[原创文章] 对于U盘内永久隐藏文件的处理 盘内, 文件, 隐藏

saitojie

原创作者：saitojie  [3.A.S.T]- n' q2 D  A; ?  s' n8 }. I6 h
" s- p" m: w) c6 ?
信息来源：3.A.S.T网络安全团队  （ www.3ast.cn  ）8 P5 R. t$ ^) B# M4 r4 |

) J6 E; i0 j+ N3 {& u5 a  q) u9 K4 H- _
最近由于工作繁忙所以帖子发的比较少了，在工作中遇到了一个情况，我的学生U盘中毒了，而且是大面积中了这个毒，天天帮学生杀毒，杀得有点累了，不知道坛子里有没有人也在被这个病毒“迫害”，下面说说我的一些处理方法！
1 I' s$ z5 x; ~8 q! i0 x+ r4 m6 o, n8 ]* h2 ~# g: W9 D
注意：我的查杀方式仅限于计算机没中毒，但是U盘被病毒感染，如果阁下的计算机也中了该病毒，请先将计算机中的该病毒清理掉之后再去查杀U盘里的被感染的文件！' {: C: @) f' w% B* ^4 @6 _

7 M: k: w. u6 P7 j5 S' h病毒名称：幽灵（ghost）
7 V4 J) O/ f: w& k9 S1 L6 u# i% z! n
病毒现象：U盘内所有文件夹被隐藏，并且在U盘内生成与该文件夹同名的文件，文件图标与文件夹图标相同，后缀为.exe
" @) J: x$ k4 ~$ u; X2 @& |
, r% H7 S7 s; A% Y/ Q9 V, l0 l, m如果您的U盘不小心被这个病毒感染，而您又苦于无法将感染的文件夹还原为最开始的情况，请阅读我下面的方法：2 {9 c$ h% b5 U& V
8 F, V6 _5 I$ o5 K
1、将U盘连接到没有中毒的计算机上。
7 g# r/ z9 q6 \) e% d2、使用资源管理器（alt+E）打开U盘。9 V$ P$ B9 m' g& I
3、将文件夹属性改为显示系统隐藏文件、显示所有隐藏文件、显示文件的后缀，此操作在【工具】-【文件夹选项】-【查看】中完成。
. r5 L' z' u, V- G9 A2 ?# f! N4、将U盘内的autorun.inf、MS-DOS.COM两个病毒文件删除掉; S4 M* Y/ E8 d: `. b' ^
5、将U盘内所有以.exe结尾，图标为文件夹图标的文件删除掉
6 Z( J- a9 e1 N& m* J  [' O以上步骤相信是大家都会的步骤，虽然说这样是将U盘病毒清理干净了，但是病毒留下的后遗症我们并没有解决。9 ^5 [2 X# p( G* a( z) `9 z- q

6 Z8 f0 n$ z8 s7 _* U9 o6 Y后遗症现象：U盘内所有文件夹处于隐藏状态，并且对文件夹属性进行编辑，发现【隐藏】选项无法取消。: c. [" \8 |& E% i

, a; W; {+ t+ f: E& P( ^对于后遗症的处理方法如下：
( D- L# t8 _6 v5 x9 e9 }
+ _/ b8 X9 H" }; H5 l方法一：
8 u$ `3 K# Y8 F5 a6 d" h- A4 i' R: c/ x6 s0 {  J
1、将U盘内所有的隐藏文件夹剪切到计算机中的任意位置。（我这里以剪切到D盘根目录为例讲解）
  y7 k$ I! W2 o  A2、进入命令行输入如下命令：

1. d:
   
2. attrib /s /d -h -s *

复制代码

发现文件夹属性正常。
8 p. K* R( S6 q  l, L3、将刚刚剪切到D盘的文件夹重新剪切到U盘内，后遗症就没有了！
/ }+ U  Y0 A1 ^1 I8 n2 f
/ r7 g% m$ F) s, c方法二：, v7 n3 o% P3 s, l
3 k- z4 H  j( X! [
1、将U盘内所有的隐藏文件夹剪切到计算机中的任意位置。（我这里以剪切到D盘根目录为例讲解）  t+ B  e. S4 l2 }0 {1 ?
2、对剪切过来的文件夹进行属性编辑【属性】-【自定义】-【更改图标】，任意选择一个图标之后确定。
% i0 g; o) f0 N! r/ w3、再去查看文件夹属性，发现【隐藏】属性可以去掉了。
4 S8 l- Q6 g1 M& H. h4、按照上面的方法对每个文件夹进行相同操作，操作完成后，再将所有文件夹剪切回U盘即可。
6 M; E$ e7 q1 e. @5 v
" \5 O# _, m8 d' R8 P# c3 d# x6 U到此，该U盘中的幽灵病毒全部清理完成！8 K/ \: _3 z% W/ m4 z- u( W
" ]! Q& O9 q( N- B" @8 W
[ 本帖最后由 3ast 于 2008-10-14 20:26 编辑 ]

柔肠寸断

对，就是这样的
  u+ s2 j+ S2 A5 B5 S$ T" q! e+ l, h" P6 y5 _* b
我忘记差不多了8 d! k+ V, |4 w! e) y

8 Y; C- E4 v" z, u6 \上次上网找倒的

saitojie

删除的命令好像是

1. rd mayi..\

复制代码

记得有个隐藏的强制删除的命令的，不过现在忘记了，你看看在最后加上参数/F或者/X看看

柔肠寸断

知道了，方法是这样的
+ F; U# q/ q; A) w& v, ~1 G' T5 [" ~# _& V6 Y! A* Y$ l, O

: x2 \. s4 S6 o# p# S: D有一些高级、智能一点的木马，会删除你的感染文件或者目录。为此，可以创建一个同名的特殊目录，并且在目录下创建几个带..的目录：
4 F% e2 N* S1 j$ k1 n
. |+ ]0 B+ L1 E- p# O9 g  X1 U9 ^- R! x; o     在开始菜单运行里面输入cmd,输入下面命令（括号是注释，不要运行）6 E; F+ h8 t" s' C8 W
     假设 g盘免疫 (g对应u盘在电脑上的盘符)' _& t5 V% H4 F' ~% G3 [

/ z5 Y# l( ~( O( N4 j2 g: \# h==================
! A' u0 Z4 Z! t6 ^6 v/ X  ^
7 \2 R* @4 p9 f6 O( U8 S      pushd g:
2 L7 s/ _/ |2 P9 q9 ~$ n      md autorun.inf                 (新建autorun.inf文件夹)5 |' p# D8 G& Q, ?& t+ E
       cd autorun.inf                  (进入autorun.inf文件夹)' }( f9 s- J  |) ]* r: |0 B9 I0 p" |
       md abc..\                      （新建免疫目录.文件夹）' x$ y1 [9 y, S8 q( }$ [" F  a
       cd..                                  (回到上一级目录)
7 A+ j' z1 R. {) Q4 i        attrib autorun.inf +r +a +h +s (给autorun.inf文件夹加上只读存档隐藏系统属性，或者按步骤1设置权限)# R. L' ?) d- X. K: B! U  C
$ f$ s! @$ G: @% J
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

柔肠寸断

对了) U7 {/ Q1 j1 G6 K
, Z& |9 x3 }9 N+ d$ X& |$ b
问问大家
2 C! l, o% h9 Z5 s0 V& P9 [  \! v' d6 O( N, d
这种免疫的 文件夹 是怎么建立的？？我忘记了？？

wmmy

z这个是我U盘里面的文件那个MAYI.是我自己搞的， 汗  忘记删除的命令了
9 F( \/ ?6 F& w9 Z
6 Y# W% S$ x: ~

juchong

以前也经常碰到这样的毒，后来用了USBCleaner这款软件，就好了:) :) :)

saitojie

那要看你的autorun.inf里面的内容咯

柔肠寸断

这就是昨晚群聊时说的幽灵病毒啊，我来看看文章先) i# {4 w  g0 A. w- G6 G1 S# |
8 j: e" H7 A1 }
主要是没有中过，有时间发个病毒样本来研究下
. {- w$ ^! R  R8 l2 ~& O, \9 S1 t
还有就是连接没有病毒计算机的时候注意不能自动运行，而且要是安装了360的话，360会直接检测到autorun文件的
! T  t. a& O. x5 [' z
* T7 K7 Z# i5 \: A# H并且直接删除autorun

wmmy

直接用软件对U盘免于啊
& T& i6 F, m& q问个问题我U盘里面这个文件autorun.inf不删除没有问题吧