WORM_VB.F

自動刪除方案
http://www.trendmicro.com/download/dcs.asp

手動刪除方案

搜尋惡意程式

要刪除此病毒，首先找出惡意程式。

1. 使用趨勢科技的防病毒產品掃描您的系統。
2. 記錄所有偵測為WORM_VB.F的檔案。

趨勢科技的用戶掃描系統前需要下載最新的病毒碼。其他用戶可以使用線上掃毒，趨勢科技的免費線上病毒掃描。

刪除惡意程式

終止惡意程序運行。您需要偵測發現的檔案名稱。

1. 打開Windows工作管理員。
?在Windows 95，98和ME，請按CTRL + ALT + DELETE鍵
?在Windows NT，2000和XP，請按按Ctrl + Shift + ESC鍵，然後點擊處理程序。
2. 在正在運行的處理程序中，搜尋偵測發現的檔案名稱。
3. 選擇一個檢測到的檔案，根據Windows系統版本，然後點擊結束任務或結束處理程序。
4. 檢測所有偵測到正在執行的惡意程序。
5. 檢查惡意程序是否已被終止，關閉工作管理員，然後再次打開它。
6. 關閉工作管理員。
注意：在系統為Windows 95，98和ME，Windows工作管理員可能無法顯示某些程序。您可以使用第三方程序查看器，如Process Explorer來終止惡意程序。否則，請繼續下一個步驟的說明。


於登錄編輯程式中移除自動啟動項目

刪除機碼防止惡意程式在開動時自動執行

1. 開啟登錄程式編輯器，點選開始 > 執行 > 輸入REGEDIT、然後按下Enter。
2. 於左方的控制列，依序點選至下列路徑：
HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Run
3. 於右方的控制列尋找並刪除如下項目：
TempCom = "%Windows%\Fonts\%Random%.com"
4. 關閉登錄程式編輯器
注意：如果您無法終止病毒程序在前面描述的程序，請重新啟動系統


恢復其他登錄機碼

1. 於左方的控制列，依序點選至下列路徑：
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Explorer>Advanced
2. 於右方的控制列確保機碼如下項目：
Hidden = "1"
3. 於右方的控制列確保機碼如下項目：
SuperHidden = "0"
4. 於右方的控制列確保機碼如下項目：
HideFileExt = "0"
5. 於左方的控制列，依序點選至下列路徑：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\CabinetState
6. 於右方的控制列確保機碼如下項目：
FullPath = "0"

附註 Windows ME/XP 清理方案
http://threatinfo.trendmicro.com/vinfo/secadvisories/default6.asp?vname=DISABLING/ENABLING%20SYSTEM%20RESTORE

執行趨勢科技防毒
使用趨勢科技防毒掃瞄和清除您電腦中被偵測為WORM_VB.F的檔案，因此趨勢科技用戶必須下載最新的病毒碼檔案並掃瞄這些電腦，其它網路使用者可以使用線上掃毒。

技術細節：


這種常駐記憶體垃圾郵件使用一個類似資料夾的圖標。當執行時，它會開啟當前的資料夾。

執行時，它會建立以下機碼，以確保在Windows啟動後自動執行：

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
TempCom = "%Windows%\Fonts\%Random%.com"

它還會修改以下機碼，以隱藏自己：

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
Hidden = "dword:00000000"

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
SuperHidden = "dword:00000001"

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
HideFileExt = "dword:00000001"

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\CabinetState
FullPath = "dword:00000001"

它經由電子郵件透過 MAPI（訊息應用程式介面）的命令散佈。並在目標用戶的電子郵件清單中搜尋電子郵件，將夾帶蠕蟲副本的信件寄送到目標用戶。副本寄送後，會刪除寄送的郵件。

此蠕蟲病毒是使用 Microsoft Visual Basic 6 編寫。