[原创文章] 对于U盘内永久隐藏文件的处理 盘内, 文件, 隐藏

saitojie

原创作者：saitojie  [3.A.S.T]  i" L1 D+ k- c& @; I" ^

+ q& s# h* v  z$ E( `! R0 r信息来源：3.A.S.T网络安全团队  （ www.3ast.cn  ）+ R: x' H2 ^; ]' N
# P8 p, c. {9 [1 i* a
; e- u2 q  q3 q) D- K  _5 [  u
最近由于工作繁忙所以帖子发的比较少了，在工作中遇到了一个情况，我的学生U盘中毒了，而且是大面积中了这个毒，天天帮学生杀毒，杀得有点累了，不知道坛子里有没有人也在被这个病毒“迫害”，下面说说我的一些处理方法！
, h/ Q$ W* Z) r- {) H* W
+ x+ y1 n) h" X0 S2 M: c注意：我的查杀方式仅限于计算机没中毒，但是U盘被病毒感染，如果阁下的计算机也中了该病毒，请先将计算机中的该病毒清理掉之后再去查杀U盘里的被感染的文件！" W& c! i: d4 `/ y
  n. a& E+ ?4 L2 t' Z8 L
病毒名称：幽灵（ghost）
2 e2 d5 }8 w  O- H. ]- k# L
6 w. Z: I) V& T病毒现象：U盘内所有文件夹被隐藏，并且在U盘内生成与该文件夹同名的文件，文件图标与文件夹图标相同，后缀为.exe
  Y7 M. w4 w9 d1 ~8 U1 R4 Z
3 e3 A! S( g" P6 Y3 K' f" I1 Z如果您的U盘不小心被这个病毒感染，而您又苦于无法将感染的文件夹还原为最开始的情况，请阅读我下面的方法：, n: j0 z* A/ y, Y
+ t- [  z/ b: a5 {
1、将U盘连接到没有中毒的计算机上。
: m0 {( q1 ~; ~" N' `- S4 d: m% \2 s2、使用资源管理器（alt+E）打开U盘。
; @2 ?: ]0 L0 U5 A. m3、将文件夹属性改为显示系统隐藏文件、显示所有隐藏文件、显示文件的后缀，此操作在【工具】-【文件夹选项】-【查看】中完成。# m0 [" t1 ~, o. S' S
4、将U盘内的autorun.inf、MS-DOS.COM两个病毒文件删除掉* [  {( P  {3 j. p5 z
5、将U盘内所有以.exe结尾，图标为文件夹图标的文件删除掉* t1 s7 M% a" n( [- y
以上步骤相信是大家都会的步骤，虽然说这样是将U盘病毒清理干净了，但是病毒留下的后遗症我们并没有解决。
2 ]/ e) J' k( {, M1 n9 `1 l. ^3 R/ o. K/ p
后遗症现象：U盘内所有文件夹处于隐藏状态，并且对文件夹属性进行编辑，发现【隐藏】选项无法取消。
2 H' q& x: c0 \5 K0 a$ Y* Y6 x) v
5 I( u, }) T& Y1 X& ~对于后遗症的处理方法如下：
4 G: z3 I( W, s- I5 X3 w( D+ J% q; G1 l1 c7 `' l: _
方法一：2 n5 _1 L/ n8 q, d

/ Y5 D2 C2 r; Z1 J+ r7 \7 V1、将U盘内所有的隐藏文件夹剪切到计算机中的任意位置。（我这里以剪切到D盘根目录为例讲解）
5 Z& d& M6 }7 B# b2、进入命令行输入如下命令：

1. d:
   
2. attrib /s /d -h -s *

复制代码

发现文件夹属性正常。
* h9 x  k. A" c: u3、将刚刚剪切到D盘的文件夹重新剪切到U盘内，后遗症就没有了！
2 p! U: j9 h+ z! F/ G" j' ]" \! s* `" V9 F! }6 i
方法二：
0 T3 G2 q8 w) z* L7 Q8 V+ d* y" p/ a8 j0 Y/ ]7 J
1、将U盘内所有的隐藏文件夹剪切到计算机中的任意位置。（我这里以剪切到D盘根目录为例讲解）
' c* v5 G/ o/ u0 g: J, z4 N* |& _2、对剪切过来的文件夹进行属性编辑【属性】-【自定义】-【更改图标】，任意选择一个图标之后确定。
2 r( c5 T* x$ U, q3、再去查看文件夹属性，发现【隐藏】属性可以去掉了。
6 t! B8 M2 D, J2 [$ c* x4、按照上面的方法对每个文件夹进行相同操作，操作完成后，再将所有文件夹剪切回U盘即可。  D( R7 h: y* e, U$ |( K/ p

6 S. C# v2 M5 f" Y$ w- X: V到此，该U盘中的幽灵病毒全部清理完成！/ U. }; T) Y3 @0 \
# o9 \* m6 X' _6 ?3 L
[ 本帖最后由 3ast 于 2008-10-14 20:26 编辑 ]

wmmy

直接用软件对U盘免于啊( n* r! y% F1 ?+ i5 B4 t
问个问题我U盘里面这个文件autorun.inf不删除没有问题吧

柔肠寸断

这就是昨晚群聊时说的幽灵病毒啊，我来看看文章先
9 g( g( ~, F( {  \, d
  {; i) Y& Q' {* s! o# W! D7 `主要是没有中过，有时间发个病毒样本来研究下
8 p; k9 L( W8 g+ O4 m+ G& }) V8 C9 I( {
! @) F8 _9 j  M7 K$ }- H7 _' k还有就是连接没有病毒计算机的时候注意不能自动运行，而且要是安装了360的话，360会直接检测到autorun文件的" G4 D: e  w. S  e
7 V2 S2 o0 F0 Y1 r' Y+ a1 W
并且直接删除autorun

saitojie

那要看你的autorun.inf里面的内容咯

juchong

以前也经常碰到这样的毒，后来用了USBCleaner这款软件，就好了:) :) :)

wmmy

z这个是我U盘里面的文件那个MAYI.是我自己搞的， 汗  忘记删除的命令了6 d* M7 l: v9 [: n$ t* |6 T
4 A- h& v1 ^. P, P$ d% @

柔肠寸断

对了
0 `7 x) h2 g( U( Q' i( a! d6 k: c
问问大家
4 ^- F6 Z4 J1 d* o: B" b( m5 G( F2 O# j% K$ U
这种免疫的 文件夹 是怎么建立的？？我忘记了？？

柔肠寸断

知道了，方法是这样的, p; P: ?3 j, o* U

& h! x2 w9 ?( N/ G
" q  w' ?1 e& ^% @, Q6 s, |0 z有一些高级、智能一点的木马，会删除你的感染文件或者目录。为此，可以创建一个同名的特殊目录，并且在目录下创建几个带..的目录：8 ^7 C( d% L3 u+ a3 M6 i! L
* f$ y3 w# C5 {, T' S
     在开始菜单运行里面输入cmd,输入下面命令（括号是注释，不要运行）7 r  _1 O  ?; s
     假设 g盘免疫 (g对应u盘在电脑上的盘符)
- s  Y1 O2 K  O; K1 |" M& }' z! T% Q9 s' j3 O
==================
$ V- V$ O& k# a+ T" G7 y# Y6 m. B4 y7 ]+ q5 ^
      pushd g:7 N/ g) G, G! H- T
      md autorun.inf                 (新建autorun.inf文件夹)# d& S+ x7 Z! N
       cd autorun.inf                  (进入autorun.inf文件夹)
7 p) j( y, \" {" u' H& c, a       md abc..\                      （新建免疫目录.文件夹）
0 m' A" h6 W' M+ F7 q! l8 E       cd..                                  (回到上一级目录)
2 J# V# o$ z) |( i( H        attrib autorun.inf +r +a +h +s (给autorun.inf文件夹加上只读存档隐藏系统属性，或者按步骤1设置权限)
9 J- L! O. P. u; n; L0 [# K( q2 ^. N8 |5 \
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

saitojie

删除的命令好像是

1. rd mayi..\

复制代码

记得有个隐藏的强制删除的命令的，不过现在忘记了，你看看在最后加上参数/F或者/X看看

柔肠寸断

对，就是这样的7 P) a/ D5 W; L4 B, |

: Z5 p* e' O8 ]: K/ S% }; F( l7 ]我忘记差不多了
3 L5 q1 i% @) o& O+ w( b; ?
: a- R% X/ n9 y: r7 a% M上次上网找倒的