-
#电脑维修#朋友圈被一种名为incaseformat的蠕虫病毒刷屏,中此病毒除系统盘外的所有文件将被删除
顶 顶 热2021/01/13 19:34:36 发布1993 浏览0 回复0 点赞
![](/UploadFile/image/2020/11-06/20201106222519_34510.png)
帖子:81
精华:1
注册:2020/10/27 10:43:19
IP属地:未知
今日,深信服安全团队监测到一种名为incaseformat的蠕虫病毒在国内爆发, 该蠕虫病毒执行后会自复制到系统盘Windows目录下,并创建注册表自启动,一旦用户重启主机,使得病毒母体从Windows目录执行,病毒进程将会遍历除系统盘外的所有磁盘文件进行删除,对用户造成不可挽回的损失。
目前,已发现国内多个区域不同行业用户遭到感染,病毒传播范围暂未见明显的针对性。
病毒名称:incaseformat
病毒性质:蠕虫病毒
影响范围:多省市多行业发现感染案例,有规模爆发趋势
危害等级:高危,可导致用户数据丢失
病毒描述
经分析,该蠕虫病毒在非Windows目录下执行时,并不会产生删除文件行为,但会将自身复制到系统盘的Windows目录下,创建RunOnce注册表值设置开机自启,且具有伪装正常文件夹行为:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\msfsa
值: C:\windows\tsay.exe
当蠕虫病毒在Windows目录下执行时,会再次在同目录下自复制,并修改如下注册表项调整隐藏文件:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\HideFileExt -> 0x1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\checkedvalue -> 0x0
最终遍历删除系统盘外的所有文件,在根目录留下名为incaseformat.log的空文件:
解决方案
由于该病毒只有在Windows目录下执行时会触发删除文件行为,重启会导致病毒在Windows目录下自启动,因此,深信服安全团队建议广大用户在未做好安全防护及病毒查杀工作前 请勿重启主机:
1、 不要随意下载安装未知软件,尽量在官方网站进行下载安装;
2、尽量关闭不必要的共享,或设置共享目录为只读模式;深信服EDR用户可使用微隔离功能封堵共享端口;
3、 严格规范U盘等移动介质的使用,使用前先进行查杀;
4、 如发现已感染主机,先断开网络,使用安全产品进行全盘扫描查杀再尝试使用数据恢复类软件。
楼主其他帖子
-
乐清宁康路交通大厦肯德基店永久关闭。#乐清杂谈#
2022/05/31 16:07:081318浏览 -
解决WIN10打印机共享问题集结。#电脑维修#
2022/03/31 22:03:221450浏览 -
接入—TPLINK摄像机搭配大华录像机用法#乐清监控#
2022/03/28 11:14:372500浏览 -
突发:温州鹿城区发现1例初筛阳性感染者!学校已发布停课信息。具体以官方信息为准。#乐清城事#
2022/03/09 22:20:461568浏览 -
乐清学校都已经开学了,培训班现在可以恢复线下培训了吗?市教育局给出回应!#生活求助#
2022/02/18 21:40:271552浏览 -
20220104|22:28更新:根据防疫政策要求,丹霞路小学停课3天。#焦点话题#
2022/01/04 08:14:501625浏览
新帖速递
-
乐清宁康路交通大厦肯德基店永久关闭。#乐清杂谈#
2022/05/31 16:07:08 -
解决WIN10打印机共享问题集结。#电脑维修#
2022/03/31 22:03:22 -
接入—TPLINK摄像机搭配大华录像机用法#乐清监控#
2022/03/28 11:14:37 -
突发:温州鹿城区发现1例初筛阳性感染者!学校已发布停课信息。具体以官方信息为准。#乐清城事#
2022/03/09 22:20:46 -
乐清学校都已经开学了,培训班现在可以恢复线下培训了吗?市教育局给出回应!#生活求助#
2022/02/18 21:40:27 -
20220104|22:28更新:根据防疫政策要求,丹霞路小学停课3天。#焦点话题#
2022/01/04 08:14:50