[原创文章] 对于U盘内永久隐藏文件的处理 盘内, 文件, 隐藏

saitojie

原创作者：saitojie  [3.A.S.T]
6 N8 G2 b- L) c# R3 b9 i1 m1 K, Z% q/ B3 F. z
信息来源：3.A.S.T网络安全团队  （ www.3ast.cn  ）/ ^$ k$ k* g6 n' u! I/ B; O

* o( i/ l+ c$ b4 Z6 f* S  D, a/ j  f! [! d
最近由于工作繁忙所以帖子发的比较少了，在工作中遇到了一个情况，我的学生U盘中毒了，而且是大面积中了这个毒，天天帮学生杀毒，杀得有点累了，不知道坛子里有没有人也在被这个病毒“迫害”，下面说说我的一些处理方法！; h& k) E0 W' E2 j
0 n1 W4 C+ k' M8 k0 D3 f5 ]
注意：我的查杀方式仅限于计算机没中毒，但是U盘被病毒感染，如果阁下的计算机也中了该病毒，请先将计算机中的该病毒清理掉之后再去查杀U盘里的被感染的文件！& c: Q4 ~5 {* J6 H0 ^

- i4 q% I: _' j病毒名称：幽灵（ghost）& `0 I7 x0 w. u5 x9 l

: R( f  H( E) v% t9 ^6 r病毒现象：U盘内所有文件夹被隐藏，并且在U盘内生成与该文件夹同名的文件，文件图标与文件夹图标相同，后缀为.exe/ F* R9 p" ]/ V$ `

1 e- ^* ]4 S1 B, D4 a如果您的U盘不小心被这个病毒感染，而您又苦于无法将感染的文件夹还原为最开始的情况，请阅读我下面的方法：0 \% `; m; Z  i: b, c
2 z0 y" v  m* V' w
1、将U盘连接到没有中毒的计算机上。. c/ w2 ^" ]* q  v' W
2、使用资源管理器（alt+E）打开U盘。3 M" j. s/ e! _
3、将文件夹属性改为显示系统隐藏文件、显示所有隐藏文件、显示文件的后缀，此操作在【工具】-【文件夹选项】-【查看】中完成。
  @2 B; X7 T7 P) u( @4、将U盘内的autorun.inf、MS-DOS.COM两个病毒文件删除掉$ @  l  a9 {2 x' q
5、将U盘内所有以.exe结尾，图标为文件夹图标的文件删除掉
& d. \' k5 C- a( R3 O以上步骤相信是大家都会的步骤，虽然说这样是将U盘病毒清理干净了，但是病毒留下的后遗症我们并没有解决。
" a3 G4 d$ T" U+ r3 K& \0 c7 T
$ h( p' R$ o7 s8 \6 c. V后遗症现象：U盘内所有文件夹处于隐藏状态，并且对文件夹属性进行编辑，发现【隐藏】选项无法取消。! a, r$ ]& ]" n( f
0 p/ `) Q" r( ?" R3 n& W
对于后遗症的处理方法如下：3 A! J# h8 C2 J! m  h* D
+ A# _/ {- r1 c+ F
方法一：6 F/ S- |9 u' p$ ?# I4 n! v- y% e
3 g4 N+ M/ `2 D& |% Y. r( n1 @. t% I
1、将U盘内所有的隐藏文件夹剪切到计算机中的任意位置。（我这里以剪切到D盘根目录为例讲解）
$ e) _; E$ }( v( |$ T7 x2、进入命令行输入如下命令：

1. d:
   
2. attrib /s /d -h -s *

复制代码

发现文件夹属性正常。
8 b& _) w* s: A* w3、将刚刚剪切到D盘的文件夹重新剪切到U盘内，后遗症就没有了！! X: Q3 }' `& K  v: U7 G* {
) C: S# B$ v4 e; c0 P5 w' v9 P
方法二：
$ C3 A1 f$ p; F/ K" K8 T3 [# K4 t0 ]$ x8 J
1、将U盘内所有的隐藏文件夹剪切到计算机中的任意位置。（我这里以剪切到D盘根目录为例讲解）- G0 ~1 b- b3 q8 N& `; M; t
2、对剪切过来的文件夹进行属性编辑【属性】-【自定义】-【更改图标】，任意选择一个图标之后确定。" k" I! }, T8 K4 i. w! M
3、再去查看文件夹属性，发现【隐藏】属性可以去掉了。
6 \  u5 v* h' ^4 J; s7 E8 J4、按照上面的方法对每个文件夹进行相同操作，操作完成后，再将所有文件夹剪切回U盘即可。
) }) c2 ]. s' @: K8 U9 Y7 N6 T# v0 A- \! [
到此，该U盘中的幽灵病毒全部清理完成！
; f- z' t4 J; n7 u. k8 J3 \6 t* e& i% Z( Z& j7 m3 V4 w
[ 本帖最后由 3ast 于 2008-10-14 20:26 编辑 ]

柔肠寸断

对，就是这样的
3 f* J3 b0 |) `) K. B1 R7 u
: B5 ?& J' I  `0 B我忘记差不多了
( S8 a% J: c6 D' `2 G2 k1 ^) V7 f. ~" h- s  [& [: ~, @& z
上次上网找倒的

saitojie

删除的命令好像是

1. rd mayi..\

复制代码

记得有个隐藏的强制删除的命令的，不过现在忘记了，你看看在最后加上参数/F或者/X看看

柔肠寸断

知道了，方法是这样的, d2 S9 p: Z, g+ a4 p' r; X
* n3 a. m! W4 R1 B' Q
( b$ Y0 W$ ]+ z5 k; a
有一些高级、智能一点的木马，会删除你的感染文件或者目录。为此，可以创建一个同名的特殊目录，并且在目录下创建几个带..的目录：& ]0 V& Z1 l2 h$ c4 Y+ K: d  A

- d! e% [* f, C3 J4 f* d     在开始菜单运行里面输入cmd,输入下面命令（括号是注释，不要运行）- h3 y2 Y$ |- |4 t; W
     假设 g盘免疫 (g对应u盘在电脑上的盘符)  a, Y# O5 \1 j( `: e2 ]
( v  n; @0 R0 |& p, w" _
==================
, _) r0 ]/ B5 z  p6 h& X. k
1 U- B9 q4 J+ |$ m      pushd g:
! m3 E& b0 }- ?2 P6 a$ ^      md autorun.inf                 (新建autorun.inf文件夹)
% a3 L5 e1 H0 e: x% e) E       cd autorun.inf                  (进入autorun.inf文件夹)
0 \5 s% @+ F4 X" _       md abc..\                      （新建免疫目录.文件夹）
3 v4 m: ?  h; D- J$ W+ p( _  I       cd..                                  (回到上一级目录)* p! m1 N; D6 H7 C( Q. t
        attrib autorun.inf +r +a +h +s (给autorun.inf文件夹加上只读存档隐藏系统属性，或者按步骤1设置权限)  Y: N5 F! P9 A
2 J. s* t" l' }# R8 d; B0 s
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

柔肠寸断

对了
: S  N3 A) `' _# x  X  [3 E0 Y. A. ^" S, b& B1 e, Q3 K) R7 n% s4 W
问问大家4 i, C6 ^2 a; J# d9 u
! P" K, l: L" D/ B/ l
这种免疫的 文件夹 是怎么建立的？？我忘记了？？

wmmy

z这个是我U盘里面的文件那个MAYI.是我自己搞的， 汗  忘记删除的命令了, h* I7 @3 ^; j; t8 w6 M
1 G% i/ z9 ]& J6 p$ Q8 q

juchong

以前也经常碰到这样的毒，后来用了USBCleaner这款软件，就好了:) :) :)

saitojie

那要看你的autorun.inf里面的内容咯

柔肠寸断

这就是昨晚群聊时说的幽灵病毒啊，我来看看文章先, Y; h; `; r0 \7 C1 }
: R2 u$ }- Q; `. s3 d
主要是没有中过，有时间发个病毒样本来研究下0 q+ M3 m; ^7 W7 Y! m) L# j) O' W( o( p

. w) G: L5 A$ G还有就是连接没有病毒计算机的时候注意不能自动运行，而且要是安装了360的话，360会直接检测到autorun文件的
( K0 R( _  N' L6 I% D) I, V3 Q  l, {2 r. ?) y* G( l
并且直接删除autorun

wmmy

直接用软件对U盘免于啊$ a5 M- z- b$ L. l- q
问个问题我U盘里面这个文件autorun.inf不删除没有问题吧