PE_SALITY.RL

マルウェアのプロセス終了：

1. 最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用いてウイルス検索を実行し、検出したマルウェアのファイル名を確認し、メモ等をとってください。
2. タスクマネージャを起動します。
   • Windows 2000、XP、Server 2003 、Vista、7 および Server 2008の場合、CTRL+SHIFT+ESCを押し、[プロセス]タブをクリックします。
   • Windows 8、8.1および Server 2012の場合、 [詳細]タブをクリックします。
3. 実行中のプログラムのリストから、上記で検出したマルウェアのファイルを選択します。
4. 使用しているWindowsのバージョンに応じて、[タスクの終了]、または、[プロセスの終了]をクリックします。
5. 同様の手順で、上記で確認したマルウェアのファイルをすべて終了してください。
6. マルウェアのプロセスが終了されているかを確認するには、タスクマネージャを閉じ、再度開いてください。
7. タスクマネージャを閉じてください。

このマルウェアが追加したレジストリ値の削除：

1. 「レジストリエディタ」を起動します。
   
   • Windows 2000、XP および Server 2003 の場合：
     [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、Enter を押します。
   • Windows Vista、7 および Server 2008 の場合：
     [スタート]をクリックし、検索入力欄に regedit と入力し、Enter を押します。
   • Windows 8、8.1 および Server 2012 の場合：
     画面の左下隅を右クリックし、[ファイル名を指定して実行]を選択します。入力ボックスに regedit と入力し、Enter を押します。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Security Center
3. 右側のパネルで以下のレジストリ値を検索し、削除します。
   AntiVirusDisableNotify = "1"
4. 右側のパネルで以下のレジストリ値を検索し、削除します。
   AntiVirusOverride = "1"
5. 右側のパネルで以下のレジストリ値を検索し、削除します。
   FirewallDisableNotify = "1"
6. 右側のパネルで以下のレジストリ値を検索し、削除します。
   FirewallOverride = "1"
7. 右側のパネルで以下のレジストリ値を検索し、削除します。
   UacDisableNotify = "1"
8. 右側のパネルで以下のレジストリ値を検索し、削除します。
   UpdatesDisableNotify = "1"
9. 右側のパネルで以下のレジストリ値を検索し、削除します。
   AntiVirusDisableNotify = "1"
10. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Security Center>Svc
11. 右側のパネルで以下のレジストリ値を検索し、削除します。
    AntiVirusOverride = "1"
12. 右側のパネルで以下のレジストリ値を検索し、削除します。
    FirewallDisableNotify = "1"
13. 右側のパネルで以下のレジストリ値を検索し、削除します。
    FirewallOverride = "1"
14. 右側のパネルで以下のレジストリ値を検索し、削除します。
    UacDisableNotify = "1"
15. 右側のパネルで以下のレジストリ値を検索し、削除します。
    UpdatesDisableNotify = "1"
16. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>policies>system
17. 右側のパネルで以下のレジストリ値を検索し、削除します。
    EnableLUA = "0"
18. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet> Services>SharedAccess>Parameters>FirewallPolicy>StandardProfile
19. 右側のパネルで以下のレジストリ値を検索し、削除します。
    EnableFirewall = "0"
20. 右側のパネルで以下のレジストリ値を検索し、削除します。
    DoNotAllowExceptions = "0"
21. 右側のパネルで以下のレジストリ値を検索し、削除します。
    DisableNotifications = "1"
22. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet> Services>SharedAccess>Parameters>FirewallPolicy>StandardProfile>AuthorizedApplications>List
23. 右側のパネルで以下のレジストリ値を検索し、削除します。
    {malware path and file name} = "{malware path and file name}:*:Enabled:ipsec"
24. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>System>CurrentControlSet>Services>amsint32
25. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Type = "1"
26. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Start = "3"
27. 右側のパネルで以下のレジストリ値を検索し、削除します。
    ErrorControl = "1"
28. 右側のパネルで以下のレジストリ値を検索し、削除します。
    ImagePath = "\??\%System%\drivers\{random file name}.sys"
29. 右側のパネルで以下のレジストリ値を検索し、削除します。
    DisplayName = "amsint32"
30. 「レジストリエディタ」を閉じます。

このマルウェアが追加したレジストリキーの削除：

1. コンピュータをセーフモードで再起動します。セーフモードでの再起動については、こちらをご参照下さい。
2. 「レジストリエディタ」を起動します。
   • Windows 2000、XP および Server 2003 の場合：
     [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、Enter を押します。
   • Windows Vista、7 および Server 2008 の場合：
     [スタート]をクリックし、検索入力欄に regedit と入力し、Enter を押します。
   • Windows 8、8.1 および Server 2012 の場合：
     画面の左下隅を右クリックし、[ファイル名を指定して実行]を選択します。入力ボックスに regedit と入力し、Enter を押します。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
3. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software
4. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   {random characters}
5. 「レジストリエディタ」を閉じます。

このマルウェアが変更したレジストリ値の修正：

1. 「レジストリエディタ」を起動します。
   • Windows 2000、XP および Server 2003 の場合：
     [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、Enter を押します。
   • Windows Vista、7 および Server 2008 の場合：
     [スタート]をクリックし、検索入力欄に regedit と入力し、Enter を押します。
   • Windows 8、8.1 および Server 2012 の場合：
     画面の左下隅を右クリックし、[ファイル名を指定して実行]を選択します。入力ボックスに regedit と入力し、Enter を押します。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Explorer>Advanced
3. 右側のパネルで以下のレジストリ値を検索します。
   Hidden = "2"
4. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   Hidden = "1"
5. レジストリエディタを閉じます。

作成された AUTORUN.INF の検索および削除：

• Windows 2000、XP および Server 2003 の場合：

1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
   註：Windowsのバージョンによって異なります。
2. [ファイル名のすべてまたは一部]に以下を入力してください。
   AUTORUN.INF
3. [探す場所]の一覧から該当ドライブを選択し、[検索]を押します。
4. 検索が終了したら、ファイルを選択し、メモ帳などテキストエディタを用いて開いてください。
5. 以下の文字列が存在するか確認してください。
   [AutoRun];
   {garbage characters}
   shELl\EXplOrE\cOmMand= {random file name}.exe;
   {garbage characters}
   sheLL\OPen\cOMMaND= {random file name}.exe;
   {garbage characters}
   shEll\open\DefAuLt=1;
   {garbage characters}
   OPen= {random file name}.exe;
   {garbage characters}
   shelL\aUToPLAy\command = {random file name}.exe
6. この文字列が存在する場合はファイルを削除してください。
7. 他のリムーバブルドライブ内の残りの "AUTORUN.INF" についても、この手順3.)から6.)を繰り返してください。
8. [検索結果]画面を閉じてください。

• Windows Vista、7、Server 2008、8、8.1 および Server 2012 の場合：

1. Windowsエクスプローラ画面を開きます。
   • Windows Vista、7 および Server 2008 の場合：
     • [スタート]-[コンピューター]を選択します。
   • Windows 8、8.1 および Server 2012 の場合：
     • 画面の左下隅を右クリックし、[エクスプローラー]を選択します。
2. [コンピューターの検索]に、以下を入力してください。
   AUTORUN.INF
3. 検索が終了したら、ファイルを選択し、メモ帳などテキストエディタを用いて開いてください。
4. 以下の文字列が存在するか確認してください。
   [AutoRun];
   {garbage characters}
   shELl\EXplOrE\cOmMand= {random file name}.exe;
   {garbage characters}
   sheLL\OPen\cOMMaND= {random file name}.exe;
   {garbage characters}
   shEll\open\DefAuLt=1;
   {garbage characters}
   OPen= {random file name}.exe;
   {garbage characters}
   shelL\aUToPLAy\command = {random file name}.exe
5. この文字列が存在する場合はファイルを削除してください。
6. 他のリムーバブルドライブ内の残りの "AUTORUN.INF" についても、この手順3.)から5.)を繰り返してください。
7. [検索結果]画面を閉じてください。