[原创文章] 对于U盘内永久隐藏文件的处理 盘内, 文件, 隐藏

saitojie

原创作者：saitojie  [3.A.S.T]
7 D' b' G1 J- E8 \- w0 ?8 P" f5 E* y/ u& @- l( Y
信息来源：3.A.S.T网络安全团队  （ www.3ast.cn  ）5 t5 k5 p  U* R" u! x8 I- h

4 z8 K0 K0 ^& _' [; H. p) U
( ^. B. X+ D' K, j+ t  c最近由于工作繁忙所以帖子发的比较少了，在工作中遇到了一个情况，我的学生U盘中毒了，而且是大面积中了这个毒，天天帮学生杀毒，杀得有点累了，不知道坛子里有没有人也在被这个病毒“迫害”，下面说说我的一些处理方法！
, M0 N. U$ P- ?, w' x9 m, R! H8 |/ s
注意：我的查杀方式仅限于计算机没中毒，但是U盘被病毒感染，如果阁下的计算机也中了该病毒，请先将计算机中的该病毒清理掉之后再去查杀U盘里的被感染的文件！
. K) A' i7 v, n1 ]: q& ?+ v' H
; l; G: Y4 K. i4 V, {病毒名称：幽灵（ghost）
  T# ~  [/ e2 A( ^0 s2 a. `1 E, d, s$ k6 X. V8 c. b9 e9 b; ~! H  h# f
病毒现象：U盘内所有文件夹被隐藏，并且在U盘内生成与该文件夹同名的文件，文件图标与文件夹图标相同，后缀为.exe8 w3 A: z* F* L' v
0 W! F# G$ f( E
如果您的U盘不小心被这个病毒感染，而您又苦于无法将感染的文件夹还原为最开始的情况，请阅读我下面的方法：
5 _6 P" ?; a( V7 ?$ R- Y  H5 U
0 r  O6 }  u+ F1、将U盘连接到没有中毒的计算机上。4 K9 R7 M% u' O# S4 @8 q# L
2、使用资源管理器（alt+E）打开U盘。
( A) d6 Y. n, D6 `1 m- d. Y; k7 z3、将文件夹属性改为显示系统隐藏文件、显示所有隐藏文件、显示文件的后缀，此操作在【工具】-【文件夹选项】-【查看】中完成。
, W2 M% {$ p6 H+ ^7 [- _7 O4、将U盘内的autorun.inf、MS-DOS.COM两个病毒文件删除掉# q, q. K: M( r8 w
5、将U盘内所有以.exe结尾，图标为文件夹图标的文件删除掉# x7 a$ T! g2 o* I) j2 k5 D
以上步骤相信是大家都会的步骤，虽然说这样是将U盘病毒清理干净了，但是病毒留下的后遗症我们并没有解决。7 s( L! f* o" [6 e, K# k/ r

( k/ z/ H: @# r( |; e后遗症现象：U盘内所有文件夹处于隐藏状态，并且对文件夹属性进行编辑，发现【隐藏】选项无法取消。+ n" u! C# p9 ^0 T
/ f3 a+ e7 N9 |5 n( p5 n) ?
对于后遗症的处理方法如下：# O  i, M! A# e1 t1 \

" F% S/ _: ?0 R: w9 b: N4 X3 A! ^! D方法一：
  |. |1 L! M, ?+ K3 S
6 r9 z  q4 ^. v+ T0 R' Q1、将U盘内所有的隐藏文件夹剪切到计算机中的任意位置。（我这里以剪切到D盘根目录为例讲解）
! v! A+ a$ L# `) @! e4 s1 e2、进入命令行输入如下命令：

1. d:
   
2. attrib /s /d -h -s *

复制代码

发现文件夹属性正常。
* m3 P3 a1 F. ^3 P( B& O# V6 p3、将刚刚剪切到D盘的文件夹重新剪切到U盘内，后遗症就没有了！, f+ l* B4 i6 ^' e0 a! _* w
& u1 H4 N$ m+ c4 R
方法二：% q6 a" ?* j" j, z7 i- l" @; d7 J
* A8 w( Y; b( M0 k  _
1、将U盘内所有的隐藏文件夹剪切到计算机中的任意位置。（我这里以剪切到D盘根目录为例讲解）' U) U9 {: A" ?
2、对剪切过来的文件夹进行属性编辑【属性】-【自定义】-【更改图标】，任意选择一个图标之后确定。
7 z8 v2 S! X$ h3、再去查看文件夹属性，发现【隐藏】属性可以去掉了。( {! O/ W( _& V
4、按照上面的方法对每个文件夹进行相同操作，操作完成后，再将所有文件夹剪切回U盘即可。
6 B$ G& @1 C& g' N# M( P  O# i7 b; \
到此，该U盘中的幽灵病毒全部清理完成！' S- |; ~! h& w! c- s) Y9 e

& j3 k  {2 {" k$ Z# b[ 本帖最后由 3ast 于 2008-10-14 20:26 编辑 ]

wmmy

直接用软件对U盘免于啊, t# w* R$ m( }" c! b
问个问题我U盘里面这个文件autorun.inf不删除没有问题吧

柔肠寸断

这就是昨晚群聊时说的幽灵病毒啊，我来看看文章先: n+ |( }# e5 }0 K1 d5 y
# e# [' t, S# p! S* O+ a
主要是没有中过，有时间发个病毒样本来研究下
/ g% z7 ?  v6 u) n( [
0 K5 Z+ \" [. K( X% u) |3 a5 b还有就是连接没有病毒计算机的时候注意不能自动运行，而且要是安装了360的话，360会直接检测到autorun文件的$ y) G8 I, e  d; F* J* F4 ~

1 l/ {2 {) }' `( |1 {( d) u并且直接删除autorun

saitojie

那要看你的autorun.inf里面的内容咯

juchong

以前也经常碰到这样的毒，后来用了USBCleaner这款软件，就好了:) :) :)

wmmy

z这个是我U盘里面的文件那个MAYI.是我自己搞的， 汗  忘记删除的命令了
& P1 Y2 H; J- q0 [* I/ R# y' Q- q7 ~7 S/ ]' S

柔肠寸断

对了
: f1 y* f4 I9 I* A' l; q/ V8 F9 K. F5 r( t" m: z5 l
问问大家
1 l9 ]* T1 w, X9 H( B5 C% w
. B6 g& k7 A7 I8 G这种免疫的 文件夹 是怎么建立的？？我忘记了？？

柔肠寸断

知道了，方法是这样的
) o! q. K7 M/ v2 ^" T8 V! q* f' {
) c9 q. |  s0 W, x7 x+ T1 w& g# d! u' @: h
有一些高级、智能一点的木马，会删除你的感染文件或者目录。为此，可以创建一个同名的特殊目录，并且在目录下创建几个带..的目录：1 ^9 g/ E& y. U/ m/ m/ X8 B
( T4 ?1 \, u* n: P- q. E  J/ O0 N
     在开始菜单运行里面输入cmd,输入下面命令（括号是注释，不要运行）
" v+ W- U# J; v( o" Q& @3 z     假设 g盘免疫 (g对应u盘在电脑上的盘符)
7 o3 @+ l" y, d6 h
# N* o+ d5 K4 ?==================
6 r2 i! ?" s4 [% U5 J0 Z1 P. O. X2 z" F* W
      pushd g:
& [- `: Q- @0 M: Q6 u/ d+ g) x      md autorun.inf                 (新建autorun.inf文件夹)9 `  U$ X4 L  Z7 X
       cd autorun.inf                  (进入autorun.inf文件夹)4 v- B; K; L, `; X
       md abc..\                      （新建免疫目录.文件夹）$ p2 B6 ]4 _9 N& k0 A
       cd..                                  (回到上一级目录)
+ l$ d# Z7 T, w3 N7 P1 d" l        attrib autorun.inf +r +a +h +s (给autorun.inf文件夹加上只读存档隐藏系统属性，或者按步骤1设置权限)
& F2 ^5 F; M7 R; Y/ i4 J
! ?% e% w6 M# ^. J  L4 y7 A＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

saitojie

删除的命令好像是

1. rd mayi..\

复制代码

记得有个隐藏的强制删除的命令的，不过现在忘记了，你看看在最后加上参数/F或者/X看看

柔肠寸断

对，就是这样的
+ w4 a* t8 |5 X: h6 Z4 H' Z- a/ f& }2 U: O  {% ~7 u$ l1 `4 d
我忘记差不多了+ ?5 w4 J. w! q3 b3 a0 X

! D% i3 y& f% v+ r  m: f, Y+ i上次上网找倒的