位置導航：網站首頁<<<Ｕ盤行業知識<<<U盤病毒AutoRun.inf和ravmon.exe的KILL
U盤病毒AutoRun.inf和ravmon.exe的KILL
近來AutoRun.inf和ravmon.exe等Ｕ盤病毒異常猖狂｀｀引起眾人強烈不滿
該病毒自動修改注冊表，讓用戶不能查看隱藏文件autorun.inf內容如下
[AutoRun] open=RavMon.exe shell\open=打開(O) shell\open\Command=RavMon.exe shell\explore=資源管理器(X) shell\explore\Command="RavMon.exe -e" 用前些日子的注冊表導入結果能正常顯示，重起藍屏
重裝系統再點其他盤又感染，且右鍵只有打開無auto，嘗試用ＢＡＴ
@echo on
taskkill /im explorer.exe /f
taskkill /im wscript.exe
start reg add HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\EXplorer\Advanced /v ShowSuperHidden /t REG_DWORD /d 1 /f
start reg import kill.reg
del c:\autorun.* /f /q /as
del %SYSTEMROOT%\system32\autorun.* /f /q /as
del d:\autorun.* /f /q /as
del e:\autorun.* /f /q /as
del f:\autorun.* /f /q /as
del g:\autorun.* /f /q /as
del h:\autorun.* /f /q /as
del i:\autorun.* /f /q /as
del j:\autorun.* /f /q /as
del k:\autorun.* /f /q /as
del l:\autorun.* /f /q /as
start explorer.exe
刪除其病毒文件
重啟如故
于是用ＲＥＧ導入
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN]
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"Text"="@shell32.dll,-30501"
"Type"="radio"
"CheckedValue"=dword:00000002
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51104"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"Text"="@shell32.dll,-30500"
"Type"="radio"
"CheckedValue"=dword:00000001
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51105"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden]
"Type"="checkbox"
"Text"="@shell32.dll,-30508"
"WarningIfNotDefault"="@shell32.dll,-28964"
"HKeyRoot"=dword:80000001
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"ValueName"="ShowSuperHidden"
"CheckedValue"=dword:00000000
"UncheckedValue"=dword:00000001
"DefaultValue"=dword:00000000
"HelpID"="shell.hlp#51103"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
@=""
于是通過開始菜單，運行cmd，到類DOS界面。輸入某個盤符，打開它，用dir /a查看所有文件，發現有一個RavMon.exe。瑞星也有個程序叫RavMon.exe，所以很有迷惑性，用attrib看它的屬性，如果是SHR屬性的，就是病毒了。
rose病毒也有類似現象，所以如果發現是rose.exe的話，就是rose病毒了，解決辦法類似。
進入安全模式（必須確保是安全模式下，并期間千萬不要雙擊盤符，否則前功盡棄！）
第一步：
通過開始菜單，運行regedit打開注冊表，選擇編輯查找，輸入RavMon.exe（如果是rose就是rose.exe），找到鍵值后刪除它，然后按F3，繼續查找，把所有的RavMon.exe鍵值都刪除。確保這一點，是為了斷了RavMon.exe的根源。
第二步：
通過開始菜單，運行cmd，到類DOS界面，進入某個盤，用attrib -h -s -r AutoRun.inf和attrib -h -s -r RavMon.exe來消除這兩個文件的隱藏只讀特性，然后用del AutoRun.inf和del RavMon.exe來刪除它們。之所以要對AutoRun.inf動手的原因是RavMon.exe病毒修改了AutoRun.inf文件，使得你的硬盤打不開了。對每個硬盤都如此操作一邊，注意：如果使用過U盤的話，對U盤也要操作！那里面也帶了病毒。
4. 完成：
重啟到正常模式，雙擊盤符，應該是可以打開了；網上有人說有可能會還打不開，提示你要定位一個什么東西，我沒有碰到。有人的方法是這樣的：如出現要求你定位某個命令，如DESKTOP.EXE或其它時，運行regedit，選擇編輯查找，輸入DEKTOP.EXE或其它，找到的第一個就是C盤的自動運行，刪除整個shell子鍵
最后清除病毒
U盤訂購熱線:0755-84524848 手機：13928466681 QQ: 384029020 24小時手機接聽:139 2846 6681 電郵：[email protected] 或與在線客服人員聯絡。欲了解更多U盤信 息請進正益通U盤廠家的U盤定制網站：http://m.wzmd.net.cn 大客戶聯系: 13926502725 海外銷售: 0086-755-33078349
點擊更多U盤生產車間視頻實錄以上就是正益通U盤生產廠家事業部對于U盤病毒AutoRun.inf和ravmon.exe的KILL話題的介紹，還有什么不了解的地方請直接咨詢U盤工廠在線客服，她們會一一為您解答。