病毒说明：

国内多个区域行业出现且感染主机多为财务管理相关应用系统。感染主机表现为所有非系统分区文件均被删除，由于被删除文件分区根目录下均存在名为incaseformat.log的空文件，因此网络上将此病毒命名为incaseformat。

 

 

 

病毒分析：

该病毒最早出现时间为 2009 年，主流杀毒软件厂商均将此病毒命 名为 Worm.Win32.Autorun，从名称可以判断该病毒为 Windows 平台通过移动介质传播的蠕 虫病毒。 病毒文件运行后，首先复制自身到 Windows 目录下（C:\windows\tsay.exe），文件图标 伪装为文件夹。

同时修改注册表键值实现自启动，涉及注册表项为： HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\msfsa

病毒文件将在主机重启后运行，并开始遍历所有非系统分区下目录并设置为隐藏，同时 创建同名的病毒文件。

此外还会通过修改注册表，实现不显示隐藏文件及隐藏已知文件类型扩展名，涉及的注 册表项包括：

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Adva nced\Hidden

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Adva nced\HideFileExt

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hid den\SHOWALL\checkedvalue

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hid eFileExt\checkedvalue

 

 

最后对非系统分区下所有文件执行删除操作，并创建 incaseformat.log 文件。

 

该病毒由于编写时对某时间判断变量赋值错误，导致在今天（2021 年 1 月 13 日）才触 发并执行删除文件的代码逻辑，实际该病毒可能被感染主机上驻留多年，但由于缺少主机防 病毒软件或白名单设置错误等原因，一直未能被发现。由于病毒本身只能通过 U 盘等移动介质进行传播，并无相关网络传播特征，此次在国内 多个行业出现大规模感染事件，猜测可能与相关应用系统的供应链或厂商运维有关，如：软 件分发、更新升级、远程运维等，具体传播途径还需做进一步溯源分析。

 

处理建议：

1、 主机排查 排查主机 Windows 目录下是否存在图标为文件夹的 tsay.exe 文件，若存在该文件，及时 删除即可，删除前切勿对主机执行重启操作。

2、 数据恢复 切勿对被删除文件的分区执行写操作，以免覆盖原有数据，然后使用常见的数据恢复软 件（如：Finaldata、recuva、DiskGenius 等）即可恢复被删除数据。

3、 病毒清理 由于病毒出现年份较早，主流杀毒软件均可对该病毒进行查杀，用户也可通过以下手工 方式进行清理修复： 1)通过任务管理器结束病毒相关进程（ttry.exe）

2)删除 Windows 目录下驻留文件 tsay.exe 和 ttry.exe 及注册表相关启动项（RunOnce）3)恢复上述被病毒篡改的用于隐藏文件及扩展名的相关注册表项。

 

附录：

清理脚本：新建txt文本把代码复制进去然后后缀名改为.bat，双击运行既可

@echo offtaskkill /f /im tsay.exe
taskkill /f /im ttry.exe@reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ /v "Hidden" /t REG_DWORD /d 1 /f@reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ /v "HideFileExt" /t REG_DWORD /d 0 /f@reg add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\ /v "checkedvalue" /t REG_DWORD /d 1 /f@reg add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt\ /v "checkedvalue" /t REG_DWORD /d 1 /f@REG DELETE HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\ /v "msfsa" /fdel /f /q C:\windows\tsay.exe
del /f /q C:\windows\ttry.exe@For /F "Skip=1" %%i in ('Wmic Logicaldisk Where "DriveType=3" Get Name') Do del /f /q %%i\incaseformat.log