九游老哥云
关于1月13日爆发的incaseformat病毒事务剖析
2021-01-13
一. 事务配景
2021年1月13日，九游老哥科技应急响应团队接到天下多个客户反响熏染所谓的incaseformat病毒，涉及政府、医疗、教育、运营商等多个行业，且熏染主机多为财务治理相关应用系统。熏染主机体现为所有非系统分区文件均被删除，由于被删除文件分区根目录下均保存名为incaseformat.log的空文件，因此网络上将此病毒命名为incaseformat。
网传信息截图
二. 病毒剖析
从搜索引擎效果来看，该病毒最早泛起时间为2009年，主流杀毒软件厂商均将此病毒命名为Worm.Win32.Autorun，从名称可以判断该病毒为Windows平台通过移动介质撒播的蠕虫病毒。
病毒文件运行后，首先复制自身到Windows目录下（C:\windows\tsay.exe），文件图标伪装为文件夹。
同时修改注册表键值实现自启动，涉及注册表项为：
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\msfsa
病毒文件将在主机重启后运行，并最先遍历所有非系统分区下目录并设置为隐藏，同时建设同名的病毒文件。
别的还会通过修改注册表，实现不显示隐藏文件及隐藏已知文件类型扩展名，涉及的注册表项包括：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Hidden
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\HideFileExt
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\checkedvalue
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt\checkedvalue
最后对非系统分区下所有文件执行删除操作，并建设incaseformat.log文件。
三. 熏染剖析
该病毒由于编写时对某时间判断变量赋值过失，导致在今天（2021年1月13日）才触发并执行文件删除的代码逻辑，现实该病毒可能已在熏染主机上驻留多年，但由于缺少主机防病毒软件或白名单设置过失等缘故原由，一直未能被发明。
由于病毒自己只能通过U盘等移动介质举行撒播，并无相关网络撒播特征，此次在海内多个行业泛起大规模熏染事务，推测可能与相关应用系统的供应链或厂商运维有关，如：软件分发、更新升级、远程运维等，详细撒播途径还需做进一步溯源剖析。
四. 处置惩罚建议
1、 主机排查
排查主机Windows目录下是否保存图标为文件夹的tsay.exe文件，若保存该文件，实时删除即可，删除前切勿对主机执行重启操作。
2、 数据恢复
切勿对被删除文件的分区执行写操作，以免笼罩原有数据，然后使用常见的数据恢复软件（如：Finaldata、recuva、DiskGenius等）即可恢复被删除数据。
3、 病毒整理
由于病毒泛起年份较早，主流杀毒软件均可对该病毒举行查杀，用户也可通过以下手工方法举行整理修复：
1) 通过使命治理器竣事病毒相关历程（ttry.exe）
2) 删除Windows目录下驻留文件tsay.exe和ttry.exe及注册表相关启动项（RunOnce）
3) 恢复上述被病毒改动的用于隐藏文件及扩展名的相关注册表项。
五. 附录
已知样本MD5：
4B982FE1558576B420589FAA9D55E81A
1071D6D497A10CEF44DB396C07CCDE65
声明
本清静通告仅用来形貌可能保存的清静问题，九游老哥科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，九游老哥科技以及清静通告作者不为此肩负任何责任。
九游老哥科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容。未经九游老哥科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的。
