客戶反應出貨兩個月後, 系統執行效能愈來愈差, 甚至出現停滯現象, 把機器退回給我們處理.

1. 以attrib檢視硬碟, 發現C:\與D:\存在 6vu680.exe 與 autorun.inf 兩個異常檔案, 刪除後均會自行出現, 疑似KAVO變種病毒.

2. 檔案總管中無法將顯示所有檔案和資料夾設為有效, 確認為KAVO變種病毒特徵.

3. 以**Avast!**掃毒, 最新程式碼(Feb2009-4.8.1335)與病毒碼(090208-1)皆無法偵測並掃除該病毒.

4. 以kavo_killer38掃毒, 亦無法偵測並掃除該病毒.

5. 尋找6vu680.exe在網路上的相關資訊, 發現該程式為URET463.EXE所衍生出來的病毒程式.
   URET463.EXE 是在2009/01/13於西班牙首次發現, 台灣則是在2009/01/31發現.

6. 以CSI掃毒程式, 檢測出以下相關資訊
   a. Windows機碼中會在 \USERS\S-1-5-21-xxxxxx\Software\Microsoft\Windows\CurrentVersion\Run寫入kacsde.exe與uret463.exe等兩個執行檔常駐在記憶體中.
   b. kacsde.exe與uret463.exe這兩個執行檔會出現在 \Windows\System32\的目錄下.
   c. 同時出現的動態執行檔為 godert1.dll, lhgjyit0.dll, lhgjyit1.dll. 也是出現在
   \Windows\System32\的目錄下.
   d. 硬碟與USB隨身碟會在根目錄出現 6vu680.exe與autorun.ini這兩個檔案.

7. 解決方式
   a. 重開機進入Windows安全模式, 執行Regedit將\HKEY_USERS\S-1-5-21-
   xxxxxx\Software\Microsoft\Windows\CurrentVersion\Run機碼內的kacsde.exe與uret463.exe刪除.
   b. 將以下dos command寫入批次檔中執行
   attrib -s -h -r c:\windows\system32\uret463.exe
   del c:\windows\system32\uret463.exe
   attrib -s -h -r c:\windows\system32\kacsde.exe
   del c:\windows\system32\kacsde.exe
   attrib -s -h -r c:\windows\system32\godert1.dll
   del c:\windows\system32\godert1.dll
   attrib -s -h -r c:\windows\system32\lhgjyit0.dll
   del c:\windows\system32\lhgjyit0.dll
   attrib -s -h -r c:\windows\system32\lhgjyit1.dll
   del c:\windows\system32\lhgjyit1.dll
   attrib -s -h -r c:\6vu680.exe
   del c:\6vu680.exe
   attrib -s -h -r d:\6vu680.exe
   del d:\6vu680.exe
   c. 將
   HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersion\explorer\Advanced\Folder\Hidden\SHOWALL，將CheckedValue鍵值修改為1, 並確認類型為RED_DWORD, 非REG_SZ

8. 重開機之後, 終於正常了.

帶著工程師兩個花了半天的時間終於把問題解了, 只是機器中毒跟賣機器的有什麼關係呀!