搜索

[181] 2021-01-15_incaseformate传播与复现

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-16
2021-01-15_incaseformate传播与复现 i n c a s e f o r m a t e 传 播 与 复 现 连 接 世 界 的 暗 影   A d m i n   T e a m   2 0 2 1 - 0 1 - 1 5 一 、 一 、 事 件 说 明 事 件 说 明 2 0 2 1 - 0 1 - 1 3 日 一 种 名 为 i n c a s e f o r m a t 的 蠕 虫 在 国 内 爆 发 ， 该 蠕 虫 执 行 后 将 删 除 被 感 染 计 算 机 所 有 非 系 统 软 件 ， 蠕 虫 设 定 的 下 一 次 删 除 时 间 为 1 月 2 3 日 ， 建 议 各 用 户 做 好 U 盘 防 护 及 查 杀 工 作 。 二 、 已 知 样 本 二 、 已 知 样 本     经 过 分 析 ， 1 5 0 6   K B 大 小 样 本 为 未 压 缩 样 本 ， t s a y 样 本 已 压 缩 三 、 病 毒 分 析 三 、 病 毒 分 析 1 、 病 毒 信 息 病 毒 名 称 ： i n c a s e f o r m a t 病 毒 类 型 ： 蠕 虫 病 毒 病 毒 危 害 ： 删 除 用 户 除 系 统 盘 外 的 所 有 磁 盘 文 件 ， 并 在 磁 盘 的 根 目 录 下 创 建 名 为 i n c a s e f o r m a t . l o g 文 件 2 、 病 毒 行 为 样 本 在 w i n d o w s 目 录 下 运 行 ， 会 复 制 自 身 到 同 目 录 下 ， 并 且 修 改 注 册 表 。
H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n E x p l o r e r A d v a n c e d H i d e F i l e E x t 的 值 为   1 。   此 外 还 会 通 过 修 改 注 册 表 ， 实 现 不 显 示 隐 藏 文 件 及 隐 藏 已 知 文 件 类 型 扩 展 名 ， 涉 及 的 注 册 表 项 包 括 ： H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n E x p l o r e r A d v a n c e d H i d d e n H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n E x p l o r e r A d v a n c e d H i d e F i l e E x t H K L M S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n E x p l o r e r A d v a n c e d F o l d e r H i d d e n S H O W A L L c h e c k e d v a l u e H K L M S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n E x p l o r e r A d v a n c e d F o l d e r H i d e F i l e E x t c h e c k e d v a l u e 四 、 传 播 场 景 复 现 四 、 传 播 场 景 复 现 1 、 A 机 在 已 运 行 病 毒 样 本 情 况 下 ， 插 入 U 盘 。
2 、 U 盘 内 原 有 1 2 1 x x x x 文 件 夹 被 病 毒 成 功 感 染 。   3 、 B 机 未 感 染 病 毒 主 机 情 况 。  
4 、 插 入 从 A 机 拔 下 已 被 感 染 的 的 U 盘 。   5 、 打 开 U 盘 查 看 存 在 病 毒 。 。
  6 、 运 行 U 盘 内 被 感 染 的 文 件 。   7 、 主 机   A   和 主 机   B   同 时 修 改 为 病 毒 触 发 时 间 。 病 毒 执 行 删 除 操 作 。 五 、 查 杀 与 恢 复 五 、 查 杀 与 恢 复 1 、 主 机 排 查 排 查 主 机 W i n d o w s 目 录 下 是 否 存 在 图 标 为 文 件 夹 的 t s a y . e x e 文 件 ， 若 存 在 该 文 件 ， 及 时 删 除 即 可 ， 删 除 前 切 勿 对 主 机 执 行 重
启 操 作 。 2 、 数 据 恢 复 切 勿 对 被 删 除 文 件 的 分 区 执 行 写 操 作 ， 以 免 覆 盖 原 有 数 据 ， 然 后 使 用 常 见 的 数 据 恢 复 软 件 （ 如 ： F i n a l d a t a 、 r e c u v a 、 D i s k G e n i u s 等 ） 即 可 恢 复 被 删 除 数 据 。 3 、 病 毒 清 理 由 于 病 毒 出 现 年 份 较 早 ， 主 流 杀 毒 软 件 均 可 对 该 病 毒 进 行 查 杀 ， 用 户 也 可 通 过 以 下 手 工 方 式 进 行 清 理 修 复 ： 1 ） 通 过 任 务 管 理 器 结 束 病 毒 相 关 进 程 （ t t r y . e x e ） 2 ） 删 除 W i n d o w s 目 录 下 驻 留 文 件 t s a y . e x e 和 t t r y . e x e 及 注 册 表 相 关 启 动 （ R u n O n c e ） 3 ） 恢 复 上 述 被 病 毒 篡 改 的 用 于 隐 藏 文 件 及 扩 展 名 的 相 关 注 册 表 项 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理