TSPY_LEMIR.ITW

セーフモードでの起動：

• Windows 2000 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています･･･」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows XP の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています･･･」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Server 2003 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています･･･」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

このマルウェアが追加したレジストリキーの削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services
3. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   navapsvc
4. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   RsRavMon
5. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   RsCCenter
6. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   kavsvc
7. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   KVSrvXP
8. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   KPfwSvc
9. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   KWatchSvc
10. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    SNDSrvc
11. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    ccProxy
12. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    ccEvtMgr
13. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    ccSetMgr
14. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    SPBBCSvc
15. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    Symantec Core LC
16. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    NPFMntor
17. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    MskService
18. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    FireSvc
19. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    McShield
20. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    McTaskManager
21. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    McAfeeFramework
22. 「レジストリエディタ」を閉じます。

このマルウェアが追加したレジストリ値の削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Run
3. 右側のパネルで以下のレジストリ値を検索し、削除します。
   NTdhcp = "%System%\NTdhcp.exe"
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>navapsvc
5. 右側のパネルで以下のレジストリ値を検索し、削除します。
   Start = "4"
6. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>RsRavMon
7. 右側のパネルで以下のレジストリ値を検索し、削除します。
   Start = "4"
8. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>RsCCenter
9. 右側のパネルで以下のレジストリ値を検索し、削除します。
   Start = "4"
10. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>kavsvc
11. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Start = "4"
12. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>KVSrvXP
13. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Start = "4"
14. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>KPfwSvc
15. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Start = "4"
16. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>KWatchSvc
17. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Start = "4"
18. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>SNDSrvc
19. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Start = "4"
20. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>ccProxy
21. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Start = "4"
22. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>ccEvtMgr
23. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Start = "4"
24. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>ccSetMgr
25. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Start = "4"
26. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>SPBBCSvc
27. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Start = "4"
28. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>Symantec Core LC
29. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Start = "4"
30. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>NPFMntor
31. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Start = "4"
32. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>MskService
33. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Start = "4"
34. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>FireSvc
35. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Start = "4"
36. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>McShield
37. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Start = "4"
38. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>McTaskManager
39. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Start = "4"
40. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>McAfeeFramework
41. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Start = "4"
42. 「レジストリエディタ」を閉じます。

このマルウェアが変更したレジストリ値の修正：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>wscsvc
3. 右側のパネルで以下のレジストリ値を検索します。
   Start = "4"
4. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   Start = "2"
5. レジストリエディタを閉じます。

マルウェアのファイルの削除：

1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
   註：Windowsのバージョンによって異なります。
2. [ファイル名のすべてまたは一部]に、以下のファイル名を入力してください。
   
   • %Windows%\Deleteme.bat
3. [探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
4. 検索が終了したら、ファイルを選択し、SHIFT+DELETEを押します。これにより、ファイルが完全に削除されます。