现今，仍然还有大部分的机房还在使用Win7系统，然而各种资料都需要U盘的存储，U盘使用频率日益增高，无意中携带的U盘病毒也在各个机房传播，或公司电脑或网吧，或学校机机房，一种U盘病毒是比较常见的，其名为暴风一号，该病毒会隐藏U盘目录下所有文件夹，并产生一种文件夹快捷方式，阅读下文了解Win7系统中怎么清除暴风一号。

　　暴风一号（ Worm.Script.VBS.Autorun.be ）又称 1KB快捷方式病毒。这是一个由 VBS 脚本编写，采用加密和自变形手段，并且通过U盘传播的恶意蠕虫病毒。

　　一、暴风一号病毒行为：

　　1、自变形

　　病毒首先通过执行 strreverse（）函数，得到病毒的解密函数。解密运行病毒之后，病毒会重新生成密钥，将病毒代码加密之后，再将其自复制。所以病毒每运行一次之后，其文件内容和病毒运行之前完全不一样。

　　2、暴风一号自复制

　　病毒会遍历各个磁盘，并向其根目录写入 Autorun.inf 以及 .vbs 文件，当用户双击打开磁盘时，会触发病毒文件，使之运行。

　　病毒会将系统的 Wscript.exe 复制到 C：\Windows\System\svchost.exe

　　如果是FAT 格式，病毒会将自身复制到 C：\Windows\System32 下，文件名为随机数字。

　　如果是NTFS 格式，病毒将会通过 NTFS 文件流的方式，将其附加到如下文件中。

　　C：\Windows\explorer.exe

　　C：\Windows\System32\smss.exe［1］

　　3、暴风一号修改注册表

　　病毒会修改以下注册表键值，将其键值指向病毒文件。当用户运行 inf，bat，cmd，reg，chm，hlp 类型的文件，打开Internet Explorer ，或者双击我的电脑图标时，会触发病毒文件，使之运行。

　　HKLM\SOFTWARE\Classes\inffile\shell\open\Command\

　　HKLM\SOFTWARE\Classes\batfile\shell\open\Command\

　　HKLM\SOFTWARE\Classes\cmdfile\shell\open\Command\

　　HKLM\SOFTWARE\Classes\regfile\shell\open\Command\

　　HKLM\SOFTWARE\Classes\chm.file\shell\open\Command\

　　HKLM\SOFTWARE\Classes\hlpfile\shell\open\Command\

　　HKLM\SOFTWARE\Classes\Applications\iexplore.exe\shell\open\Command\

　　HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command

　　HKEY_CLASSES_ROOT\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell\

　　HKEY_CLASSES_ROOT\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell\open\Command

　　HKEY_CLASSES_ROOT\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell\explore\command\

　　病毒还会修改以下注册表键值，用于使文件夹选项中的“显示隐藏文件”选项失效。HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN\CheckedValue HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue

　　病毒会删除以下键值，使快捷方式的图标上叠加的小箭头消失

　　HKCR\lnkfile\IsShortcut

　　病毒会修改以下注册表键值，开启所有磁盘的自动运行特性。

　　HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveTypeAutorun

　　病毒会修改以下键值，使病毒可以开机自启动

　　HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\load