近日，廣東省網(wǎng)絡(luò)威脅數(shù)據(jù)聯(lián)盟監(jiān)測到一種名為incaseformat的病毒，全國各個(gè)區(qū)域都出現(xiàn)了被incaseformat病毒刪除文件的用戶。
從搜索引擎結(jié)果來看，該病毒最早出現(xiàn)時(shí)間為 2009 年，主流殺毒軟件廠商均將此病毒命名為 Worm.Win32.Autorun，從名稱可以判斷該病毒為 Windows 平臺通過移動存儲介質(zhì)傳播的蠕蟲病毒。
病毒文件運(yùn)行后，首先復(fù)制自身到 Windows 目錄下（C:\windows\tsay.exe），文件圖標(biāo)偽裝為文件夾。如下圖紅框所示：
經(jīng)分析，該蠕蟲病毒在非Windows目錄下執(zhí)行時(shí)，并不會產(chǎn)生刪除文件行為，但會將自身復(fù)制到系統(tǒng)盤的Windows目錄下，創(chuàng)建RunOnce注冊表值設(shè)置開機(jī)自啟，且具有偽裝正常文件夾行為：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\msfsa，
該值: C:\windows\tsay.exe。如下圖所示：
當(dāng)蠕蟲病毒在Windows目錄下執(zhí)行時(shí)，會再次在同目錄下自復(fù)制，并修改如下注冊表項(xiàng)調(diào)整隱藏文件：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\HideFileExt -> 0x1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\checkedvalue -> 0x0
實(shí)現(xiàn)不顯示隱藏文件及隱藏已知文件類型擴(kuò)展名，達(dá)到躲避管理員檢查目的。
此次的病毒與常見的蠕蟲病毒不同，除了具有偽裝文件夾圖標(biāo)，隱藏原始文件夾的危害以外，還設(shè)置了定時(shí)刪除文件的邏輯。一旦滿足設(shè)定的時(shí)間，將會刪除用戶電腦中除C盤之外的其他盤符的所有文件，并且可能在磁盤根目錄創(chuàng)建“incaseformat.txt”文本文檔。如下圖所示：
此次有大量用戶被刪文件的原因，是因?yàn)檫@些用戶對該病毒進(jìn)行了信任，或者根本沒有安裝安全軟件。很可能該病毒已經(jīng)在用戶電腦中潛伏多年。
查殺手段如下：
由于該病毒只有在Windows目錄下執(zhí)行時(shí)會觸發(fā)刪除文件行為，重啟會導(dǎo)致病毒在Windows目錄下自啟動，所以在未做好安全防護(hù)及病毒查殺工作前請勿重啟主機(jī)：
1) 深信服提供的專殺工具：
64位系統(tǒng)下載鏈接：
http://edr.sangfor.com.cn/tool/SfabAntiBot_X64.7z
32位系統(tǒng)下載鏈接：
http://edr.sangfor.com.cn/tool/SfabAntiBot_X86.7z
2) 綠盟科技EDR:
https://cd001.www.duba.net/duba/install/packages/ever/kinstnui_150_12.exe
3) 火絨殺毒：
https://www.huorong.cn/person5.html
4) 360安全衛(wèi)士：
http://softdl.360tpcdn.com/auto/20210113/2000002851_8752be0886d0392bf1a9a080abc9996b.exe
補(bǔ)救措施如下：
嘗試使用數(shù)據(jù)恢復(fù)類工具進(jìn)行恢復(fù)，恢復(fù)前盡量不要占用被刪文件磁盤的空間，由于病毒操作的文件刪除并沒有直接從磁盤覆蓋和抹去數(shù)據(jù)，可能仍有一定幾率進(jìn)行恢復(fù)；
注：不保證所有的被刪數(shù)據(jù)均可恢復(fù)。
切記對被刪除文件的分區(qū)執(zhí)行寫操作，以免覆蓋原有數(shù)據(jù)，然后使用常見的數(shù)據(jù)恢復(fù)軟件（如：Finaldata、recuva、DiskGenius 等）即可恢復(fù)被刪除數(shù)據(jù)。
下圖為DiskGenius的修復(fù)效果：
https://www.diskgenius.cn/download.php
