插上U盘，蠕虫双击打开，攻击里面只有一个“新建文件夹”。何彻你以为是底根同事拷来的资料，点进去的蠕虫瞬间，屏幕闪了一下，攻击然后鼠标开始自己移动。何彻这不是底根电影桥段，去年某设计公司中招时，蠕虫二十多台电脑在两分钟内集体蓝屏，攻击最后查出源头就是何彻前台捡到的那只银色U盘。

U盘蠕虫和普通病毒不一样。底根它不需要你运行exe，蠕虫只要插上，攻击利用Windows的何彻自动播放漏洞就能横向感染。更麻烦的是，它会在每台电脑的注册表里留下“autorun.inf”的启动项，你格式化U盘？没用，电脑里的母体还在，下次插新U盘照样被写进去。

想彻底根除，得先断掉它的传播链。第一步不是杀毒，是拔网线。很多蠕虫会通过局域网共享继续扩散，你在这台电脑杀，它已经跑到隔壁财务的机器上了。我见过最离谱的案例，IT部门一边杀毒一边没关共享打印机，结果打印机缓存里藏着蠕虫副本，重启后又全盘复活。

接着进安全模式。正常模式下，蠕虫进程有保护，你删了文件它立刻再生。按住F8进带命令行的安全模式，用“attrib -s -h -r”去掉U盘里隐藏文件的系统属性，你会看到真正的病毒体——通常是个.vbs脚本或者伪装成文件夹图标的.exe。注意，别双击，直接shift+delete彻底删除。

注册表是重灾区。打开regedit，定位到“HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2”，里面每个子键对应你插过的U盘记录。蠕虫会把启动命令写在这里，就算你杀了毒，下次插U盘它又自动执行。把MountPoints2整个删掉，重启后系统会重建干净的记录。

组策略得改。运行gpedit.msc，找到“计算机配置-管理模板-Windows组件-自动播放策略”，把“关闭自动播放”设为“所有驱动器”。这招能堵死90%的U盘蠕虫入口。别信那些“只关U盘不关光盘”的教程，蠕虫早就学会伪装成光盘驱动器类型了。

有个细节容易被忽略：回收站。蠕虫会把原始文件删掉，然后在回收站里放一个同名快捷方式。你清空回收站没用，得进“C:\$Recycle.Bin”文件夹，用命令行“rd /s /q”强制删除每个SID子文件夹。我见过一个蠕虫在回收站里藏了三个月，每次用户以为杀干净了，一插U盘又中招。

最后一步，别用国产全家桶杀毒。它们对U盘蠕虫的查杀逻辑是“发现-隔离-修复”，但蠕虫的母体在内存里，隔离动作反而触发它释放更多副本。用火绒或者卡巴斯基的“启动时扫描”，在系统加载驱动前就干掉它。实在不行，PE盘启动，挂载硬盘手动删Windows\System32下的可疑dll，名字通常是随机字母加数字，比如“kf8s2.dll”这种。

做完这些，找个干净U盘插上测试。如果“新建文件夹”没再出现，注册表里也没新增MountPoints2项，才算真干净。别嫌麻烦，去年那个设计公司最后重装了所有电脑，就因为IT觉得“杀毒软件报毒了应该没事”。结果三天后蠕虫从备份服务器里又爬出来了。