[原创文章] 对于U盘内永久隐藏文件的处理 盘内, 文件, 隐藏

saitojie

原创作者：saitojie  [3.A.S.T]1 n, d3 K8 w2 N2 G3 j8 V7 u( ?

, Z( J" ]" S% \; X7 [- P信息来源：3.A.S.T网络安全团队  （ www.3ast.cn  ）
3 {3 d5 A, X/ l" M# V, o( p
' n  n% R8 a6 w3 e' Y  N% k5 K& W& S; V# |( @  B1 q( B0 f, r6 u1 P
最近由于工作繁忙所以帖子发的比较少了，在工作中遇到了一个情况，我的学生U盘中毒了，而且是大面积中了这个毒，天天帮学生杀毒，杀得有点累了，不知道坛子里有没有人也在被这个病毒“迫害”，下面说说我的一些处理方法！! t: |5 z! n2 @5 E8 w; M5 g0 }

! Y! G1 n! Y5 H+ k! I1 K4 d: v注意：我的查杀方式仅限于计算机没中毒，但是U盘被病毒感染，如果阁下的计算机也中了该病毒，请先将计算机中的该病毒清理掉之后再去查杀U盘里的被感染的文件！! L* j' Z6 [# }9 |

: T- I. h9 N' s- e病毒名称：幽灵（ghost）7 L) P3 V* d$ D7 R, k

+ a! y0 \& ]6 \6 F; C' F/ s病毒现象：U盘内所有文件夹被隐藏，并且在U盘内生成与该文件夹同名的文件，文件图标与文件夹图标相同，后缀为.exe
/ A: F& H8 Z0 }5 ^1 E' u0 Y" @( l* l. e" V
如果您的U盘不小心被这个病毒感染，而您又苦于无法将感染的文件夹还原为最开始的情况，请阅读我下面的方法：% D0 ^0 h+ E5 e; X  T8 I% D
2 ^/ h6 R9 {7 [; }- e4 M, ]
1、将U盘连接到没有中毒的计算机上。
# l9 g" L% k7 R" j2、使用资源管理器（alt+E）打开U盘。
2 v5 o" X( k, `* G, I5 i6 t2 Q0 m# E3、将文件夹属性改为显示系统隐藏文件、显示所有隐藏文件、显示文件的后缀，此操作在【工具】-【文件夹选项】-【查看】中完成。
4 C$ u- y" h( b% C! [( g4、将U盘内的autorun.inf、MS-DOS.COM两个病毒文件删除掉& ~+ o1 w( o/ p' m) V
5、将U盘内所有以.exe结尾，图标为文件夹图标的文件删除掉! n" d3 e- t4 i. \. N5 ~
以上步骤相信是大家都会的步骤，虽然说这样是将U盘病毒清理干净了，但是病毒留下的后遗症我们并没有解决。  I7 b1 x! _2 W* t3 f- [
" U- e% A( t$ \3 w
后遗症现象：U盘内所有文件夹处于隐藏状态，并且对文件夹属性进行编辑，发现【隐藏】选项无法取消。
7 U- k9 \  e. w3 }$ v' ]! a( T* Z3 {1 t" p: _4 ]& a+ M; l. {
对于后遗症的处理方法如下：
, C- M/ U5 B5 \$ o" [
9 b+ I8 W4 R* D, A5 F) c* s7 K方法一：
  d; J  w, w* z, a
- ^5 t: r* W' Y$ S  n7 _6 [3 a1、将U盘内所有的隐藏文件夹剪切到计算机中的任意位置。（我这里以剪切到D盘根目录为例讲解）  O& _# w* d! j( X; I: o0 K
2、进入命令行输入如下命令：

1. d:
   
2. attrib /s /d -h -s *

复制代码

发现文件夹属性正常。
5 B/ S+ @$ Y( N, k3 w3、将刚刚剪切到D盘的文件夹重新剪切到U盘内，后遗症就没有了！
' k7 L% I: `. p* a+ {2 y' X4 h. Y+ R2 {5 K5 `
方法二：: s! w& L3 O- e/ m' B4 P

9 @2 @8 x) ?- ]4 @) ]( ?* P1、将U盘内所有的隐藏文件夹剪切到计算机中的任意位置。（我这里以剪切到D盘根目录为例讲解）
2 y+ O5 @4 K* @# b" r2、对剪切过来的文件夹进行属性编辑【属性】-【自定义】-【更改图标】，任意选择一个图标之后确定。. j# J4 c2 r) d
3、再去查看文件夹属性，发现【隐藏】属性可以去掉了。
& B! {' N% q* U# X4、按照上面的方法对每个文件夹进行相同操作，操作完成后，再将所有文件夹剪切回U盘即可。9 p$ U' Y, p1 t: \& r* E. p
( J$ ?& L1 m8 \. Z# ^* r7 W
到此，该U盘中的幽灵病毒全部清理完成！
( P8 n' |( f; r4 Q
& x' }# q2 ~+ g' j- c" I2 V[ 本帖最后由 3ast 于 2008-10-14 20:26 编辑 ]

柔肠寸断

对，就是这样的
! u$ V! ^* A: D
5 U) N2 K# h0 Y& o2 \- k我忘记差不多了0 i. X3 N4 @- v6 j& N

" S' u' O3 ]) |上次上网找倒的

saitojie

删除的命令好像是

1. rd mayi..\

复制代码

记得有个隐藏的强制删除的命令的，不过现在忘记了，你看看在最后加上参数/F或者/X看看

柔肠寸断

知道了，方法是这样的0 K+ ^8 `( k' n4 M- b3 e- Y
- z. }/ _/ o3 M  _% Q
4 G% H( j9 e  t& ]; Z
有一些高级、智能一点的木马，会删除你的感染文件或者目录。为此，可以创建一个同名的特殊目录，并且在目录下创建几个带..的目录：6 p# Q0 m; \% N) Z5 l

; F  u4 W; I/ ?' X0 h9 w     在开始菜单运行里面输入cmd,输入下面命令（括号是注释，不要运行）( @8 U8 @& O& _- r* o* L/ v
     假设 g盘免疫 (g对应u盘在电脑上的盘符)7 E9 _  t* H" v1 ~1 ~/ p% p

0 l. Z/ b( Q, E1 J==================
( F) q# @* C& v* G
, O2 @  ^* n0 K3 R6 B6 i* D& [      pushd g:7 X  Z1 M5 m: i% o
      md autorun.inf                 (新建autorun.inf文件夹)+ b  O% G, r( V; F2 J0 v
       cd autorun.inf                  (进入autorun.inf文件夹)
+ p/ F! l+ Y" n3 v, p" U       md abc..\                      （新建免疫目录.文件夹）. f5 t( G0 ~0 |0 E# Z
       cd..                                  (回到上一级目录)
5 \2 ^5 W1 S- w' y        attrib autorun.inf +r +a +h +s (给autorun.inf文件夹加上只读存档隐藏系统属性，或者按步骤1设置权限)
2 V6 I3 [2 L/ f/ d
) v; m' a% Y. s" B$ X- e( f0 q( u＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

柔肠寸断

对了
/ Y0 B. i" c( B! r& _- r! `/ z& C9 y
问问大家
) _: B8 a/ J4 w" u3 S" E; \+ L1 J
4 U: [& a/ I0 [这种免疫的 文件夹 是怎么建立的？？我忘记了？？

wmmy

z这个是我U盘里面的文件那个MAYI.是我自己搞的， 汗  忘记删除的命令了  K- A$ {8 W) m! S3 d+ k: d

2 X5 q2 O% J+ q3 e

juchong

以前也经常碰到这样的毒，后来用了USBCleaner这款软件，就好了:) :) :)

saitojie

那要看你的autorun.inf里面的内容咯

柔肠寸断

这就是昨晚群聊时说的幽灵病毒啊，我来看看文章先
9 ?: c/ N/ D  e; P$ y. _7 ~8 r# [' T6 m1 N$ h* g$ g; R
主要是没有中过，有时间发个病毒样本来研究下
: I$ N6 U/ ?! c7 a9 X7 t4 S4 ]% b/ L4 s0 h$ d
还有就是连接没有病毒计算机的时候注意不能自动运行，而且要是安装了360的话，360会直接检测到autorun文件的
, @1 t8 T* N/ S* Y1 ]5 ~4 c! Y& ?, e
并且直接删除autorun

wmmy

直接用软件对U盘免于啊, T# w: w9 l+ H; L1 @% P; O: {; g- K
问个问题我U盘里面这个文件autorun.inf不删除没有问题吧