除了C盘,别盘被隐藏删除的病毒处理

部分用户反馈电脑下载邮件,或使用U盘复制文件后,除了C盘,DEF盘重要数据全部消失,只留下一个文件名为“incaseformat”的文本文件,本人遇到了,安全卫士也检测到了,查杀了,不小心系统重启了,电脑可到干净了,就剩C盘有内容了,安全卫士查杀木马后,恢复区恢复文件也不管用了

用户电脑中毒后,病毒文件通过DeleteFileA和RemoveDirectory代码实施了删除文件和目录的行为。此病毒启动后将自身复制到C:\WINDOWS\tsay.exe并创建启动项退出,等待重启运行,下次开机启动后约20s就开始删除用户文件。

该蠕虫病毒执行后会自复制到系统盘Windows目录下,并创建注册表自启动,一旦用户重启主机,使得病毒母体从Windows目录执行,病毒进程将会遍历除系统盘外的所有磁盘文件进行删除,对用户造成不可挽回的损失。

目前,已发现国内多个区域不同行业用户遭到感染,病毒传播范围暂未见明显的针对性。

病毒症状描述

该蠕虫病毒在非Windows目录下执行时,并不会产生删除文件行为,但会将自身复制到系统盘的Windows目录下,创建RunOnce注册表值设置开机自启,且具有伪装正常文件夹行为:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\msfsa

值: C:\windows\tsay.exe

当蠕虫病毒在Windows目录下执行时,会再次在同目录下自复制,并修改如下注册表项调整隐藏文件:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\HideFileExt -> 0x1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\checkedvalue -> 0x0

中毒后重启电脑,最终遍历删除系统盘外的所有文件,在根目录留下名为incaseformat.log的空文件:


一般用户解决办法

系统C盘以外的磁盘消失并生成incaseformat文件。经过排查分析该病毒为蠕虫病毒,通过U盘(移动存储设备)传播。感染后会将系统盘C盘以外的磁盘文件隐藏,并在磁盘文件中生成“incaseformat.txt”文件。用户重启电脑之后,会将被隐藏的文件彻底删除。

意:请如果已经中病毒用户,不要重启电脑,不要重启电脑,不要重启电脑。先清理病毒同时将被隐藏的文件拷贝出来,然后再操作重启电脑。

病毒相关信息如下:

【恶意程序家族】:incaseformat

【关键字】:#incaseformat.txt    #tsay.exe   #ttry.exe

【家族详情】:病毒类型:蠕虫

传播方式:

1. U盘隐藏正常文件夹,并替换为同名样本母体

行为特征:

1. 先隐藏C盘以外的盘符数据,重启之后再删除相关被隐藏文件,释放文件incaseformat.txt

2. 拷贝副本至C:\windows\ttry.exe、C:\windows\tsay.exe(文件名可能会变化)

3. 注册表创建启动项HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\msfsa

处置建议:

1. 使用U盘前使用天擎进行病毒扫描后再使用;也可以通过管控功能禁止不明移动存储设备进入内网。同时对全网终端进行全盘扫描。

2. 天擎qowl引擎支持检出,正常情况实时防护、病毒扫描都可以检出。建议将病毒库更新到最新。或者将以下MD5+SHA1添加鉴定中心或控制中心黑名单。

3. 如果不慎感染用户,已经安装天擎用户检查一下信任区,查看是否有被信任的病毒文件,清理信任区之后进行全盘扫描。尚未安装的天擎的用户,可以安装天擎,并对系统进行全盘扫描,并清除病毒。

4、如果感染之后没有重启电脑的用户,清理完病毒之后,先将C盘以外盘符中被隐藏的文件,从磁盘拷贝出来后再重启电脑。如果已经被重启的终端,清理完病毒之后尝试使用第三方数据恢复工具恢复文件;

相关MD5+SHA1(注意该样本变化较多):

1071d6d497a10cef44db396c07ccde65+71aa3a0af1eda821a1deddf616841c14c3bbd2e3

下面是深信服查杀工具

1、  不要随意下载安装未知软件,尽量在官方网站进行下载安装;

2、  尽量关闭不必要的共享,或设置共享目录为只读模式;深信服EDR用户可使用微隔离功能封堵共享端口;

3、  严格规范U盘等移动介质的使用,使用前先进行查杀;

4、  如发现已感染主机,先断开网络,使用安全产品进行全盘扫描查杀再尝试使用数据恢复类软件。

该病毒由于病毒作者在编写过程中,错误计算了系统时间,导致其删除文件的操作直到今天(2021年1月13日)才被触发,而其下一次被触发删除操作的时间则是本月23日。

注意:此病毒并非近期出现的新病毒,由于其伪装成文件夹的图标,易造成用户误认为是正常文件,从而对杀毒软件的报警选择忽略或者信任放行:

如果您的文件不幸已被病毒删除掉,只能使用数据恢复软件(安全卫士功能大全;毒霸百宝箱——数据恢复),找回丢失的文件:

病毒样本

(0)

相关推荐