[原创文章] 对于U盘内永久隐藏文件的处理 盘内, 文件, 隐藏

saitojie

原创作者：saitojie  [3.A.S.T]
- V; I) W: G& r' D* d& T8 p
. X# Z- o) ~7 p! M# b+ Y( _" Z信息来源：3.A.S.T网络安全团队  （ www.3ast.cn  ）
5 c  ^4 N$ j7 J5 c, l$ f5 m+ }8 k

6 [' u/ r, _& V9 v最近由于工作繁忙所以帖子发的比较少了，在工作中遇到了一个情况，我的学生U盘中毒了，而且是大面积中了这个毒，天天帮学生杀毒，杀得有点累了，不知道坛子里有没有人也在被这个病毒“迫害”，下面说说我的一些处理方法！
. F2 ?7 I( O* I; W' F
3 M; f7 ^' g' Q: \" |2 R$ Q9 w9 ~注意：我的查杀方式仅限于计算机没中毒，但是U盘被病毒感染，如果阁下的计算机也中了该病毒，请先将计算机中的该病毒清理掉之后再去查杀U盘里的被感染的文件！5 ~! m1 _1 m( J* l4 T9 n# t
; K1 E' S8 g( d1 G# a8 |
病毒名称：幽灵（ghost）
7 e2 ?4 T' A' J9 S8 u- F+ H' p# Q7 p3 S. l
病毒现象：U盘内所有文件夹被隐藏，并且在U盘内生成与该文件夹同名的文件，文件图标与文件夹图标相同，后缀为.exe
) d5 y$ u# W; G3 l0 ?$ Q: M3 m* }. |0 F  |" H
如果您的U盘不小心被这个病毒感染，而您又苦于无法将感染的文件夹还原为最开始的情况，请阅读我下面的方法：( E9 F- o1 m& `5 \' V3 z: f
* V, d6 y# M, [* k) I% D4 d% @
1、将U盘连接到没有中毒的计算机上。
% a$ h( [5 c5 N: k. }2、使用资源管理器（alt+E）打开U盘。
5 e. x: E+ L( n3、将文件夹属性改为显示系统隐藏文件、显示所有隐藏文件、显示文件的后缀，此操作在【工具】-【文件夹选项】-【查看】中完成。
! G7 ~8 p6 S4 E  r' D2 U: o6 S4、将U盘内的autorun.inf、MS-DOS.COM两个病毒文件删除掉
# K( D- D1 q5 }& a& M5、将U盘内所有以.exe结尾，图标为文件夹图标的文件删除掉! b$ q$ _6 @' P
以上步骤相信是大家都会的步骤，虽然说这样是将U盘病毒清理干净了，但是病毒留下的后遗症我们并没有解决。8 ~" b, ?6 T- d* k; _

- V$ g( L7 M" L; Q) v7 [/ @后遗症现象：U盘内所有文件夹处于隐藏状态，并且对文件夹属性进行编辑，发现【隐藏】选项无法取消。7 X; m1 z- T, H5 H  @
* c- o3 V3 Y: N3 u0 p
对于后遗症的处理方法如下：3 c" T' D3 t$ L0 b3 l9 c) Q

) ]" X' y* x- A8 h1 [! j4 E方法一：
/ B( H9 D3 l5 K! D3 y: F( N( ~' a
2 N# q7 u2 @, s  L1 J1、将U盘内所有的隐藏文件夹剪切到计算机中的任意位置。（我这里以剪切到D盘根目录为例讲解）3 |! S% M2 x1 N# s( _& T8 A
2、进入命令行输入如下命令：

1. d:
   
2. attrib /s /d -h -s *

复制代码

发现文件夹属性正常。
3 F" d  Z" L# q7 W4 Z* J9 t7 z; a3、将刚刚剪切到D盘的文件夹重新剪切到U盘内，后遗症就没有了！/ ~+ L$ u* F; C  }! ~: f
% x! p6 ~6 a$ j4 `# x5 z' _
方法二：
1 s* T' I3 e. l$ v( j8 s. p; X  R, G7 M) E5 R, ^& L8 g6 a
1、将U盘内所有的隐藏文件夹剪切到计算机中的任意位置。（我这里以剪切到D盘根目录为例讲解）2 ^+ }1 W: C; ?( y0 T
2、对剪切过来的文件夹进行属性编辑【属性】-【自定义】-【更改图标】，任意选择一个图标之后确定。7 f" R6 ]3 `9 `7 L( G2 Z
3、再去查看文件夹属性，发现【隐藏】属性可以去掉了。
( v7 n3 [- W+ c  @- L- v+ q4、按照上面的方法对每个文件夹进行相同操作，操作完成后，再将所有文件夹剪切回U盘即可。6 ?9 `0 s; D7 L/ s. T( Q0 i2 U/ F: N+ ?
7 \+ ?4 F2 ^. V$ l) X
到此，该U盘中的幽灵病毒全部清理完成！/ y9 `+ a; p6 d; I0 a( p

% N8 q! N6 {3 ^; e/ A0 P# M3 d[ 本帖最后由 3ast 于 2008-10-14 20:26 编辑 ]

柔肠寸断

对，就是这样的
+ O& N2 g- H$ s. A) A  l& b3 V9 X" y3 r
我忘记差不多了
# D5 T2 x: i8 d4 e) v, M. g
3 ^; C; }+ y8 M8 y9 |. N9 H8 r5 s上次上网找倒的

saitojie

删除的命令好像是

1. rd mayi..\

复制代码

记得有个隐藏的强制删除的命令的，不过现在忘记了，你看看在最后加上参数/F或者/X看看

柔肠寸断

知道了，方法是这样的2 v; m$ `- r( d3 q

: o1 u% l5 H* J0 O* F. R* i* ]
有一些高级、智能一点的木马，会删除你的感染文件或者目录。为此，可以创建一个同名的特殊目录，并且在目录下创建几个带..的目录：
% n' i- o, s! ~
9 }  f9 _; v( p& F* j! S     在开始菜单运行里面输入cmd,输入下面命令（括号是注释，不要运行）
% m: a6 R* _5 P! n     假设 g盘免疫 (g对应u盘在电脑上的盘符)
* u  @6 U3 M9 {' o2 ]% Z" r  [* z6 @0 J: D
==================
; y" x- {) p6 m- Y
7 g! L: M, ?1 U% g8 d      pushd g:
/ X7 w" p/ Y1 i4 o3 f7 o      md autorun.inf                 (新建autorun.inf文件夹)
7 c' c# D* L4 H$ E       cd autorun.inf                  (进入autorun.inf文件夹)
0 Q! `8 |1 C' }# x       md abc..\                      （新建免疫目录.文件夹）6 ^0 i+ }' q9 S8 ^1 M  B% X8 Q
       cd..                                  (回到上一级目录)
; u" U3 q# x, T: S        attrib autorun.inf +r +a +h +s (给autorun.inf文件夹加上只读存档隐藏系统属性，或者按步骤1设置权限)
7 k* Y# C9 x. U2 |2 }. b+ R1 V* `; e9 d$ h0 ]
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

柔肠寸断

对了
8 `6 _8 E( f9 i4 O: e, y; [5 N1 {, t
问问大家5 D: ?1 a0 U! k! `' f

6 Z9 u' d5 B0 B. |7 c这种免疫的 文件夹 是怎么建立的？？我忘记了？？

wmmy

z这个是我U盘里面的文件那个MAYI.是我自己搞的， 汗  忘记删除的命令了/ i  o6 L' P) l5 D7 }- w1 l

: l, c6 @0 x$ v# y# w

juchong

以前也经常碰到这样的毒，后来用了USBCleaner这款软件，就好了:) :) :)

saitojie

那要看你的autorun.inf里面的内容咯

柔肠寸断

这就是昨晚群聊时说的幽灵病毒啊，我来看看文章先
$ |7 |6 y, r, t4 H4 e/ ]4 n+ h$ G# u  _# r7 @3 M2 q: u0 Q
主要是没有中过，有时间发个病毒样本来研究下& b% q2 {: G% v- M9 j2 A6 g  T
" p" R& V  ?) Q( P
还有就是连接没有病毒计算机的时候注意不能自动运行，而且要是安装了360的话，360会直接检测到autorun文件的) D& l9 l$ p4 L1 t% ^* c
" y. I& W- J$ k' ?; A# d# R8 J
并且直接删除autorun

wmmy

直接用软件对U盘免于啊; ^" I9 W0 X! k6 D& F
问个问题我U盘里面这个文件autorun.inf不删除没有问题吧