WORM_SILLY.ACC

マルウェアのファイルの確認および削除：

1. 以下の方法でWindowsの回復コンソールを使用し、不正プログラムを削除してください。
2. Windows のインストールCDを使用して、コンピュータを再起動します。
3. [セットアップへようこそ] 画面で、修復の R キーを押します。
4. キーボードを選択します。
5. 修復する Windows がインストールされているドライブを選択します（通常は 1 を選択します）。
6. 管理者のパスワードを入力し、Enter キーを押します。管理者パスワードがない場合は、何も入力せずに Enter キーを押します。
7. コマンドプロンプトに、上記で確認した不正プログラムが検出されたフォルダ名を入力します。
8. 以下のコマンドを入力し、Enter キーを押します。
   DEL ＜上記で確認した不正プログラムのパス名およびファイル名＞
   ※DEL と ＜上記で確認した不正プログラムのパス名およびファイル名＞ の間に半角スペースを入れてください。
9. 同様の方法で、上記で確認した不正プログラムのファイルをすべて削除してください。
10. コマンドプロンプトに EXIT と入力し、コンピュータを再起動してください。

マルウェアのフォルダの削除：

1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
   註：Windowsのバージョンによって異なります。
2. [ファイル名のすべてまたは一部]に以下を入力してください。
   
    %Windows%\K.Backup
   %Application Data%\Microsoft\CD Burning
3. [探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
4. 検索が終了したら、フォルダを選択し、SHIFT+DELETEを押します。これにより、ファイルが完全に削除されます。
5. 残りのフォルダに対して、このマルウェアのコンポーネントファイルの削除の手順2.）から4.）を繰り返してください。
    %Windows%\K.Backup
   %Application Data%\Microsoft\CD Burning

マルウェアのファイルの削除：

1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
   註：Windowsのバージョンによって異なります。
2. [ファイル名のすべてまたは一部]に、以下のファイル名を入力してください。
   
   %Windows%\inf\Autoplay.inF
   %Windows%\Tasks\At1.job
   %Windows%\Tasks\At2.job
   %Common Startup%\(Empty).LNK 
3. [探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
4. 検索が終了したら、ファイルを選択し、SHIFT+DELETEを押します。これにより、ファイルが完全に削除されます。

レジストリエディタの機能修復 ：

1. メモ帳などのテキストエディタを開きます。
   [スタート]-[ファイル名を指定して実行]を選択し、notepad と入力し、[OK]をクリックします。
   ※notepad は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 以下 の文字列をテキストエディタにコピーしてください。
   <div>On Error Resume Next</div><div>Set shl = CreateObject(WScript.Shell)</div><div>Set fso = CreateObject(scripting.FileSystemObject)</div><div>shl.RegDelete HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools</div><div>shl.RegDelete </div>
3. C:RESTORE.VBS のファイル名でこのファイルを保存してください。
4. [スタート]-[ファイル名を指定して実行]を選択し、C:RESTORE.VBS と入力し、[OK]をクリックします。
5. 確認画面が表示されたら[はい]を選択し、画面を終了してください。

このマルウェアが変更したレジストリ値の修正：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、"regedit" と入力し、[OK]をクリックします。
   ※"regedit" は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Explorer>Advanced
3. 右側のパネルで以下のレジストリ値を検索します。
   Hidden = 0
4. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   Hidden = 1
5. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Policies>Explorer
6. 右側のパネルで以下のレジストリ値を検索します。
   NoDriveTypeAutoRun = ff
7. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   NoDriveTypeAutoRun = 91
8. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows NT>CurrentVersion>Windows
9. 右側のパネルで以下のレジストリ値を検索します。
   load = %System%\KHATRA.exe
10. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    load = {blank}
11. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Explorer>Advanced>Folder>Hidden>SHOWALL
12. 右側のパネルで以下のレジストリ値を検索します。
    CheckedValue = 0
13. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    CheckedValue = 1
14. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>mnmsrvc
15. 右側のパネルで以下のレジストリ値を検索します。
    Start = 2
16. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Start = 3
17. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>NtmsSvc
18. 右側のパネルで以下のレジストリ値を検索します。
    Start = 2
19. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Start = 3
20. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>ProtectedStorage
21. 右側のパネルで以下のレジストリ値を検索します。
    Start = 4
22. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Start = 2
23. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>RDSessMgr
24. 右側のパネルで以下のレジストリ値を検索します。
    Start = 2
25. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Start = 3
26. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>Schedule
27. 右側のパネルで以下のレジストリ値を検索します。
    NextAtJobI = 3
28. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    NextAtJobI = 1
29. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>TermService
30. 右側のパネルで以下のレジストリ値を検索します。
    Start = 2
31. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Start = 3
32. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>TlntSvr
33. 右側のパネルで以下のレジストリ値を検索します。
    Start = 2
34. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Start = 3
35. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>upnphost
36. 右側のパネルで以下のレジストリ値を検索します。
    Start = 2
37. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Start = 3
38. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>wscsvc
39. 右側のパネルで以下のレジストリ値を検索します。
    Start = 4
40. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Start = 2
41. レジストリエディタを閉じます。

このマルウェアが追加したレジストリキーの削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、"regedit" と入力し、[OK]キーを押します。
   ※"regedit" は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   
3. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   In HKEY_CURRENT_USER\SoftwareNico Mak Computing
5. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   
6. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   In HKEY_LOCAL_MACHINE\SOFTWAREKHATRA
7. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   
8. 「レジストリエディタ」を閉じます。

このマルウェアが追加したレジストリ値の削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>Main
3. 右側のパネルで以下のレジストリ値を検索し、削除します。
   Window Title = Internet Exploiter
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Policies>Explorer
5. 右側のパネルで以下のレジストリ値を検索し、削除します。
   NoControlPanel = 1
6. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>Schedule
7. 右側のパネルで以下のレジストリ値を検索し、削除します。
   AtTaskMaxHours = 0
8. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>SharedAccess>Parameters>FirewallPolicy>StandardProfile>AuthorizedApplications>List
9. 右側のパネルで以下のレジストリ値を検索し、削除します。
   %System%\KHATRA.exe = %System%\KHATRA.exe:*:Enabled:System
10. 右側のパネルで以下のレジストリ値を検索し、削除します。
    NoControlPanel = 1
11. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Tracing>FWCFG
12. 右側のパネルで以下のレジストリ値を検索し、削除します。
    EnableFileTracing = 0
13. 右側のパネルで以下のレジストリ値を検索し、削除します。
    EnableConsoleTracing = 0
14. 右側のパネルで以下のレジストリ値を検索し、削除します。
    FileTracingMask = ffff0000
15. 右側のパネルで以下のレジストリ値を検索し、削除します。
    ConsoleTracingMask = ffff0000
16. 右側のパネルで以下のレジストリ値を検索し、削除します。
    MaxFileSize = 00100000
17. 右側のパネルで以下のレジストリ値を検索し、削除します。
    FileDirectory = %windir%\tracing
18. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>policies>Explorer>Run
19. 右側のパネルで以下のレジストリ値を検索し、削除します。
    G_Host = %WINDOWS%\System>gHost.exe /Reproduce
20. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Run
21. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Xplorer = %WINDOWS%\Xplorer.exe /Windows
22. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Winlogon
23. 右側のパネルで以下のレジストリ値を検索し、削除します。
    Taskman = %System%\KHTRA.exe
24. 「レジストリエディタ」を閉じます。

作成された AUTORUN.INF の検索および削除：

1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
   註：Windowsのバージョンによって異なります。
2. [ファイル名のすべてまたは一部]に以下を入力してください。
   AUTORUN.INF
3. [探す場所]の一覧から該当ドライブを選択し、[検索]を押します。
4. 検索が終了したら、ファイルを選択し、メモ帳などテキストエディタを用いて開いてください。
5. 以下の文字列が存在するか確認してください。
   
   [Autorun]
   Open=KHATRA.exe /OpenDrive
   ShellExecute=KHATRA.exe /OpenDrive
   Shell\Open\Command=KHATRA.exe /OpenDrive
   Shell\Open\Default=1
   Shell\Explore\Command=KHATRA.exe /ExploreDrive
   Shell\Scan for viruses=KHATRA.exe
   Shell=Open
   
   
6. この文字列が存在する場合はファイルを削除してください。
7. 他のリムーバブルドライブ内の残りの AUTORUN.INF についても、この手順3.)から6.)を繰り返してください。
8. [検索結果]画面を閉じてください。