USBを介して感染しまくるウィルス(今回はrevo.exe)への対処メモ
最初はMcafeeが「Generic!atr」トロイの木馬としてローカルドライブ上にあるautorun.infを削除してくれていたのだが、何度やっても出てくる。どこかにウィルス本体がいるのだろうということでレジストリ
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
を見ると「kmmsoft」と言う見慣れない値が。そして「revo.exe」を起動するよう設定されていたので削除。
さらにコマンドプロンプトから「attrib」を実行。
SHR(システムファイル、隠しファイル、リードオンリー)属性でautorun.infやy.comなどがあったので「attrib -s -h -r autorun.inf」などとして属性を外してから「del autorun.inf」ですべてのドライブから削除
これで再起動すると検出が止まったが、再度コマンドプロンプトから確認すると「y.com」だけ復活してた。再度「attrib -s -h -r y.com」と「del y.com」で削除したらもう二度と出てこなくなった。
で、対処法として
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
の中にNoDriveTypeAutoRunがあるので、これをXPであれば初期設定では16進数で91をB5に変更。
これでCD-ROMとリムーバブルディスクからの自動再生を止めることが出来る。
とりあえずこんな感じで削除出来た。

