搜索

[16321] 2021-01-15_为何incaseformat病毒在1月13日集中爆发，下次爆发时间为？

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-01-15_为何incaseformat病毒在1月13日集中爆发，下次爆发时间为？ 为 何 i n c a s e f o r m a t 病 毒 在 1 月 1 3 日 集 中 爆 发 ， 下 次 爆 发 时 间 为 ？ 深 信 服 千 里 目   F r e e B u f   2 0 2 1 - 0 1 - 1 5 近 日 ， 深 信 服 安 全 团 队 监 测 到 一 种 名 为 i n c a s e f o r m a t 病 毒 ， 全 国 各 个 区 域 都 出 现 了 被 i n c a s e f o r m a t 病 毒 删 除 文 件 的 用 户 。 经 调 查 ， 该 蠕 虫 正 常 情 况 下 表 现 为 文 件 夹 蠕 虫 ， 集 中 爆 发 是 由 于 病 毒 代 码 中 内 置 了 部 分 特 殊 日 期 ， 在 匹 配 到 对 应 日 期 后 会 触 发 蠕 虫 的 删 除 文 件 功 能 ， 爆 发 该 蠕 虫 事 件 的 用 户 感 染 时 间 应 该 早 于 1 月 1 3 号 ， 根 据 分 析 推 测 ， 下 次 触 发 删 除 文 件 行 为 的 时 间 约 为 2 0 2 1 年 1 月 2 3 日 和 2 月 4 日 。 该 蠕 虫 病 毒 运 行 后 会 检 测 自 身 执 行 路 径 ， 如 在 w i n d o w s 目 录 下 则 会 将 其 他 磁 盘 的 文 件 进 行 遍 历 删 除 ， 并 留 下 一 个 名 为 i n c a s e f o r m a t . l o g 的 空 文 件 ： 如 当 前 执 行 路 径 不 在 w i n d o w s 目 录 ， 则 自 复 制 在 系 统 盘 的 w i n d o w s 目 录 下 ， 并 创 建 R u n O n c e 注 册 表 值 设 置 开 机 自 启 ： H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n O n c e m s f s a 值 :   C : w i n d o w s t s a y . e x e 情 况 看 似 简 单 ， 但 令 人 不 解 的 是 ， 该 蠕 虫 是 通 过 什 么 方 式 进 行 传 播 的 呢 ？ 又 为 何 会 集 中 爆 发 ？ 经 过 安 全 专 家 对 病 毒 文 件 和 威 胁 情 报 的 详 细 分 析 ， 有 了 新 的 发 现 。 该 蠕 虫 病 毒 由 D e l p h i 语 言 编 写 ， 最 早 出 现 于 2 0 0 9 年 ， 此 后 每 年 都 有 用 户 在 网 络 上 发 帖 求 助 该 病 毒 的 解 决 方 案 解 决 方 案 ：
正 常 情 况 下 ， 该 病 毒 表 现 为 一 种 文 件 夹 蠕 虫 ， 和 其 他 文 件 夹 蠕 虫 病 毒 一 样 ， 通 过 文 件 共 享 或 移 动 设 备 进 行 传 播 ， 并 会 在 共 享 目 录 或 移 动 设 备 路 径 下 将 正 常 的 文 件 夹 隐 藏 ， 自 己 则 伪 装 成 文 件 夹 的 样 子 。 然 而 ， 与 其 他 文 件 夹 蠕 虫 不 同 的 是 ， i n c a s e f o r m a t 蠕 虫 病 毒 在 代 码 中 内 置 了 一 个 “ 定 时 条 件 ” ， 蠕 虫 会 获 取 受 感 染 主 机 的 当 前 时 间 ， 然 后 通 过 E n c o d e D a t e 和 E n c o d e T i m e 函 数 进 行 聚 合 ： 获 取 到 时 间 后 ， 程 序 与 指 定 的 时 间 进 行 了 比 对 ， 触 发 文 件 删 除 的 条 件 为 ： 年 份 > 2 0 0 9 ， 月 份 > 3 ， 日 期 = 1   或   日 期 = 1 0   或   日 期 = 2 1   或   日 期 = 2 9 自 2 0 0 9 年 起 ， 每 年 4 月 后 的 1 号 、 1 0 号 、 2 1 号 和 2 9 号 会 触 发 删 除 文 件 操 作 ： 然 后 通 过 D e c o d e D a t e 函 数 拆 分 日 期 ， 奇 妙 的 是 ， 该 程 序 中 的 D e l p h i 库 可 能 出 现 了 错 误 ， 导 致 转 换 后 的 时 间 与 真 实 的 主 机 时 间 并 不 相 符 ， 因 此 真 实 触 发 时 间 与 程 序 设 定 条 件 不 相 同 （ 原 本 2 0 1 0 年 4 月 1 日 愚 人 节 启 动 时 间 ， 错 误 转 换 成 为 2 0 2 1 年 1 月 1 3 日 ） ：
分 析 人 员 计 算 随 后 会 触 发 删 除 文 件 操 作 的 日 期 为 ， 2 0 2 1 年 1 月 2 3 和 2 月 4 号 ： 深 入 分 析 发 现 ， 导 致 病 毒 计 算 日 期 发 生 错 误 的 原 因 是 由 于 D e c o d e D a t e 中 ， D a t e T i m e T o T i m e S t a m p 用 于 计 算 的 一 个 变 量 发 生 异 常 ：
由 于 文 件 夹 蠕 虫 感 染 后 没 有 给 主 机 带 来 明 显 的 损 失 ， 大 多 数 用 户 都 会 疏 于 防 范 ， 且 文 件 蠕 虫 主 要 通 过 文 件 共 享 和 移 动 设 备 传 播 ， 一 旦 感 染 后 容 易 快 速 蔓 延 内 网 ， 很 多 此 次 爆 发 现 象 的 主 机 可 能 在 很 早 前 就 已 经 感 染 。 对 此 ， 针 对 该 蠕 虫 病 毒 向 广 大 用 户 提 出 防 范 建 议 ： 若 未 出 现 感 染 现 象 （ 其 他 磁 盘 文 件 还 未 被 删 除 ） ： 勿 随 意 重 启 主 机 ， 先 使 用 安 全 软 件 进 行 全 盘 查 杀 ， 并 开 启 实 时 监 控 等 防 护 功 能 ； 不 要 随 意 下 载 安 装 未 知 软 件 ， 尽 量 在 官 方 网 站 进 行 下 载 安 装 ； 尽 量 关 闭 不 必 要 的 共 享 ， 或 设 置 共 享 目 录 为 只 读 模 式 ； 深 信 服 E D R 用 户 可 使 用 微 隔 离 功 能 封 堵 共 享 端 口 ； 严 格 规 范 U 盘 等 移 动 介 质 的 使 用 ， 使 用 前 先 进 行 查 杀 ； 若 已 出 现 感 染 现 象 （ 其 他 磁 盘 文 件 已 被 删 除 ） ： 使 用 安 全 软 件 进 行 全 盘 查 杀 ， 清 除 病 毒 残 留 ； 可 尝 试 使 用 数 据 恢 复 类 工 具 进 行 恢 复 ， 恢 复 前 尽 量 不 要 占 用 被 删 文 件 磁 盘 的 空 间 ， 由 于 病 毒 操 作 的 文 件 删 除 并 没 有 直 接 从 磁 盘 覆 盖 和 抹 去 数 据 ， 可 能 仍 有 一 定 几 率 进 行 恢 复 ； 我 们 为 广 大 用 户 提 供 免 费 查 杀 工 具 ， 可 下 载 如 下 工 具 ， 进 行 检 测 查 杀 ： 6 4 位 系 统 下 载 链 接 ： h t t p : / / e d r . s a n g f o r . c o m . c n / t o o l / S f a b A n t i B o t _ X 6 4 . 7 z 3 2 位 系 统 下 载 链 接 ： h t t p : / / e d r . s a n g f o r . c o m . c n / t o o l / S f a b A n t i B o t _ X 8 6 . 7 z 最 后 ， 也 再 次 提 醒 广 大 用 户 ， 安 全 无 小 事 ， 一 定 要 做 好 重 要 数 据 备 份 ， 以 及 主 机 安 全 防 护 措 施 ， 才 能 防 患 于 未 然 ！
精 彩 推 荐 精 彩 推 荐
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理