Курский Форум

Kariakin.Igor был прав, есть скрытые автораны, а вирус отключил их отображение обратно.

По ссылкам ise-dvp нашел следующую инфу на форумах:

Для тех кто еще не справился с вирусом fun.xls.exe, рассказываю как его убить…
Во-первых надо знать что он делает…
1.В диспетчере задач висит как Excel (процесс algsrvs.exe)
2.В корне каждого диска и флешки создает файлы autorun.* и fun.xls.exe (запускается при каждом открытии любого из дисков)
3.В папке system32 лежат файлы algsrvs.exe, msfun80.exe, msime82.exe
4.Содержит ссылки на запуск этих файлов в реестре.
5.Не дает смотреть скрытые файлы и папки (даже если поставить галочку).

Вирус распространяет своё тело в корень всех локальных дисков и носителей информации, используя Autorun.inf, который запускает вирус при двойном клике на инфицированном диске. Файл скрытый. Так же вирус внедряет троян в систему и правит реестр, делая невозможным отображение скрытых файлов. При этом он не просто изменяет значение ключа [HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerAdvanced]
"Hidden"=dword:00000001
и
[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL]
"CheckedValue"=dword:00000001
но меняет и тип ключа с "Параметр DWORD" на "Строковый параметр"
делая невозможным его редактирование стандартными средствами и блокируя изменения через "СервисСвойства папкиВид".

Лечение:
Удаляем все файлы вируса и файл Autorun.inf удаляем ручками через поиск или в хорошем тоталкомандаре, перезагружаем компьютер.
В regedit удаляем неправельные ключи типа "Строковый параметр"
"Hidden"=0
"CheckedValue"=0
и создаём новые типа "Параметр DWORD"
"Hidden"=dword:00000001
"CheckedValue"=dword:00000001
в приведённых выше ветках.

Вирус должен быть удален.