关於USB病毒的说明及处理程序如何避免遭受USB外接储存装置病毒.doc

關於USB 病毒的說明及處理程序 如何避免遭受USB 外接儲存裝置病毒感染 一、 By Pass 執行自動執行程式(Autorun.inf) 1. 在系統要連接一個USB 外接儲存裝置時，在裝置要插入電腦時，一直按 著鍵盤「Shift」鍵，直到系統連結此裝置完成後，再放開鍵盤「Shift」 鍵，此時，作業系統將不會執行 autorun.inf 的內容。 2. 此時請用「檔案總管」，用視窗左邊的樹狀結構來瀏灠或開啟外接儲存 裝置中的檔案，就可避免遭受感染；不要用「我的電腦」或是「檔案總 管」中，對磁碟機代號點兩下的方式，瀏灠或開啟外接儲存裝置中的檔 案。 二、 關閉系統自動執行 (Autorun 或 Autoplay)的功能 1. 透過修改系統登錄機碼，關閉系統自動執行功能 (1) 執行regedit，找到下列二組機值，將NoDriveTypeAutoRun 的值修改為 0並重新開機，即可停用自動執行功能 ??HKEY_CURRENT_USER\Software\Microsoft\Windows\ CurrentVersion\Policies\Explorer ??HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\ Current Version\Policies\Explorer (2) 利用群組原則嵌入式管理單元 (gpedit.msc)，關閉系統自動執行功能 ??在[本機電腦]-[開始]-[執行]-[在開啟欄中輸入 gpedit.msc] ??當出現群組原則編輯器時，針對[本機電腦]-[電腦設定]- [系統管理範本]-[系統]，參考下圖 ??點選右邊視窗中 [關閉自動播放]，將其設定為[己啟用]，在停用自 動播放在的部份設為[所有磁碟機]，並重新開機，即可停用自動執 行功能 遭受病毒感染之USB 外接儲存裝置處理方式說明 一、 關閉系統自動執行的功能 二、 開啟系統中「顯示隱藏檔」功能 三、 若該病毒防毒軟體已可偵測時，請執行全系統掃描，以刪除系統中受感 染的檔案 四、 刪除USB 外接裝置中的autorun.inf 等自動執行程式 五、 刪除USB 外接裝置中的病毒檔案 六、 刪除系統中病毒所新增之機碼值 七、 回復系統C:\及D:\等磁碟機開啟程式的設定 工具說明 一、 由於目前此類透過外接裝置感染的威脅，均會修改系統設定，導致系統 無法顯示隱藏檔案及系統C:\等磁碟機無法正常開啟，需透過修改系統 機碼方式才可復原，以下連結所下載之工具，執行後自動修復無法顯示 隱藏檔案及系統C:\等磁碟機無法正常開啟之問題。 將附件檔案解壓縮後，名稱為fix_usb.exe 二、 目前透過外接裝置感染的威脅變種迅速，防毒軟體可能無法於第一時間 偵測攔截所有的變種威脅，以下連結所下載之工具，會將病毒檔案刪除 並且把病毒檔案複製一份到C 磁碟機VIRUS 資料夾下 位置如下: (此工具建議於安全模式下執行才可將病毒有效清除) 將附件檔案解壓縮後，名稱為remove_usb_virus.exe 附件:常見的USB 病毒 (kavo)的手動處理方式 (1) 先執行cmd 呼叫「命令執行視窗」【步驟2~4 請在命令執行視窗裡下指 令】 (2) 執行attrib -S -H -R x:\autorun.inf 執行attrib -S -H -R x:\ 執行attrib -S -H -R c:\windows\system32\kavo*.* 注意：x 代表自己的磁碟機，所有分割的磁碟機都要 (3) del c:\windows\system32\kavo.exe del c:\windows\system32\kavo0.dll (可能會產生多個檔案kavo1.dll，kavo2.dll 等等...) del x:\autorun.inf del x:\ 注意：x 代表自己的磁碟機，所有分割的磁碟機都要 注意：不要砍錯檔！ntdetect 是winxp 系統檔，ntde『l』ect 才是木 馬！ (4) 用attrib x:\autorun.inf 和attrib x:\ 檢查所有磁碟機是否還有 相同檔案產生 (5) 執行regedit (6) 找到 [HKEY_CURRENT_USER\Software\Microsoft\Windows\ CurrentVersion\Run]裡有一個執行c:\windows\system32\kavo.exe 的值 ，有的話請刪除 (7) 找到[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ CurrentVersion\Explorer\Advanced\Folde