新型病毒「資料夾都變成捷徑」解決方法

最近開始蔓延一種特殊的病毒，學校許多老師、學生的隨身碟都中毒，症狀大概如下：

1.  隨身碟裡面的資料夾都變成捷徑 (有的人還不知道那是捷徑)
2. 每次要退出隨身碟都說「無法立即停止」
3. 有的資料夾消失

 基本上前兩種症狀影響不大，往往都是出現第三種之後大家才會發現中毒。

比較麻煩的問題是，常見的掃毒軟體大多掃不掉(底下會說明原因)，不過可以擋
自動執行 ( 隨身碟中的 autorun.inf )


 先來看一下，一般資料夾和捷徑有何不同：

上圖是模擬中毒的狀況，大家要注意的是：藍色箭頭處，有一個箭頭的小方塊圖示，
但有的電腦並不會顯示這個小方塊：參考這裡

如果是這種狀況，另一個可以注意的地方是，紅色箭頭的「捷徑」字樣，如果發現
隨身碟中的資料夾都變成這樣，就該注意一下了。

然而，其實真正的資料夾只是被隱藏起來了，只要顯示隱藏檔、系統檔，
就可以看到原本的資料夾了：

使用者如果不小心點選了這個捷徑，其實也不容易看出來問題在哪，因為還是會一
樣開啟想開的資料夾，只是中間的過程被動了手腳：

上圖左邊是一般的捷徑檔案，右邊則是有問題的捷徑檔案，可以透過在捷徑上
點滑鼠右鍵 => 內容 觀察： (左邊是正常的)

【解決方法】

《一》
首先，先開啟工作管理員 ( Ctrl + Alt + Del 或者 Ctrl + Shift + Esc )，看看是否有
一個 wscript.exe 在執行：

這個 wscript.exe 本身沒有問題，他是用來執行 「js 腳本」( javascript ) 的
工具，有問題的是他所執行的腳本檔案，由於大部分的防毒軟體不會掃 .js
檔案，wscript.exe 本身也沒有問題，因此目前大部分的防毒軟體都抓不到。
( 加上這個 js 每次出現的內容都不同，要認特徵也很難，可以參考文末的檔案下載 )

如果有看到，就先強制結束這個程序（如果這個程式在執行中，就會造成隨
身碟要退出時出現無法立即中止的問題），接著等一下下，確認這個程式
有沒有自己再啟動。如果沒有材可以在往下，有的話，那就是又變種的病
毒了，要再找解法。

《二》
 接著按 「開始」 =>「執行」( 或者 Win+R 快速鍵 )，輸入 cmd 確定，
假設你的隨身碟是 F 槽，就在出現的小黑窗裡面輸入：
F:  (enter)
attrib -s -h /D /S (enter)
等待執行，一小段時間之後，隨身碟裡的檔案就都可以顯示了。
並注意，如果看到隨身碟裡面有 autorun.inf 的檔案，請把它刪掉。

《三》
接下來，注意隨身碟裡面是否有大約是四個左右的英數字組合的資料
夾，例如： e8e8 , c912c , iefei ... 等等，裡面有一樣是約五個英文數
字為檔名的 js 檔案，如果有，請將整個資料夾刪除

《四》
如同步驟 2，開始 => 執行 輸入 msconfig 確認；找到「啟動」項目找看看
裡面是否有出現 .js 結尾的項目： ( 或者你知道如何在登陸編輯器找到 Run )

將前面的勾勾拿掉 ( 登陸編輯器的話，就是將它刪掉 )


到這邊基本上就大功告成了，只要電腦有安裝防毒軟體，當中毒的隨身碟插
入的時候 ，都會擋住 autorun.inf 的自動執行，所以比較不用擔心再次中毒。

這邊是從中毒的電腦中取出的 js 腳本檔案，已經做過安全處理，不會中毒，
有興趣的人可以下載研究看看：Download