セーフモードでの起動：

• Windows 2000 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows XP の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Server 2003 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
3. 「Windows 拡張オプション メニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Vista および Windows 7 の場合

1. コンピュータを起動させます。
2. 「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
3. 「詳細ブート オプション」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

このマルウェアが追加したレジストリキーの削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   hkey_local_machine>software>microsoft>esent>process
3. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   {malware file name}
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   hkey_local_machine>software>microsoft>esent>process>{malware file name}
5. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   debug
6. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>Software
7. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   tgs90gv74r
8. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>ESENT>Process
9. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
   i6g8xs
10. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>ESENT>Process>i6g8xs
11. 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
    DEBUG
12. 「レジストリエディタ」を閉じます。

このマルウェアが追加したレジストリ値の削除：

1. 「レジストリエディタ」を起動します。
   [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
   ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Run
3. 右側のパネルで以下のレジストリ値を検索し、削除します。
   i6g8xs = "%User Profile%\Application Data\i6g8xs.exe"
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SOFTWARE>tgs90gv74r
5. 右側のパネルで以下のレジストリ値を検索し、削除します。
   tgs90gv74rexepath = "%User Profile%\Application Data\i6g8xs.exe"
6. 右側のパネルで以下のレジストリ値を検索し、削除します。
   tgs90gv74rpath = "%User Profile%\Application Data"
7. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_CLASSES_ROOT
8. 右側のパネルで以下のレジストリ値を検索し、削除します。
   .grp = "MSProgramGroup"
9. 右側のパネルで以下のレジストリ値を検索し、削除します。
   MSProgramGroup = "Microsoft Program Group"
10. 右側のパネルで以下のレジストリ値を検索し、削除します。
    MSProgramGroup\Shell\Open\Command = "%System%\grpconv.exe %1"
11. 「レジストリエディタ」を閉じます。

このマルウェアが変更したレジストリ値の修正：

1. 「レジストリエディタ」を起動します。
   
   • Windows 2000、XP および Server 2003 の場合
     [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、Enter を押します。。
   • Windows Vista および 7 の場合
     [スタート]をクリックし、[プログラムとファイルの検索]に regedit と入力し、Enter を押します。
     ※"regedit" は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
   HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>Eventlog>Application>ESENT
3. 右側のパネルで以下のレジストリ値を検索します。
   EventMessageFile = "%System%\ESENT.dll"
4. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   EventMessageFile = "{random values}"
5. 再び、右側のパネルで以下のレジストリ値を検索します。
   CategoryMessageFile = "%System%\ESENT.dll"
6. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   CategoryMessageFile = "{random values}"
7. 再び、右側のパネルで以下のレジストリ値を検索します。
   CategoryCount = "1"
8. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
   CategoryCount = "10"
9. 再び、右側のパネルで以下のレジストリ値を検索します。
   TypesSupported = "7"
10. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    TypesSupported = "7"
11. レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
    HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>GrpConv
12. 右側のパネルで以下のレジストリ値を検索します。
    Log = "Init Application."
13. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Log = "Uninit Application."
14. 再び、右側のパネルで以下のレジストリ値を検索します。
    Log = "bdg: ..."
15. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Log = "Uninit Application."
16. 再び、右側のパネルで以下のレジストリ値を検索します。
    Log = "bdg: Done."
17. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Log = "Uninit Application."
18. 再び、右側のパネルで以下のレジストリ値を検索します。
    Log = "dros: ..."
19. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Log = "Uninit Application."
20. 再び、右側のパネルで以下のレジストリ値を検索します。
    Log = "dros: Renames."
21. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Log = "Uninit Application."
22. 再び、右側のパネルで以下のレジストリ値を検索します。
    Log = "dros: Copies."
23. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Log = "Uninit Application."
24. 再び、右側のパネルで以下のレジストリ値を検索します。
    Log = "dros: Deletes."
25. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Log = "Uninit Application."
26. 再び、右側のパネルで以下のレジストリ値を検索します。
    Log = "dros: Done."
27. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Log = "Uninit Application."
28. 再び、右側のパネルで以下のレジストリ値を検索します。
    Log = "Uninit Application."
29. [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
    Log = "Uninit Application."
30. レジストリエディタを閉じます。

マルウェアのコンポーネントファイルの削除：