文件夾模仿者

該系列病毒實質上是廣告木馬，它通過隱藏U盤中的真實文件、並替換U盤中的文件夾圖標為自己圖標的方式，誘使用户在每次查看文件時都必須點擊木馬圖標，激活木馬運行。而一旦運行，"文件夾模仿者"就會彈出指向某些網站的IE窗口，隨後才允許用户進入文件夾內。

“文件夾模仿者”病毒通過閃存進入系統後，會在系統的system32目錄中生成一個圖標為文件夾的病毒文件regsvr.exe，同時創建一個28463文件夾並生成病毒文件svchost.exe。

病毒會掃描閃存的根目錄，將根目錄中的所有文件夾名稱記錄下來。然後在相同的位置創建名稱一模一樣的文件夾(含有病毒文件)，再將原來的文件夾內容隱藏。用户必須點擊這些病毒圖標，才能繼續訪問自己的文件。有的病毒變種會和原文件夾進行關聯，當用户運行含病毒的文件夾時，就會自動跳轉到原文件夾目錄，這樣用户在不知不覺中運行了病毒。這樣一來，病毒就可以被不斷激活運行，同時也可輕鬆繞過安全軟件或者系統本身的禁用自動播放功能。如果用户試圖清除該毒，就會發現自己原先的文件夾全部消失，但實際上，它們是被病毒隱藏起來了。 ^[1] 

病毒還會將自身添加到註冊表的Run啓動項中，並修改系統程序explorer.exe的啓動項，從而達到病毒可以隨機啓動的目的。最後病毒會連接到指定的網址，下載其他的病毒到系統中運行。 ^[2] 

文件夾模仿者病毒傳播的途徑有三條。第一條，依靠閃存傳播，這條途徑是主要的。當帶毒的閃存插入電腦後，autorun.inf文件裏面的自動運行代碼會激活病毒。第二條，該病毒的部分變種還會利用其他下載者病毒的渠道傳播。下載者病毒經常串通一氣。第三條，網頁掛馬，這條途徑只有極少該病毒變種會用，主要是掛在娛樂網站上，例如曾經掛在周杰倫個人網站上。

第一步：運行進程管理工具Wsyscheck【下載】，選擇進程列表中的病毒進程regsvr.exe(圖1)和svchost.exe，點擊右鍵選擇“結束選擇的進程”即可。svchost.exe是用紅色標明的，很好辨認。

第二步：點擊Wsyscheck中的“安全檢查→活動文件”，通過鼠標配合Ctrl鍵選擇病毒的啓動項regsvr.exe、svchost.exe和explorer.exe regsvr.exe，然後點擊右鍵選擇“修復所選項”即可(圖2)。

第三步：點擊Wsyscheck中的“文件管理”標籤，在系統的system32目錄中找到病毒文件regsvr.exe以及28463文件夾中的svchost.exe，點擊右鍵選擇“直接刪除”命令(圖3)，然後進入閃存根目錄裏面，選擇所有偽裝成文件夾的病毒文件，點擊右鍵選擇“直接刪除”命令。

第四步：病毒清除了，現在要堵上病毒通過閃存進入電腦的通道。在“運行”中輸入“gpedit.msc”，在組策略中點擊“計算機配置→管理模板→系統”，啓用“關閉自動播放”策略即可。此外，上網時最好還用一些能攔截網頁木馬的安全輔助工具。 ^[2] 

病毒工程師發現反病毒工程師是在對"文件夾模仿者"系列（英文名為Win32.Troj.FakeFolder.）的若干新樣本進行比對分析時發現這個問題的。這些樣本由雲安全系統經智能分析後被認為與舊版本存在較大差異，從而轉交人工確認。結果被發現使用了win7圖標。　這項發現證明該毒的作者正在追逐用户，當越來越多用户開始嘗試WIN7系統時，病毒作者也將戰場轉移至這一平台，如同逐水草而居的牧民一般。不過，這一新變種比較好識別，如果用户使用的不是WIN7系統，卻看到U盤中的文件夾圖標完全變樣，那多半就是感染了"文件夾模仿者"的這一新變種。由於在隱藏真實文件夾時破壞了系統相關數據，一些用户在殺軟查殺該毒後會找不到以前的文件，對此，只需下載運行金山安全實驗室提供的免費工具"急救箱"，即可恢復正常。