[原创文章] 对于U盘内永久隐藏文件的处理 盘内, 文件, 隐藏

saitojie

原创作者：saitojie  [3.A.S.T]! i  B; C/ I4 O% M; k* s

, ~+ Z2 Z9 ^0 s8 a9 o- F1 j信息来源：3.A.S.T网络安全团队  （ www.3ast.cn  ）+ B5 B/ n/ H. x+ M
5 m) Y% E4 z  ~5 Y2 O7 O. Z& A7 \

2 Z. n% _1 m  ^" k  b0 r最近由于工作繁忙所以帖子发的比较少了，在工作中遇到了一个情况，我的学生U盘中毒了，而且是大面积中了这个毒，天天帮学生杀毒，杀得有点累了，不知道坛子里有没有人也在被这个病毒“迫害”，下面说说我的一些处理方法！
  c6 }+ l9 i' q' k8 a
9 H1 R& R- H( P注意：我的查杀方式仅限于计算机没中毒，但是U盘被病毒感染，如果阁下的计算机也中了该病毒，请先将计算机中的该病毒清理掉之后再去查杀U盘里的被感染的文件！( e* l, L8 s  o) N2 `; O- o

6 K8 p# H, j6 N/ l2 k2 j# h病毒名称：幽灵（ghost）& j5 @3 x& l5 j, ]# a3 |
9 ]9 b1 R* o& v# ~! S8 R
病毒现象：U盘内所有文件夹被隐藏，并且在U盘内生成与该文件夹同名的文件，文件图标与文件夹图标相同，后缀为.exe+ Z4 u; E0 U* ^4 T7 d3 l7 K

% r3 |+ ^2 a/ E8 T: M如果您的U盘不小心被这个病毒感染，而您又苦于无法将感染的文件夹还原为最开始的情况，请阅读我下面的方法：
0 P$ v; h  }" l0 R1 Z  \- b; b0 N7 x, I  }# N: s. T% s5 ~
1、将U盘连接到没有中毒的计算机上。
* R# n/ y, Y" l1 g2、使用资源管理器（alt+E）打开U盘。$ {6 M; ?/ L: x7 w( H9 T# o
3、将文件夹属性改为显示系统隐藏文件、显示所有隐藏文件、显示文件的后缀，此操作在【工具】-【文件夹选项】-【查看】中完成。
) c7 x; [) V) m( l7 i4、将U盘内的autorun.inf、MS-DOS.COM两个病毒文件删除掉
& [4 K* D1 f( m& {$ E$ o5、将U盘内所有以.exe结尾，图标为文件夹图标的文件删除掉2 l/ g# q/ K2 E3 ~. O" N
以上步骤相信是大家都会的步骤，虽然说这样是将U盘病毒清理干净了，但是病毒留下的后遗症我们并没有解决。- Q, P, d6 g9 I% Y
# C  Y* x4 s+ L5 U
后遗症现象：U盘内所有文件夹处于隐藏状态，并且对文件夹属性进行编辑，发现【隐藏】选项无法取消。! [3 e: @8 `1 |' P( {. D& Z- G
: ^8 v6 i0 X2 K0 P) R
对于后遗症的处理方法如下：
8 Q5 ~  v1 z5 g' e- f7 U$ `" ?2 Q- H& ^& c# r. }. f/ g/ L: @* Z
方法一：
+ J) f( v/ R; y; }2 I4 R
4 g2 J4 N( B* c' ^7 w1 j1、将U盘内所有的隐藏文件夹剪切到计算机中的任意位置。（我这里以剪切到D盘根目录为例讲解）
' r* e! c8 j4 O8 ]2、进入命令行输入如下命令：

1. d:
   
2. attrib /s /d -h -s *

复制代码

发现文件夹属性正常。% S& f+ Y2 L4 a6 N7 U
3、将刚刚剪切到D盘的文件夹重新剪切到U盘内，后遗症就没有了！5 X/ d; d$ T& ~

1 h! Q0 d' e: J2 d# J6 N& l5 u方法二：
' s: s, x; g  z, q% y8 d% S7 P* }- M
1、将U盘内所有的隐藏文件夹剪切到计算机中的任意位置。（我这里以剪切到D盘根目录为例讲解）% I9 R1 O; E/ y  T: Z
2、对剪切过来的文件夹进行属性编辑【属性】-【自定义】-【更改图标】，任意选择一个图标之后确定。
2 q0 P" Y. }8 v3、再去查看文件夹属性，发现【隐藏】属性可以去掉了。
  \6 I1 T. B" L) [/ b6 C4、按照上面的方法对每个文件夹进行相同操作，操作完成后，再将所有文件夹剪切回U盘即可。3 o$ [3 H; i. t
. F) p  P* H+ b0 `# @
到此，该U盘中的幽灵病毒全部清理完成！( |2 q! ^2 ?& _5 K8 q0 Y; N

1 L8 _7 D0 P  P: ?% Y/ `[ 本帖最后由 3ast 于 2008-10-14 20:26 编辑 ]

柔肠寸断

对，就是这样的
9 y; E% f8 x; T% g
8 C6 I' V* u) b0 M1 A: r我忘记差不多了4 T0 c5 p: r% X* f

% T0 w" w6 V  g5 |上次上网找倒的

saitojie

删除的命令好像是

1. rd mayi..\

复制代码

记得有个隐藏的强制删除的命令的，不过现在忘记了，你看看在最后加上参数/F或者/X看看

柔肠寸断

知道了，方法是这样的! e1 O3 v7 h& _8 a9 d
( l7 B- Y1 i2 E+ l3 ~7 F" p. M' ?1 f2 T

9 P# E3 W1 M4 F. k有一些高级、智能一点的木马，会删除你的感染文件或者目录。为此，可以创建一个同名的特殊目录，并且在目录下创建几个带..的目录：
. O6 q9 [. C- E; l% Y' f) D0 E( U: Q; D
     在开始菜单运行里面输入cmd,输入下面命令（括号是注释，不要运行）
7 @( W9 O7 R' r& F  S' e. T0 N% [     假设 g盘免疫 (g对应u盘在电脑上的盘符)5 o5 n  P% i2 e4 s$ f0 V. Z

, M0 [3 J: t4 w  x# ?9 _==================
/ b/ T, v7 J) Y' ], {5 U6 k3 I2 `6 i9 X, \+ Y
      pushd g:% V$ S: L; Z& L+ t, h0 S) V
      md autorun.inf                 (新建autorun.inf文件夹)2 `" Y  G2 z: U! m: P
       cd autorun.inf                  (进入autorun.inf文件夹)
! n! N) e; W: p, T       md abc..\                      （新建免疫目录.文件夹）2 z% \5 o( `% f- i. I# z
       cd..                                  (回到上一级目录)
5 t& J& O& q( G) ?! ^        attrib autorun.inf +r +a +h +s (给autorun.inf文件夹加上只读存档隐藏系统属性，或者按步骤1设置权限)
3 J$ w& A  m8 z/ m1 S: u& _# h  f- X# t2 s
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

柔肠寸断

对了
# h, _( t2 u0 P4 ~' w( Y& [' v! ~8 H; o5 U5 S7 ], r  i
问问大家. h* Q, K1 I% L4 `; a" y

; A: U; k. n  E% M这种免疫的 文件夹 是怎么建立的？？我忘记了？？

wmmy

z这个是我U盘里面的文件那个MAYI.是我自己搞的， 汗  忘记删除的命令了
; A  C( f$ a; [0 ]8 U# B  i4 W
% c; E* u* D8 G& T, e

juchong

以前也经常碰到这样的毒，后来用了USBCleaner这款软件，就好了:) :) :)

saitojie

那要看你的autorun.inf里面的内容咯

柔肠寸断

这就是昨晚群聊时说的幽灵病毒啊，我来看看文章先4 `  R3 V+ S- s" t" y2 B& A
" W" B( q- {/ N: ^# F* }/ D
主要是没有中过，有时间发个病毒样本来研究下. a0 @8 V4 o1 d3 z( U/ f# y5 R  I# q/ w
2 ~/ w, n2 W, U9 o* V) S9 _
还有就是连接没有病毒计算机的时候注意不能自动运行，而且要是安装了360的话，360会直接检测到autorun文件的
4 g, N0 D2 H- [5 b  S% Y5 U' l1 R8 R# O: {% S0 F3 [& y# U
并且直接删除autorun

wmmy

直接用软件对U盘免于啊& D- q8 h$ g* S& }* m2 F5 S
问个问题我U盘里面这个文件autorun.inf不删除没有问题吧