所有的檔案都被覆寫，變成小惡魔exe檔

所有的mp3、音樂、文字檔及程式都變成小惡魔!

這是這幾天看到一個有趣的病毒，這台中毒的時候的情況和之前「電腦資料備份，jpg變成.jpg.vbs的慘痛案例」有點類似，.jpg.vbs的情況是所有的jpg及mp3檔都會被覆寫，而這一次看到的這個小惡魔它和這個情書病毒(LoveLet)比起來可就更殘忍了，它不只會將.mp3及.jpg覆寫而已，就連.txt文字檔、.exe程式執行檔或安裝檔…幾乎所有的檔案全都都會被覆寫成有「小惡魔」圖案的exe執行檔，我那時唯一沒看到被覆寫的檔案種類為.rmvb檔而已。

還好我這位客戶的這些資料在另一台電腦上有相同的東西，要不然珍貴的相片就全都泡湯了，所以在這裡還是再三的強調，重要資料請馬上備份，不要等到全都沒了，才在那邊哭天喊地的。

以下這張圖片就是小惡魔的圖片，他拿著叉子刺住微軟的視窗圖片，看起來似乎是恨透了微軟了。

以下這張就是所有檔案都變成小惡魔的樣子。

GHOST失效？

我這位客戶自己使用了我幫他們製作的Ghost還原片，結果還原後還是一樣一再的中毒，當這個客戶告訴我這個情形時，我心裡就有底了，一定是D槽的根目錄底下被放了autorun.inf的檔，所以一旦開啟了D磁碟，就又會再中毒。除了這個之外，由於所有的檔案都已經被重新覆寫成新的.exe檔，所以一旦又去執行了這個檔案，一定也會再中毒。

我的解決方法就是，先用WinPE這類的光碟開機，然後先將D磁碟這些中毒的檔案刪除乾淨，當然把D檔所殺了是最快的方法，然後再使用原有的還原程式還原就好了。

以下是這個Autorun.inf檔案的內容，這個GuessNum.exe就是罪魁禍首。

autorun.inf

[AutoRun]
Open=/RECYCLER.{645FF040-5081-101B-9F08-00AA002F954E}/GUESSNUM.EXE
shell\open\Command=/RECYCLER.{645FF040-5081-101B-9F08-00AA002F954E}/GUESSNUM.EXE
shell\explore\Command=/RECYCLER.{645FF040-5081-101B-9F08-00AA002F954E}/GUESSNUM.EXE
shell\find\Command=/RECYCLER.{645FF040-5081-101B-9F08-00AA002F954E}/GUESSNUM.EXE