[原创文章] 对于U盘内永久隐藏文件的处理 盘内, 文件, 隐藏

saitojie

原创作者：saitojie  [3.A.S.T]6 e; x3 p& S/ @+ I0 d% j. L0 v$ b
) O& }- A' R' `2 L: C( c. `, S) d
信息来源：3.A.S.T网络安全团队  （ www.3ast.cn  ）2 |3 N5 [2 l3 W

6 `. o; O$ G8 q5 L  ~2 `7 U
" K) `9 D; w, Z最近由于工作繁忙所以帖子发的比较少了，在工作中遇到了一个情况，我的学生U盘中毒了，而且是大面积中了这个毒，天天帮学生杀毒，杀得有点累了，不知道坛子里有没有人也在被这个病毒“迫害”，下面说说我的一些处理方法！3 F  S1 H4 M, N- @8 L+ F5 I
2 a$ |* p) L5 U  D
注意：我的查杀方式仅限于计算机没中毒，但是U盘被病毒感染，如果阁下的计算机也中了该病毒，请先将计算机中的该病毒清理掉之后再去查杀U盘里的被感染的文件！0 e0 D3 X( Y' e. I

& A- K. G. R- s9 f0 i病毒名称：幽灵（ghost）! @" p2 r* j0 H4 m
$ i; u3 |8 c: @: C( N
病毒现象：U盘内所有文件夹被隐藏，并且在U盘内生成与该文件夹同名的文件，文件图标与文件夹图标相同，后缀为.exe; q7 {8 m8 f1 R9 ?' w
2 P: g, z+ w, e0 G' x$ ?7 k2 ^: K
如果您的U盘不小心被这个病毒感染，而您又苦于无法将感染的文件夹还原为最开始的情况，请阅读我下面的方法：' d6 W6 R6 E# A9 g7 N' d; E
1 d% p% L/ H8 g; r3 B0 E
1、将U盘连接到没有中毒的计算机上。, K3 Z6 ]- b$ {/ v5 S
2、使用资源管理器（alt+E）打开U盘。
, |& S% d; V6 e& g  U  D- s3、将文件夹属性改为显示系统隐藏文件、显示所有隐藏文件、显示文件的后缀，此操作在【工具】-【文件夹选项】-【查看】中完成。. K0 Z! _( J+ m& E$ ~! j: z0 S6 B
4、将U盘内的autorun.inf、MS-DOS.COM两个病毒文件删除掉: _) j; J9 V1 k
5、将U盘内所有以.exe结尾，图标为文件夹图标的文件删除掉4 o- O& B9 W2 I6 _9 Y! A
以上步骤相信是大家都会的步骤，虽然说这样是将U盘病毒清理干净了，但是病毒留下的后遗症我们并没有解决。, Q6 }" p: Y4 ]9 A* h3 s& ^
; R' k& e- O$ ?6 O1 l9 ~4 k
后遗症现象：U盘内所有文件夹处于隐藏状态，并且对文件夹属性进行编辑，发现【隐藏】选项无法取消。( V& _  i# g9 K  a. \
( {! H' m* m/ [* f# s& V: v8 j
对于后遗症的处理方法如下：
! g/ ?; C: t% p+ Y( t/ B2 K
* w8 p  G$ f1 D# V4 }方法一：% n) `  Y3 M; l; x) W9 W$ l: i

. F9 X5 n2 z9 f  n  `1、将U盘内所有的隐藏文件夹剪切到计算机中的任意位置。（我这里以剪切到D盘根目录为例讲解）
+ W# C; h( X$ u3 `: q2、进入命令行输入如下命令：

1. d:
   
2. attrib /s /d -h -s *

复制代码

发现文件夹属性正常。+ \0 ]2 E5 |  c* p8 F9 r5 `
3、将刚刚剪切到D盘的文件夹重新剪切到U盘内，后遗症就没有了！
1 B6 G3 `! K; }+ ~. S
- O7 W" I+ r$ {' m( ^6 D方法二：) @3 p; M4 A! Z  q" |; g8 A8 d( Z
+ w. c" \! m1 y( A+ J1 |
1、将U盘内所有的隐藏文件夹剪切到计算机中的任意位置。（我这里以剪切到D盘根目录为例讲解）" ~5 ^- ~2 X/ S, u3 c! t7 R1 P
2、对剪切过来的文件夹进行属性编辑【属性】-【自定义】-【更改图标】，任意选择一个图标之后确定。1 E8 V/ d# |9 Q7 r
3、再去查看文件夹属性，发现【隐藏】属性可以去掉了。
% i' E$ ~* l+ v! H! Z+ I) U3 H4、按照上面的方法对每个文件夹进行相同操作，操作完成后，再将所有文件夹剪切回U盘即可。5 {8 f8 |: V. D6 `( W% y2 e

4 V8 J" [5 V0 u0 |1 B  }到此，该U盘中的幽灵病毒全部清理完成！( }) ^) R+ ^* K( A# f" c

* ~. J8 f- i9 i[ 本帖最后由 3ast 于 2008-10-14 20:26 编辑 ]

wmmy

直接用软件对U盘免于啊: Q! u2 I. f3 i+ U1 g5 j7 \; V2 ?
问个问题我U盘里面这个文件autorun.inf不删除没有问题吧

柔肠寸断

这就是昨晚群聊时说的幽灵病毒啊，我来看看文章先& d% d) C4 d: L) T+ h5 `

9 o& n- x$ [) n, g主要是没有中过，有时间发个病毒样本来研究下9 }/ f2 p  e) t$ C
: K: N& s+ n7 n
还有就是连接没有病毒计算机的时候注意不能自动运行，而且要是安装了360的话，360会直接检测到autorun文件的
/ u  f3 Z5 y5 Q, k9 F2 I! Z: @1 D( f, \' `7 q, Q" C
并且直接删除autorun

saitojie

那要看你的autorun.inf里面的内容咯

juchong

以前也经常碰到这样的毒，后来用了USBCleaner这款软件，就好了:) :) :)

wmmy

z这个是我U盘里面的文件那个MAYI.是我自己搞的， 汗  忘记删除的命令了) Z5 q& B4 C( j2 M+ X. Q2 g. X, a
+ |; o! X* q  ]( ]% a6 G( D

柔肠寸断

对了
3 H4 g2 f, z$ B0 O. }) k% o
/ j5 ~# s4 `: t- z问问大家6 v; i# t! n% t' I+ i

) @) I  O; r4 w$ a这种免疫的 文件夹 是怎么建立的？？我忘记了？？

柔肠寸断

知道了，方法是这样的" M2 e! D0 F3 X4 `' j3 l6 H* f
9 H& n3 b7 a6 y6 @0 [' C4 q

3 d  n+ g8 C* s& O有一些高级、智能一点的木马，会删除你的感染文件或者目录。为此，可以创建一个同名的特殊目录，并且在目录下创建几个带..的目录：# q' n0 k: ~% Z" @) d5 T9 P$ C
% F+ U, A# }) e  D$ b
     在开始菜单运行里面输入cmd,输入下面命令（括号是注释，不要运行）. {) Y2 O: R& D# o! b: L
     假设 g盘免疫 (g对应u盘在电脑上的盘符)! Q/ H1 H" I" A1 g1 j9 @1 x
8 J: p# v% `8 s
==================, j: N- H5 Z8 O' N8 f: P
9 t" [5 H2 H% F6 \1 @
      pushd g:
3 Y" i" X5 T/ t( S' f/ l  r* w      md autorun.inf                 (新建autorun.inf文件夹)* V( R% o  T2 x7 I' f' U6 Q
       cd autorun.inf                  (进入autorun.inf文件夹)
, G. _. w6 g# J9 z       md abc..\                      （新建免疫目录.文件夹）
7 ]! ?4 w! B8 b" h3 j/ g  v$ ?       cd..                                  (回到上一级目录)& ^0 _+ m. k1 L) f9 f  W2 Y$ v
        attrib autorun.inf +r +a +h +s (给autorun.inf文件夹加上只读存档隐藏系统属性，或者按步骤1设置权限)
8 C8 s  l, F$ A# R9 u
; q  p1 {" L) P* |# I- s( r) g＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

saitojie

删除的命令好像是

1. rd mayi..\

复制代码

记得有个隐藏的强制删除的命令的，不过现在忘记了，你看看在最后加上参数/F或者/X看看

柔肠寸断

对，就是这样的
" l9 H5 ?2 ?+ b6 Y
! O3 o: g( @5 u9 r6 b* }我忘记差不多了
# r9 m' A" x. a& m' |4 i
( O+ A" {$ ?( }" f4 m) J( o8 Z. J上次上网找倒的