HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Advanced\Folder\Hidden\SHOWALL hay una entrada que se llama CheckedValue, la cual por defecto es una entrada tipo DWORD, y el virus la elimina y crea una de nombre identico, de tipo alfanumerica, lo que debes de hacer, es eliminarla, y crear una tipo DWORD con valor 1