解决Worm.Win32.AutoRun.soq 病毒

以下百度得到的Worm.Win32.AutoRun.soq说明

1、病毒运行后会释放以下文件：com.run dp1.fne eAPI.fne internet.fne krnln.fnr og.dll og.edt RegEx.fnr fne spec.fne ul.dll XP-290F2C69.EXE（后8位随机）（其中com.run dp1.fne eAPI.fne internet.fne krnln.fnr RegEx.fnr fne spec.fne 等并非病毒文件，而是汉语编程 易语言的支持库文件）到系统盘的\WINDOWS\system32里面

2、新增以下注册表项，已达到病毒随系统启动而自启动的目的。

HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\ Windows\CurrentVersion\Run

注册表值：XP-290F2C69（后8位随机）

类型： REG_SZ

值：C:\WINDOWS\system32\XP-290F2C69.EXE（后8位随机）

3、添加以下启动项，实现病毒自启动：

“C:\Documents and Settings\Administrator\ 「开始」菜单\程序\启动” 里的“　.lnk”指向病毒文件。

4、下载病毒文件： （16,896 字节）保存为以下文件，并且运行它们：

%Windir%\System32\winvcreg.exe

%Windir%\System32\2080.EXE (名称随机)

5、被感染的电脑接入移动磁盘后，病毒会遍历移动 磁盘根目录下的文件夹，衍生自身到移动磁盘根目录下，更名为检测到的文件夹名称，修改原文件夹属性为隐藏，使用户在其他计算机使用移动磁盘打开其文件夹时运行病毒， 以达到病毒随移动磁盘传播的目的。

解决办法

1、病毒运行后会释放以下文件：com.run dp1.fne eAPI.fne internet.fne krnln.fnr og.dll og.edt RegEx.fnr fne spec.fne ul.dll XP-290F2C69.EXE（后8位随机）（其中com.run dp1.fne eAPI.fne internet.fne krnln.fnr RegEx.fnr fne spec.fne 等并非病毒文件，而是汉语编程 易语言的支持库文件）到系统盘的\WINDOWS\system32里面

2、新增以下注册表项，已达到病毒随系统启动而自启动的目的。

HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\ Windows\CurrentVersion\Run

注册表值：XP-290F2C69（后8位随机）

类型： REG_SZ

值：C:\WINDOWS\system32\XP-290F2C69.EXE（后8位随机）

3、添加以下启动项，实现病毒自启动：

“C:\Documents and Settings\Administrator\ 「开始」菜单\程序\启动” 里的“　.lnk”指向病毒文件。

4、下载病毒文件： （16,896 字节）保存为以下文件，并且运行它们：

%Windir%\System32\winvcreg.exe

%Windir%\System32\2080.EXE (名称随机)

5、被感染的电脑接入移动磁盘后，病毒会遍历移动 磁盘根目录下的文件夹，衍生自身到移动磁盘根目录下，更名为检测到的文件夹名称，修改原文件夹属性为隐藏，使用户在其他计算机使用移动磁盘打开其文件夹时运行病毒， 以达到病毒随移动磁盘传播的目的。

X: 回车  X盘符

1.手动搜索病毒文件    attrib –s –r –a –h autorun.inf

2.删除病毒文件    del autorun.inf

3.恢复原有被隐藏的文件    attrib -H -S X:\* /s /d