病毒行為特徵

• 非 C 槽各分區根目錄、USB 隨身碟生成 `autorun.inf` + `sxs.exe` (或 `rose.exe`)，刪除即重生。
• 殺毒軟體無法啟動/掃描 (病毒封鎖防毒程式執行)。
• 註冊表 `HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL` 下 `CheckedValue` 被竄改：原 `REG_DWORD:1` 被刪，新建 `REG_SZ:0` 偽裝，**導致「顯示隱藏檔案」設定無效**。
• 任務管理員中出現多個 `sxs.exe` 進程。
• 註冊表 `Run` 鍵值偽裝為 `SoundMan` 指向 `SVOHOST.exe` (偽裝系統聲音管理程式)。

關鍵突破：修復註冊表顯示隱藏檔功能

1. 開啟 `regedit`，定位 `HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL`。
2. 檢查 `CheckedValue` 類型：**必須為 `REG_DWORD`**。若為 `REG_SZ` (字串值) 即為病毒偽造，**刪除該錯誤值**。
3. 右鍵新建 → `DWORD 值` → 命名 `CheckedValue` → 數值設為 `1`。
4. 若仍無效，可能 `Hidden` 分支損毀：嘗試從正常電腦匯出該分支 (`1.reg`) 導入，或從 XP 安裝光盤 `I386` 尋找 `Hidden.reg` (但光盤常無此檔)。

手動清除核心流程 (安全模式/PE 環境下最佳)

1. 結束進程： `Ctrl+Shift+Esc` → 進程頁籤 → 找到所有 `sxs.exe` / `rose.exe` / `SVOHOST.exe` → 右鍵「結束進程」。
2. 顯示系統隱藏檔： 資料夾選項 → 檢視 → 取消「隱藏受保護的作業系統檔案」+ 選「顯示所有檔案和資料夾」。
3. 逐磁碟清除 (右鍵「打開」進入，勿雙擊)： 刪除各分區根目錄下的 `autorun.inf`、`sxs.exe`、`rose.exe` 及其他可疑 `.exe`。
4. 清理註冊表啟動項： `regedit` → `HKLM\Software\Microsoft\Windows\CurrentVersion\Run` → 刪除偽裝的 `SoundMan` (指向 `SVOHOST.exe`) 等異常項。**保留真正的 `SoundMan` 指向 `SOUNDMAN.EXE`**。
5. 重開機驗證： 此時防毒軟體應可正常啟動。
6. 全盤掃描： 使用具備「未知病毒啟發式掃描」的防毒軟體 (如江民) 查殺殘留體 (通常判定為「硬碟蠕蟲」)。
7. USB 隨身碟清毒： 按住 `Shift` 插入 USB (禁用自動播放) → 右鍵「打開」 → 刪除 `autorun.inf`、`sxs.exe`。
8. 清空回收站、重開機。

後續處理

• 若 `SoundMan` 相關功能 (如惠普/實達音效面板) 異常，建議**重新安裝對應驅動程式**，勿嘗試修復被病毒破壞的啟動項。
• 補丁修補、開啟防火牆、禁用自動播放 (`gpedit.msc` 或註冊表 `NoDriveTypeAutoRun`)。