[原创文章] 对于U盘内永久隐藏文件的处理 盘内, 文件, 隐藏

saitojie

原创作者：saitojie  [3.A.S.T]
9 x, H) M" C, o4 M4 A6 u$ m, h9 U' r5 @
信息来源：3.A.S.T网络安全团队  （ www.3ast.cn  ）
! U% [' K$ R. J& s# c2 z
/ R8 s. l7 z0 ^# T/ O+ y
$ g, q7 d3 U5 f/ c最近由于工作繁忙所以帖子发的比较少了，在工作中遇到了一个情况，我的学生U盘中毒了，而且是大面积中了这个毒，天天帮学生杀毒，杀得有点累了，不知道坛子里有没有人也在被这个病毒“迫害”，下面说说我的一些处理方法！
: [7 x7 E* K. J; g7 h0 _$ ^
5 _  U& \! }5 B2 [% w% c- z注意：我的查杀方式仅限于计算机没中毒，但是U盘被病毒感染，如果阁下的计算机也中了该病毒，请先将计算机中的该病毒清理掉之后再去查杀U盘里的被感染的文件！% i. ^& L# u& j0 g5 k3 A

) x+ J! g. Z" r0 Q3 D0 q- ^病毒名称：幽灵（ghost）
5 S6 v, u/ V* r
& L; \8 Z# x9 V" _! Z/ R0 t病毒现象：U盘内所有文件夹被隐藏，并且在U盘内生成与该文件夹同名的文件，文件图标与文件夹图标相同，后缀为.exe$ N& W# c" M* O

" i' A; [+ [/ ^8 P8 w8 @如果您的U盘不小心被这个病毒感染，而您又苦于无法将感染的文件夹还原为最开始的情况，请阅读我下面的方法：) p& n9 l6 |4 U

' Y1 z5 d* X' q) c1、将U盘连接到没有中毒的计算机上。" f$ u- A" ?' }; ~
2、使用资源管理器（alt+E）打开U盘。7 E4 x- W1 E' O: @4 a) T
3、将文件夹属性改为显示系统隐藏文件、显示所有隐藏文件、显示文件的后缀，此操作在【工具】-【文件夹选项】-【查看】中完成。
! J3 b0 _$ y( }( m) C4、将U盘内的autorun.inf、MS-DOS.COM两个病毒文件删除掉
: l2 X# ~' l% l7 D% Z+ m2 R/ M5、将U盘内所有以.exe结尾，图标为文件夹图标的文件删除掉
; ]: c& P) \$ _. V' U$ Q% ?) B. n以上步骤相信是大家都会的步骤，虽然说这样是将U盘病毒清理干净了，但是病毒留下的后遗症我们并没有解决。
! x- D& o. f6 q* r. r5 i8 b8 ?! Y. T6 m) O
后遗症现象：U盘内所有文件夹处于隐藏状态，并且对文件夹属性进行编辑，发现【隐藏】选项无法取消。
) k# @  B" u0 Q6 m! ~
8 H! C  }1 D5 N' _0 I* q对于后遗症的处理方法如下：
- C2 N" d( M: C3 k; n
3 [8 Q" d1 A2 q6 Z( F方法一：
" F6 e4 g3 a" a6 I- m" f; e8 L! h  n
1、将U盘内所有的隐藏文件夹剪切到计算机中的任意位置。（我这里以剪切到D盘根目录为例讲解）/ q8 N0 q4 O: j3 E, }1 x3 Q& c
2、进入命令行输入如下命令：

1. d:
   
2. attrib /s /d -h -s *

复制代码

发现文件夹属性正常。
$ k  z! {; t9 v4 i' O5 j* j. o3、将刚刚剪切到D盘的文件夹重新剪切到U盘内，后遗症就没有了！
0 ?% U- N# _! M7 v5 o; c; L- P, o+ X: s. [" O
方法二：5 M0 \# Y/ m' H& c3 a
; W$ W$ H& |2 m1 c! a
1、将U盘内所有的隐藏文件夹剪切到计算机中的任意位置。（我这里以剪切到D盘根目录为例讲解）  q/ b# }# O9 O+ x5 T
2、对剪切过来的文件夹进行属性编辑【属性】-【自定义】-【更改图标】，任意选择一个图标之后确定。
, e( _8 ^1 a$ p/ K0 T8 |: h: U# `* Y9 \3、再去查看文件夹属性，发现【隐藏】属性可以去掉了。
. }6 L6 M  [& j* D. N4、按照上面的方法对每个文件夹进行相同操作，操作完成后，再将所有文件夹剪切回U盘即可。5 o) _, H: C+ J4 v) N

% ^1 l8 ]. F) T, d6 s到此，该U盘中的幽灵病毒全部清理完成！* m+ t0 i0 a4 x* `: S; R0 L4 G
3 M8 n/ n& v  M5 ~+ v# j
[ 本帖最后由 3ast 于 2008-10-14 20:26 编辑 ]

柔肠寸断

对，就是这样的
+ ~! s' A% k- Y# s% l* Q* K+ [1 V& k& F3 L+ ?4 q
我忘记差不多了: Z$ c7 J" y) i% \. H: t- q& g" c

  ?" F" s) _' k5 {/ C) {上次上网找倒的

saitojie

删除的命令好像是

1. rd mayi..\

复制代码

记得有个隐藏的强制删除的命令的，不过现在忘记了，你看看在最后加上参数/F或者/X看看

柔肠寸断

知道了，方法是这样的6 j, e( d, D' p" e- I% U

$ M+ `. O6 }. o2 `
1 _- h/ Q- |# ?. g) U, j7 V有一些高级、智能一点的木马，会删除你的感染文件或者目录。为此，可以创建一个同名的特殊目录，并且在目录下创建几个带..的目录：
3 g8 Y. Y' u8 W' A, r: `, T: M2 d, t. e  D+ u, ?0 x0 l3 k, P0 l
     在开始菜单运行里面输入cmd,输入下面命令（括号是注释，不要运行）
- o+ T+ }8 i. Q* \4 k     假设 g盘免疫 (g对应u盘在电脑上的盘符)) T- j) \9 n4 F& p
' a/ E$ p( S9 V  [
==================
2 u- U' [7 Q! J, f1 ?* e( h( d
( [! U# v; q: w; D/ l1 P, f7 u0 ^      pushd g:" ]+ y. x  B6 U: ~* `, l7 }
      md autorun.inf                 (新建autorun.inf文件夹), K8 f2 p( `1 }3 E9 A+ \
       cd autorun.inf                  (进入autorun.inf文件夹), Q+ J$ S& x) r- B# @- N( j2 n
       md abc..\                      （新建免疫目录.文件夹）
3 L% Z2 ]8 f* F& N# G8 i3 [       cd..                                  (回到上一级目录)/ C4 c# u- O# N' [- B- q
        attrib autorun.inf +r +a +h +s (给autorun.inf文件夹加上只读存档隐藏系统属性，或者按步骤1设置权限)0 J3 X1 ~1 f" h9 d' [8 T+ e7 f5 N
) R" {0 G' P2 |4 j+ H
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

柔肠寸断

对了
5 `/ @' W$ ?: [; y( c; r
  V# u( l& \% {$ b( }问问大家
. h$ v$ c+ V- W! U* `: f
7 }, i# F# M5 z7 S: g7 n" i# |' f这种免疫的 文件夹 是怎么建立的？？我忘记了？？

wmmy

z这个是我U盘里面的文件那个MAYI.是我自己搞的， 汗  忘记删除的命令了1 \, C6 K  N5 }4 F! G
+ s4 p$ F8 f9 J& I

juchong

以前也经常碰到这样的毒，后来用了USBCleaner这款软件，就好了:) :) :)

saitojie

那要看你的autorun.inf里面的内容咯

柔肠寸断

这就是昨晚群聊时说的幽灵病毒啊，我来看看文章先
% R  |  S, I- t! C2 n: k0 e; H6 a6 N+ |# Q+ v
主要是没有中过，有时间发个病毒样本来研究下, P8 S+ q  s. y7 }& J+ G( T

9 |) G4 {+ e$ k还有就是连接没有病毒计算机的时候注意不能自动运行，而且要是安装了360的话，360会直接检测到autorun文件的0 R7 {1 h" b! S. z0 m, w# M+ p

" J6 o  Z, g0 W并且直接删除autorun

wmmy

直接用软件对U盘免于啊
" e3 _/ w( F2 n! c+ ~# [问个问题我U盘里面这个文件autorun.inf不删除没有问题吧