WORM_IRCBOT.RIP

セーフモードでの起動：

• Windows 2000 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows XP の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Server 2003 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Vista および Windows 7 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
3. 「詳細ブート オプション」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

このマルウェアが追加したレジストリキーの削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services
3. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   WinDefend
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Image File Execution Options
5. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   Acha.exe
6. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   registry.exe
7. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   AmyMastura.exe
8. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   csrsz.exe
9. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   wscript.exe
10. 「レジストリエディタ」を閉じます。

このマルウェアが追加したレジストリ値の削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>policies>system
3. 右側のパネルで以下のレジストリ値を検索し、削除します。
   EnableLUA = "0"
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows NT>CurrentVersion>Winlogon
5. 右側のパネルで以下のレジストリ値を検索し、削除します。
   Shell = "Explorer.exe, %Program Files%\Microsoft Office\WINWORD.EXE"
6. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Explorer>Advanced
7. 右側のパネルで以下のレジストリ値を検索し、削除します。
   ShowSuperHidden = "0"
8. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Image File Execution Options>Acha.exe
9. 右側のパネルで以下のレジストリ値を検索し、削除します。
   Debugger = "cmd.exe /c del"
10. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Image File Execution Options>registry.exe
11. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Debugger = "cmd.exe /c del"
12. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Image File Execution Options>AmyMastura.exe
13. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Debugger = "cmd.exe /c del"
14. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Image File Execution Options>csrsz.exe
15. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Debugger = "cmd.exe /c del"
16. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Image File Execution Options>wscript.exe
17. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Debugger = "rundll32.exe"
18. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>WinDefend
19. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Start = "4"
20. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Type = "4"
21. 「レジストリエディタ」を閉じます。

このマルウェアが変更したレジストリ値の修正：

1. 「レジストリエディタ」を起動します。
   
   • Windows 2000、XP および Server 2003 の場合
     [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、Enter を押します。。
   • Windows Vista および 7 の場合
     [スタート]をクリックし、[プログラムとファイルの検索]に regedit と入力し、Enter を押します。
     ※"regedit" は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Explorer>Advanced
3. 右側のパネルで以下のレジストリ値を検索します。
   SuperHidden = "0"
4. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Explorer>Advanced>Folder>SuperHidden
5. 右側のパネルで以下のレジストリ値を検索します。
   UncheckedValue = "0"
6. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   UncheckedValue = "1"
7. 再び、右側のパネルで以下のレジストリ値を検索します。
   DefaultValue = "0"
8. 再び、右側のパネルで以下のレジストリ値を検索します。
   CheckedValue = "0"
9. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>wuauserv
10. 右側のパネルで以下のレジストリ値を検索します。
    Start = "4"
11. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Start = "2"
12. 再び、右側のパネルで以下のレジストリ値を検索します。
    Type = "4"
13. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Type = "20"
14. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>wscsvc
15. 右側のパネルで以下のレジストリ値を検索します。
    Start = "4"
16. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Start = "2"
17. 再び、右側のパネルで以下のレジストリ値を検索します。
    Type = "4"
18. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Type = "20"
19. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>SharedAccess
20. 右側のパネルで以下のレジストリ値を検索します。
    Start = "4"
21. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Start = "2"
22. 再び、右側のパネルで以下のレジストリ値を検索します。
    Type = "4"
23. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Type = "20"
24. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Security Center
25. 右側のパネルで以下のレジストリ値を検索します。
    AntiVirusDisableNotify = "1"
26. 再び、右側のパネルで以下のレジストリ値を検索します。
    AntiVirusOverride = "1"
27. 再び、右側のパネルで以下のレジストリ値を検索します。
    FirewallDisableNotify = "1"
28. 再び、右側のパネルで以下のレジストリ値を検索します。
    FirewallOverride = "1"
29. 再び、右側のパネルで以下のレジストリ値を検索します。
    FirstRunDisabled = "1"
30. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    FirstRunDisabled = "1"
31. 再び、右側のパネルで以下のレジストリ値を検索します。
    UpdatesDisableNotify = "1"
32. レジストリエディタを閉じます。

このマルウェアまたはアドウェア等が作成したフォルダの削除：