文件夹EXE病毒

同名文件夹EXE病毒------木马名称：Worm.Win32.AutoRun.soq
   
　当你把你的U盘插入到一台电脑后，突然发现原来的文件夹变成了它的EXE同名文件夹，相信很多人见到过这种情况，我已经在百度知道上回答了同一个问题N次了，但是还是有人会中奖，所以在这里建立一个百科，希望对大家有用。

 病毒原理及相关分析：一台电脑中毒后，电脑里面会有一个 XP-****.exe(其中**是一个大写字母与数字混合，如XP-02B94AC1.exe)的类似XP补丁的进程以及D7F45.exe的类似进程，同时建立D7F45.exe及一个文件夹的几个启动项，当你插入U盘后，它会把原文件夹隐身，同时建立同名的EXE文件夹，例如 软件.exe 这样的病毒文件夹，文件夹大小为1.44M，不知道的人双击就会中毒。

 病毒名称：Worm.Win32.AutoRun.soq
 病毒类型：蠕虫类
 危害级别：3
 感染平台：Windows
 病毒行为：
          1、病毒运行后会释放以下文件：com.run dp1.fne eAPI.fne internet.fne krnln.fnr og.dll og.edt RegEx.fnr fne spec.fne ul.dll XP-290F2C69.EXE（后8位随机）到系统盘的\WINDOWS\system32里面

          2、新增以下注册表项，已达到病毒随系统启动而自启动的目的。 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
 注册表值：XP-290F2C69（后8位随机）
 类型：REG_SZ
 值：C:\WINDOWS\system32\XP-290F2C69.EXE（后8位随机）

         3、添加以下启动项，实现病毒自启动：
 “C：\Documents and Settings\Administrator\「开始」菜单\程序\启动” 里的“　.lnk”指向病毒文件。

 　    4、下载病毒文件： hxxp://df-123.cn/v.gif（16,896 字节）保存为以下文件，并且运行它们：
 %Windir%\System32\winvcreg.exe
 %Windir%\System32\2080.EXE (名称随机) 

         5、被感染的电脑接入移动磁盘后，病毒会遍历移动磁盘根目录下的文件夹，衍生自身到移动磁盘根目录下，更名为检测到的文件夹名称，修改原文件夹属性为隐藏，使用户在其他计算机使用移动磁盘打开其文件夹时运行病毒， 以达到病毒随移动磁盘传播的目的。
 
　二、解决方案

 专杀清除方法：
到这里下载专杀“文件夹同名病毒专杀”http://tzc0120.qupan.com/?folder=302111
 建议再下载usbcleaner20081119.zip
 
手工清除方法：
 1、结束病毒进程。打开超级巡警，选择进程管理功能，终止进程XP-290F2C69.EXE（后8位随机），winvcreg.exe，2080.exe（随机名）。
 2、删除病毒在System32生成的以下文件：
 com.run dp1.fne eAPI.fne internet.fne krnln.fnr og.dll og.edt RegEx.fnr fne spec.fne ul.dll XP-290F2C69.EXE winvcreg.exe 2080.EXE（随机名）
 3、删除病毒的启动项，删除以下启动项：
 “HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run”里的XP-290F2C69.EXE（后8位随机）；
 “C：\Documents and Settings\Administrator\「开始」菜单\程序\启动” 里的“　.lnk”。
 4、显示移动磁盘里隐藏的原有文件夹，方法是：工具--文件夹选项--查看--取消"隐藏受保护的操作系统文件"前的勾，以及选择"显示所有的文件和文件夹"确定，并删除以文件夹图标为图标的exe病毒文件。
 
三、安全建议
 
养成右键打开U盘的习惯，建议安装360安全卫士或者是开启USBCleaner的Usbmon.exe保护程序
 这个毒是小毒来的，只要你装了360，开启了除ARP防火墙（可根据个人再开启）其余的实时保护，就不再怕那个毒了