[原创文章] 对于U盘内永久隐藏文件的处理 盘内, 文件, 隐藏

saitojie

原创作者：saitojie  [3.A.S.T], g) W3 D8 M  v6 F; W3 W
9 m8 D" i$ N9 i4 p
信息来源：3.A.S.T网络安全团队  （ www.3ast.cn  ）
4 m) O5 o$ T7 T% r6 w. M1 W/ h6 V7 a+ W, \0 E+ ^4 O

- n1 F, y( J0 W/ s# ]  ?% n8 E最近由于工作繁忙所以帖子发的比较少了，在工作中遇到了一个情况，我的学生U盘中毒了，而且是大面积中了这个毒，天天帮学生杀毒，杀得有点累了，不知道坛子里有没有人也在被这个病毒“迫害”，下面说说我的一些处理方法！8 n* ~6 K( ]4 Y$ C" |7 v) ^$ C  \
& ]5 V2 c9 m) R  `- b8 |& q
注意：我的查杀方式仅限于计算机没中毒，但是U盘被病毒感染，如果阁下的计算机也中了该病毒，请先将计算机中的该病毒清理掉之后再去查杀U盘里的被感染的文件！
3 S8 A4 i% k6 @8 i5 U8 x! @
/ D8 Q9 f  V' H3 U# [* u  H病毒名称：幽灵（ghost）
" Q. e3 ]5 I% D& w
" w* @+ v5 Y& p病毒现象：U盘内所有文件夹被隐藏，并且在U盘内生成与该文件夹同名的文件，文件图标与文件夹图标相同，后缀为.exe' L; X# s- A5 @3 Y, e  W

2 b0 t2 ~. m; H8 q( H; A  o如果您的U盘不小心被这个病毒感染，而您又苦于无法将感染的文件夹还原为最开始的情况，请阅读我下面的方法：% S) e: M8 b7 r" A3 z5 K

' {7 ]( b$ }4 \" j5 K' a1、将U盘连接到没有中毒的计算机上。& B8 N0 K9 q9 o$ V# \* Z
2、使用资源管理器（alt+E）打开U盘。$ c' Q; N; t9 `
3、将文件夹属性改为显示系统隐藏文件、显示所有隐藏文件、显示文件的后缀，此操作在【工具】-【文件夹选项】-【查看】中完成。
$ g. J) O& k4 B2 s5 v# \4、将U盘内的autorun.inf、MS-DOS.COM两个病毒文件删除掉5 h2 c6 P* S6 e- e
5、将U盘内所有以.exe结尾，图标为文件夹图标的文件删除掉% v) j8 v' J8 F! V6 [6 {
以上步骤相信是大家都会的步骤，虽然说这样是将U盘病毒清理干净了，但是病毒留下的后遗症我们并没有解决。$ w% C, g, M4 M% c5 ]
7 q6 l# [. q! V* ]% [
后遗症现象：U盘内所有文件夹处于隐藏状态，并且对文件夹属性进行编辑，发现【隐藏】选项无法取消。9 X8 O( ]' ]  T; d# G& L

- u7 v5 o6 C. _对于后遗症的处理方法如下：% k4 n) ?% m" v( ]0 k
, }! F" Q. P; ~+ ?4 J% H5 B" _
方法一：
6 Q# b& q) I! L3 A( O
) Z! I; T7 m0 P0 ?1、将U盘内所有的隐藏文件夹剪切到计算机中的任意位置。（我这里以剪切到D盘根目录为例讲解）- q0 f7 n$ H* p8 U4 M
2、进入命令行输入如下命令：

1. d:
   
2. attrib /s /d -h -s *

复制代码

发现文件夹属性正常。
/ i" x3 o1 O6 j  v- r3、将刚刚剪切到D盘的文件夹重新剪切到U盘内，后遗症就没有了！
7 E- K7 ]% w5 D- A; m) d( U8 w/ V  c, j
方法二：% E- B9 H& }1 O
; g' F7 r& A' e' \. s
1、将U盘内所有的隐藏文件夹剪切到计算机中的任意位置。（我这里以剪切到D盘根目录为例讲解）; z0 Q0 F4 v- a8 A) o' n" `1 h
2、对剪切过来的文件夹进行属性编辑【属性】-【自定义】-【更改图标】，任意选择一个图标之后确定。
$ J1 a8 T) s9 B" d2 R3、再去查看文件夹属性，发现【隐藏】属性可以去掉了。2 u7 e7 @  i; J7 |$ C
4、按照上面的方法对每个文件夹进行相同操作，操作完成后，再将所有文件夹剪切回U盘即可。
3 Z5 v8 _* u6 i' ]7 Q
& h- t% J6 [" A) ]4 {! k& Z到此，该U盘中的幽灵病毒全部清理完成！* }  o9 l* j+ h+ ~8 e; ?

  H5 ?; n+ J2 t4 |/ W[ 本帖最后由 3ast 于 2008-10-14 20:26 编辑 ]

柔肠寸断

对，就是这样的
/ _2 |3 g6 j1 p2 x1 ~8 i4 [0 U2 E* R# }4 T$ L+ v4 I
我忘记差不多了7 ~9 Q5 g. y& Y5 s( B. a( q
/ {$ R: ?4 _0 S7 f6 o2 Y
上次上网找倒的

saitojie

删除的命令好像是

1. rd mayi..\

复制代码

记得有个隐藏的强制删除的命令的，不过现在忘记了，你看看在最后加上参数/F或者/X看看

柔肠寸断

知道了，方法是这样的
$ {; b+ a2 D1 _* m
4 x$ N3 g9 R5 p  M
9 u2 I. Z7 w/ z有一些高级、智能一点的木马，会删除你的感染文件或者目录。为此，可以创建一个同名的特殊目录，并且在目录下创建几个带..的目录：8 `# `+ Q* y' Z0 Q" ~, s

" p$ c3 [4 B% R2 [     在开始菜单运行里面输入cmd,输入下面命令（括号是注释，不要运行）/ x, q* _3 k; s4 l  Q7 o1 J7 y
     假设 g盘免疫 (g对应u盘在电脑上的盘符)
3 ?) L% g% Q% Z" f$ x3 q2 l$ k' d7 _) d
==================
/ A( z5 m, z* ]7 ]5 O. K
* D9 w" K: w& e1 v2 \# R      pushd g:* v6 f* W0 V! }. D. H
      md autorun.inf                 (新建autorun.inf文件夹)
( n4 H7 d. x) d# |" U       cd autorun.inf                  (进入autorun.inf文件夹)
  f/ i) x& j( O% N* q( u+ w       md abc..\                      （新建免疫目录.文件夹）
0 V- G6 r+ e, r) d! t# I# B& q       cd..                                  (回到上一级目录)
/ _2 g0 z/ q$ L, a) q        attrib autorun.inf +r +a +h +s (给autorun.inf文件夹加上只读存档隐藏系统属性，或者按步骤1设置权限)9 Z! Z# j3 i' f, Q* ?7 L3 w% ^
3 q& l/ e- d8 D7 e" H7 Q! i1 M9 q' s
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

柔肠寸断

对了
- R8 u: Z3 x0 s" K5 i+ n* \) R3 G; e* j& h) g9 g' I! D7 d
问问大家+ r/ P3 ^& b9 K" ]
+ ]- i. t. F4 T6 H0 U) s2 m
这种免疫的 文件夹 是怎么建立的？？我忘记了？？

wmmy

z这个是我U盘里面的文件那个MAYI.是我自己搞的， 汗  忘记删除的命令了3 `" W- c# n' `; d# `/ w% q% m

& u& {3 |7 G3 k" V3 Y

juchong

以前也经常碰到这样的毒，后来用了USBCleaner这款软件，就好了:) :) :)

saitojie

那要看你的autorun.inf里面的内容咯

柔肠寸断

这就是昨晚群聊时说的幽灵病毒啊，我来看看文章先
4 Q! ?1 I9 F# D3 I+ A* }0 _; d: G
+ G! z) b2 J  ~" _主要是没有中过，有时间发个病毒样本来研究下$ x) Q3 H( k. c- }
5 W0 B8 B7 T: A) q+ p
还有就是连接没有病毒计算机的时候注意不能自动运行，而且要是安装了360的话，360会直接检测到autorun文件的' b/ H; }1 A  o5 f/ }& N$ i

5 g" u* m. U+ p) K) z0 d3 j, a! M并且直接删除autorun

wmmy

直接用软件对U盘免于啊7 m! V! x* H3 S' e" W9 |9 s8 h' L
问个问题我U盘里面这个文件autorun.inf不删除没有问题吧