USB 病毒快速鑑別與手動清除指南：Autorun.inf 機制解析、右鍵檢測法、註冊表修復關聯

USB 病毒核心機制：Autorun.inf 自啟動

• Windows 插入媒體/雙擊磁碟機 → 讀取根目錄 `autorun.inf`
• `autorun.inf` 內容範例：

[AutoRun]
open=malware.exe
icon=malware.exe,0
shell\open\command=malware.exe
shell\open=打開(&O)
action=打開資料夾

• 用戶雙擊 → 執行 `malware.exe` → 感染系統 → 繁殖到其他 USB
• 病毒常將 `autorun.inf` 設為**隱藏、系統、唯讀**屬性

30 秒快速鑑別法（無需工具）

1. 插入 USB，**不要雙擊，不要點擊自動播放視窗**
2. 「我的電腦/此電腦」→ **右鍵點擊 USB 磁碟機**
3. 觀察右鍵選單**第一項**：
   • 顯示「**自動播放**」或「**AutoPlay**」 → **極大機率中毒** ⚠️
   • 顯示「**開啟**」/「**瀏覽**」 → **相對安全** ✅ (但非 100%)
4. 若為「自動播放」優先：**右鍵選單中選擇「開啟」/「瀏覽」進入 USB**，病毒暫未執行

手動清除標準流程

1. 進入 USB： 右鍵 →「開啟」/「瀏覽」
2. 顯示隱藏系統檔： 工具/檢視 → 資料夾選項 → 勾選「顯示隱藏檔案」+ 取消勾選「隱藏受保護系統檔案」
3. 檢查根目錄： 是否有 `autorun.inf`、可疑 `.exe`、`.bat`、`.vbs`、`.scr`、`.pif`、`.com`
4. 查看 autorun.inf 內容： 記事本開啟，確認 `open=`/`shell\open\command=` 指向的檔案
5. 移除屬性並刪除：

attrib -H -S -R autorun.inf
del autorun.inf
attrib -H -S -R malware.exe
del malware.exe
# 批次處理所有可疑檔
for %f in (*.exe *.bat *.vbs *.scr *.pif *.com) do @attrib -H -S -R "%f" & del "%f"

6. 掃描全盤殺毒： 360/火綠/Defender/Malwarebytes 全盤掃描
7. 恢復資料夾選項： 重新勾選「隱藏受保護系統檔案」

進階：註冊表修復雙擊關聯被劫持

病毒常修改註冊表劫持磁碟機/資料夾雙擊行為：

# 磁碟機雙擊被劫持
reg delete "HKEY_CLASSES_ROOT\Drive\shell" /f

# 資料夾雙擊被劫持
reg delete "HKEY_CLASSES_ROOT\Directory\shell" /f

# 或精確刪除惡意子機碼
# HKEY_CLASSES_ROOT\Drive\shell\AutoRun
# HKEY_CLASSES_ROOT\Directory\shell\AutoRun

執行後 F5 刷新或重啟 `explorer.exe` 即時生效。

檔案關聯圖形化修復 (適用不懂註冊表用戶)

1. 控制台 →「預設程式」→「關聯檔案類型或通訊協定與程式」
2. 或：資料夾選項 →「檔案類型」→ 找「磁碟機」/「資料夾」
3. 「進階」→「新增」→ 動作：`open` → 程式：`explorer.exe` → 確定
4. 選中 `open` →「設為預設」→ 確定

預防體系：分層防護

現代威脅：超越 Autorun 的 USB 攻擊

• BadUSB / 惡意韌體： USB 裝置偽裝鍵盤/網卡/HID，注入按鍵/指令，**無需 Autorun、殺毒軟體無法檢測**
• LNK/捷徑漏洞 (CVE-2010-2568/2017-8464)： 圖示解析觸發代碼執行，**僅需瀏覽資料夾即中招**
• 供應鏈攻擊： 新購 USB/周邊出廠預置惡意韌體
• 防禦： 系統修補、禁用不必要 USB 類別 (群組原理/裝置管理員)、硬體防火牆/USB 防火牆、零信任架構

鑑別核心： **「右鍵第一項是自動播放 → 中毒」** 是 XP 時代流傳至今的經驗法則，至今對傳統 Autorun 病毒依然有效。但**現代惡意軟體早已進化**，不再依賴 Autorun。**分層防護 + 系統修補 + 習慣右鍵 + 重要資料加密備份** 才是應對當代 USB 威脅的正確姿勢。