近來學校與寢室AutoRun.inf和ravmon.exe等Ｕ盤病毒異常猖狂｀｀引起眾人強烈不滿
該病毒自動修改注冊表，讓用戶不能查看隱藏文件autorun.inf內容如下
[AutoRun] open=RavMon.exe shell\open=打開(&O) shell\open\Command=RavMon.exe shell\explore=資源管理器(&X) shell\explore\Command="RavMon.exe -e" 用前些日子的注冊表導入結果能正常顯示，重起藍屏
重裝系統再點其他盤又感染，且右鍵只有打開無auto
嘗試用ＢＡＴ@echo on
taskkill /im explorer.exe /f
taskkill /im wscript.exe
start reg add HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\EXplorer\Advanced /v ShowSuperHidden /t REG_DWORD /d 1 /f
start reg import kill.reg
del c:\autorun.* /f /q /as
del %SYSTEMROOT%\system32\autorun.* /f /q /as
del d:\autorun.* /f /q /as
del e:\autorun.* /f /q /as
del f:\autorun.* /f /q /as
del g:\autorun.* /f /q /as
del h:\autorun.* /f /q /as
del i:\autorun.* /f /q /as
del j:\autorun.* /f /q /as
del k:\autorun.* /f /q /as
del l:\autorun.* /f /q /as
start explorer.exe
刪除其病毒文件
重啟如故
于是用ＲＥＧ導入
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN]
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"Text"="@shell32.dll,-30501"
"Type"="radio"
"CheckedValue"=dword:00000002
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51104"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"Text"="@shell32.dll,-30500"
"Type"="radio"
"CheckedValue"=dword:00000001
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51105"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden]
"Type"="checkbox"
"Text"="@shell32.dll,-30508"
"WarningIfNotDefault"="@shell32.dll,-28964"
"HKeyRoot"=dword:80000001
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"ValueName"="ShowSuperHidden"
"CheckedValue"=dword:00000000
"UncheckedValue"=dword:00000001
"DefaultValue"=dword:00000000
"HelpID"="shell.hlp#51103"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
@=""
無效！！查看Ｒavmon.exe性狀如下
RavMon.exe
進程文件: RavMon.exe Ｓvchost.exe
進程名稱: Troj_Worm.Novar
英文描述: N/A
進程分析:
瑞星殺毒軟件實時監控程序。
進程位置: 系統目錄
程序用途: VisualBasic寫的可通過可移動設備傳播的病毒，極具破壞性。
安全等級 (0-5): 0 (N/A無危險 5最危險)
間碟軟件: 是
廣告軟件: 是
病毒: 是
木馬: 是
系統進程: 否
應用程序: 否
后臺程序: 是
使用訪問: 是
訪問互聯網: 否
于是通過開始菜單，運行cmd，到類DOS界面。輸入某個盤符，打開它，用dir /a查看所有文件，發現有一個RavMon.exe。瑞星也有個程序叫RavMon.exe，所以很有迷惑性，用attrib看它的屬性，如果是SHR屬性的，就是病毒了。
rose病毒也有類似現象，所以如果發現是rose.exe的話，就是rose病毒了，解決辦法類似。
進入安全模式（必須確保是安全模式下，并期間千萬不要雙擊盤符，否則前功盡棄！）
第一步：
通過開始菜單，運行regedit打開注冊表，選擇編輯查找，輸入RavMon.exe（如果是rose就是rose.exe），找到鍵值后刪除它，然后按F3，繼續查找，把所有的RavMon.exe鍵值都刪除。確保這一點，是為了斷了RavMon.exe的根源。
第二步：
通過開始菜單，運行cmd，到類DOS界面，進入某個盤，用attrib -h -s -r AutoRun.inf和attrib -h -s -r RavMon.exe來消除這兩個文件的隱藏只讀特性，然后用del AutoRun.inf和del RavMon.exe來刪除它們。之所以要對AutoRun.inf動手的原因是RavMon.exe病毒修改了AutoRun.inf文件，使得你的硬盤打不開了。對每個硬盤都如此操作一邊，注意：如果使用過U盤的話，對U盤也要操作！那里面也帶了病毒。
4. 完成：
重啟到正常模式，雙擊盤符，應該是可以打開了；網上有人說有可能會還打不開，提示你要定位一個什么東西，我沒有碰到。有人的方法是這樣的：如出現要求你定位某個命令，如DESKTOP.EXE或其它時，運行regedit，選擇編輯查找，輸入DEKTOP.EXE或其它，找到的第一個就是C盤的自動運行，刪除整個shell子鍵
最后清除病毒
