搜索

[20470] 2021-01-14_incaseformat蠕虫样本分析及查杀防范措施

文档创建者：s7ckTeam
浏览次数：33
最后更新：2025-01-18
2021-01-14_incaseformat蠕虫样本分析及查杀防范措施 i n c a s e f o r m a t 蠕 虫 样 本 分 析 及 查 杀 防 范 措 施 K h a n 安 全 攻 防 实 验 室   2 0 2 1 - 0 1 - 1 4 以 下 文 章 来 源 于 台 下 言 书   ， 作 者 说 书 人 一 、 病 毒 简 介 病 毒 名 称 ： i n c a s e f o r m a t 病 毒 性 质 ： 蠕 虫 病 毒 影 响 范 围 ： w i n d o w s 操 作 系 统 危 害 等 级 ： 紧 急 病 毒 影 响 ： 删 除 除 系 统 盘 外 的 所 有 文 件   二 、 样 本 分 析 1 . 样 本 信 息 m d 5 ： 4 b 9 8 2 f e 1 5 5 8 5 7 6 b 4 2 0 5 8 9 f a a 9 d 5 5 e 8 1 a s h a 1 ： a 8 5 8 c 9 2 a 6 6 4 4 9 1 d 1 1 9 5 3 7 0 c 2 0 f 2 e 4 f a 6 b 6 a e 5 c 3 c s h a 2 5 6 ： f f 8 4 e 7 9 c a e 9 9 f 5 7 1 4 f 3 6 3 5 8 8 b c 8 2 3 8 0 9 6 2 4 9 a 8 5 d 3 4 9 8 2 b 8 d 8 c 9 a c 2 f 9 c 3 a 6 3 9 e 8   主 要 文 件 名 为 t s a y . e x e 和 t t r y . e x e 。 该 样 本 在 w i n d o w s 下 显 示 的 图 标 形 如 文 件 夹 图 标 ， 具 有 一 定 的 欺 骗 性 。   台 下 言 书 台 下 言 书   . s t a y   h u n g r y   , s t a y   f o o l i s h .
  2 . 样 本 行 为 样 本 在 非 w i n d o w s 目 录 下 运 行 ， 会 拷 贝 副 本 至 C : w i n d o w s t t r y . e x e 、 C : w i n d o w s t s a y . e x e ， 并 创 建 R u n O n c e 注 册 表 值 设 置 开 机 自 启 。   注 册 表 路 径 ： 注 册 表 路 径 ： H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n O n c e m s f s a 或 H K E Y _ L O C A L _ M A C H I N E S O F T W A R E W o w 6 4 3 2 N o d e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n O n c e m s f s a 注 册 表 值 ： 注 册 表 值 ： C : w i n d o w s t s a y . e x e 此 时 并 不 会 删 除 数 据   如 果 样 本 是 在 w i n d o w s 目 录 下 运 行 ， 会 复 制 自 身 到 同 目 录 下 ， 并 且 修 改 注 册 表 H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n E x p l o r e r A d v a n c e d H i d e F i l e E x t 的 值 值 为 1
修 改 H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n E x p l o r e r A d v a n c e d F o l d e r H i d d e n S H O W A L L c h e c k e d v a l u e 的 值 为 0   目 的 是 为 了 实 现 关 闭 w i n d o w s 的 后 缀 显 示 ， 如 本 来 用 户 看 到 的 文 件 名 是 “ t s a y . e x e ” , 不 显 示 后 缀 名 后 看 到 的 是 “ t s a y ” ， 因 为 样 本 图 标 做 了 伪 装 ， 从 而 达 到 了 让 用 户 误 以 为 这 是 一 个 文 件 夹 的 目 的 。  
同 时 会 删 除 除 了 系 统 盘 外 的 所 有 路 径 下 的 文 件 ， 并 且 在 磁 盘 根 目 录 下 留 下 名 为 i n c a s e f o r m a t . t x t 的 空 文 件 。  
  三 、 查 杀 与 恢 复 方 式 1 .   检 查 W i n d o w s 目 录 下 是 否 存 在 t s a y . e x e 和 t t r y . e x e 文 件 ， 如 果 有 立 即 删 除 。 2 .   检 查 注 册 表 中 是 否 存 在 下 面 的 记 录 ， 如 有 请 立 即 删 除 ： H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n O n c e m s f s a 和 H K E Y _ L O C A L _ M A C H I N E S O F T W A R E W o w 6 4 3 2 N o d e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n O n c e m s f s a 3 .   全 盘 查 杀 是 否 存 在 该 病 毒 文 件 ， 目 前 大 部 分 安 全 厂 商 的 终 端 防 护 产 品 支 持 对 该 样 本 的 查 杀 。 4 .   检 查 病 毒 的 植 入 的 入 口 ， 并 做 相 应 的 防 范 措 施 。 5 .   如 果 除 系 统 盘 外 的 其 他 路 径 已 经 被 清 空 ， 请 不 要 重 启 电 脑 ， 可 以 先 从 隐 藏 文 件 中 把 数 据 先 拷 贝 出 来 ， 或 者 使 用 第 三 方 数 据 恢 复 软 件 来 恢 复 ， 成 功 率 几 乎 百 分 百 。     四 、 预 防 措 施 1 .   不 要 运 行 来 历 不 明 的 软 件 。 2 .   下 载 软 件 尽 量 从 官 网 下 载 ， 并 对 比 h a s h 。 3 .   安 装 终 端 安 全 防 护 软 件 ， 并 保 持 最 新 的 规 则 库 。 4 .   对 移 动 介 质 如 U 盘 之 类 的 ， 定 期 查 杀 。 本 文 文 档 下 载 ： i n c a s e f o r m a t 蠕 虫 样 本 分 析 及 查 杀 防 范 措 施 . p d f
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理