www.trendmicro.com
   www.viruslist.com
3. ファイルを保存し、テキストエディタを閉じます。

作成された AUTORUN.INF の検索および削除：

1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
   註：Windowsのバージョンによって異なります。
2. [ファイル名のすべてまたは一部]に以下を入力してください。
   AUTORUN.INF
3. [探す場所]の一覧から該当ドライブを選択し、[検索]を押します。
4. 検索が終了したら、ファイルを選択し、メモ帳などテキストエディタを用いて開いてください。
5. 以下の文字列が存在するか確認してください。
   [AutoRun]
   
   ;{random characters}
   ;{random characters}
   sheLl\opeN\cOmmand ={malware file name}.exe
   
   ;{random characters}
   ShelL\ExploRe\ComManD ={malware file name}.exe
   sheLl\oPEn\DefauLt=1
   ;{random characters}
   oPEN = {malware file name}.exe
   
   ;{random characters}
   sheLl\AUtoplAy\ComMaND ={malware file name}.exe
   ;{random characters}
6. この文字列が存在する場合はファイルを削除してください。
7. 他のリムーバブルドライブ内の残りの AUTORUN.INF についても、この手順3.)から6.)を繰り返してください。
8. [検索結果]画面を閉じてください。