Win7 環境下徹底清除 VBS 病毒？註冊表修復 + 專殺批次檔完整方案

VBS 腳本病毒 (常見檔名為 8 位數字 .vbs) 會透過 Autorun.inf 隨 USB 隨身碟傳播，將資料夾隱藏並建立同名捷徑誘導點擊，嚴重時導致「我的電腦」無法開啟、磁碟機無法存取。單靠殺毒軟體往往無法修復檔案關聯與註冊表損壞，需結合註冊表修復指令與專殺批次檔徹底清除。

病毒特徵

• 各磁碟機根目錄出現 Autorun.inf 與 xxxxxxxx.vbs (8位數字)。
• 資料夾變隱藏，同名捷徑 (.lnk) 取代原位置。
• 「顯示隱藏檔案」選項失效、資料夾選項無法儲存。
• 「我的電腦」雙擊無反應、僅能透過工作管理員執行程式。

第一階段：修復檔案關聯 (註冊表指令)

1. 按 Win + R 開啟「執行」 (或按 Win + E 開啟檔案總管)。
2. 輸入以下指令並按 Enter (修復 .bat/.cmd 檔案關聯)：

   reg add HKCR\batfile\shell\open\command /ve /d "\"%1\" %*" /f

   

第二階段：執行專殺批次檔

1. 桌面建立新文字文件，貼入以下完整腳本：

@echo off
mode con cols=53 lines=30
echo.
echo U盤病毒 *.VBS 專殺
echo.
echo 正在查殺，請稍候...
echo.
start /min taskkill /im explorer.exe /f
start /min taskkill /im wscript.exe /f
if exist %systemRoot%\*.vbs del /a /q /f %systemRoot%\*.vbs & echo 發現 VBS 病毒!
if exist %systemRoot%\system32\*.vbs del /a /q /f %systemRoot%\system32\*.vbs
echo 執行清理中...
echo.
echo 查找各磁碟機病毒檔案並刪除，修復資料夾顯示
for %%i in (c,d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z) do if exist %%i:\ cd /d %%i: && dir /a:d /b >list.txt & if exist *.inf del /a /q /f *.inf & if exist *.vbs del /a /q /f *.vbs & for /f "tokens=*" %%j in (list.txt) do attrib -s -h "%%j" & if exist %%j.lnk del /F /q %%j.lnk
for %%k in (c,d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z) do if exist %%k:list.txt del %%k:list.txt
echo.
echo 病毒清理完畢，執行修復工作...
echo.
echo 刪除病毒啟動鍵
start /min reg delete HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows /v load /f
echo 修復 IE 開啟方式
start /min reg add HKCR\Applications\iexplore.exe\shell\open\command /ve /d "\"C:\Program Files\Internet Explorer\IEXPLORE.EXE\" %1" /f
start /min reg add HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePageCommand /ve /d "\"C:\Program Files\Internet Explorer\iexplore.exe\"" /f
start /min reg add HKLM\SOFTWARE\Classes\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePageCommand /ve /d "\"C:\Program Files\Internet Explorer\iexplore.exe\"" /f
echo 修復檔案開啟方式
start /min reg add HKCR\batfile\shell\open\command /ve /d "\"%1\" %*" /f
start /min reg add HKCR\cmdfile\shell\open\command /ve /d "\"%1\" %*" /f
start /min reg add HKCR\hlpfile\shell\open\command /ve /d "winhlp32.exe %1" /f
start /min reg add HKCR\inffile\shell\open\command /ve /d "NOTEPAD.EXE %1" /f
start /min reg add HKCR\inifile\shell\open\command /ve /d "NOTEPAD.EXE %1" /f
start /min reg add HKCR\regfile\shell\open\command /ve /d "regedit.exe %1" /f
start /min reg add HKCR\txtfile\shell\open\command /ve /d "NOTEPAD.EXE %1" /f
start /min reg add HKLM\SOFTWARE\Classes\cmdfile\shell\open\command /ve /d "\"%1\" %*" /f
start /min reg add HKLM\SOFTWARE\Classes\hlpfile\shell\open\command /ve /d "winhlp32.exe %1" /f
start /min reg add HKLM\SOFTWARE\Classes\inffile\shell\open\command /ve /d "NOTEPAD.EXE %1" /f
start /min reg add HKLM\SOFTWARE\Classes\inifile\shell\open\command /ve /d "NOTEPAD.EXE %1" /f
start /min reg add HKLM\SOFTWARE\Classes\regfile\shell\open\command /ve /d "regedit.exe %1" /f
start /min reg add HKLM\SOFTWARE\Classes\txtfile\shell\open\command /ve /d "NOTEPAD.EXE %1" /f
::修復「我的電腦」開啟方式
echo 廢除系統自動執行
start /min reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoDriveTypeAutoRun /t REG_DWORD /d 0x9D /f
echo 顯示隱藏檔案及副檔名
start /min reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /v Hidden /t REG_DWORD /d 0x1 /f
start /min reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /v SuperHidden /t REG_DWORD /d 0x0 /f
start /min reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /v ShowSuperHidden /t REG_DWORD /d 0x1 /f
start /min reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /v HideFileExt /t REG_DWORD /d 0x0 /f
start /min reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL /v CheckedValue /t REG_DWORD /d 0x1 /f
start /min reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN /v CheckedValue /t REG_DWORD /d 0x2 /f
echo 修復「我的電腦」開啟方式
start /min /wait reg export HKCR\clsid c:\classID.reg
type c:\classID.reg > c:\classID.txt
del /q c:\classID.reg
for /f "eol=@ tokens=3,4* delims==" %%i in (c:\classID.txt) do if /i "%%k"=="explorecommand]" start /min reg export HKCR\clsid\%%i\shell\open\command backup1.reg & start /min reg add HKCR\clsid\%%i\shell\open\command /ve /d "%SystemRoot%\Explorer.exe /idlist,%I,%L" /f & start /min reg export HKCR\clsid\%%i\shell\explorecommand backup2.reg & start /min reg add HKCR\clsid\%%i\shell\explorecommand /ve /d "%SystemRoot%\Explorer.exe /e,/idlist,%I,%L" /f & start /min reg export HKLM\SOFTWARE\Classes\clsid\%%i\shell\open\command backup3.reg & start /min reg add HKLM\SOFTWARE\Classes\clsid\%%i\shell\open\command /ve /d "%SystemRoot%\Explorer.exe /idlist,%I,%L" /f & start /min reg export HKLM\SOFTWARE\Classes\clsid\%%i\shell\explorecommand backup4.reg & start /min reg add HKLM\SOFTWARE\Classes\clsid\%%i\shell\explorecommand /ve /d "%SystemRoot%\Explorer.exe /e,/idlist,%I,%L" /f
del /q c:\classID.txt
echo.
echo 修復完畢,重啟 Explorer.exe
start explorer.exe
echo.
echo 查殺完畢
echo.
@pause

3. 儲存為 kill_vbs.bat (存檔類型選「所有檔案」)。
4. 以系統管理員身分執行，等待執行完成後重新開機。

腳本功能解析

• 強制結束 explorer.exe 與 wscript.exe (VBS 執行宿主)。
• 遞迴掃描所有磁碟機 (C:~Z:)，刪除 *.vbs、*.inf、同名 .lnk 捷徑，恢復資料夾屬性 (attrib -s -h)。
• 修復註冊表：檔案關聯 (.bat/.cmd/.txt/.inf/.reg 等)、IE 首頁、自動播行為、隱藏檔案顯示設定。
• 修復「我的電腦」 (CLSID) 開啟動作，重啟 explorer.exe。

事後防護建議

• 安裝防毒軟體並開啟即時掃描、USB 疫苗功能。
• 不隨意點擊不明來源捷徑、.vbs、.exe 檔案。
• 定期備份重要資料至雲端或離線硬碟。