[原创文章] 对于U盘内永久隐藏文件的处理 盘内, 文件, 隐藏

saitojie

原创作者：saitojie  [3.A.S.T]2 d' C6 U2 `. X% H' P

- R4 a9 s# Q3 M6 g! z( E9 a信息来源：3.A.S.T网络安全团队  （ www.3ast.cn  ）
0 g) T4 j7 e2 g' |, o% g; S7 F  S
  L9 J) ^. O' y/ O
! j) M0 M! ]: A( _0 M! E' s最近由于工作繁忙所以帖子发的比较少了，在工作中遇到了一个情况，我的学生U盘中毒了，而且是大面积中了这个毒，天天帮学生杀毒，杀得有点累了，不知道坛子里有没有人也在被这个病毒“迫害”，下面说说我的一些处理方法！
* e, x+ z$ c+ [" {; M: \4 x9 @0 O# s" J" H
注意：我的查杀方式仅限于计算机没中毒，但是U盘被病毒感染，如果阁下的计算机也中了该病毒，请先将计算机中的该病毒清理掉之后再去查杀U盘里的被感染的文件！
/ g+ T6 B9 L) E; n/ U4 j8 E9 V2 n1 j$ h; K  Y: O0 D1 z
病毒名称：幽灵（ghost）; T* f4 u7 j0 ?+ s& u6 N

5 r2 A- |4 G- B" y0 w+ N" a% d病毒现象：U盘内所有文件夹被隐藏，并且在U盘内生成与该文件夹同名的文件，文件图标与文件夹图标相同，后缀为.exe
1 a( t' B; W% _5 E
9 S$ [2 j, N" Q如果您的U盘不小心被这个病毒感染，而您又苦于无法将感染的文件夹还原为最开始的情况，请阅读我下面的方法：
/ y( F9 E6 A1 \# i9 }5 d0 Q
- _3 B, r6 J7 b& S! @1 e8 k1、将U盘连接到没有中毒的计算机上。
6 t- Q9 P' g! t1 n( ]- \+ A+ q2、使用资源管理器（alt+E）打开U盘。" s5 r! U) W! q, B8 C/ ?! E
3、将文件夹属性改为显示系统隐藏文件、显示所有隐藏文件、显示文件的后缀，此操作在【工具】-【文件夹选项】-【查看】中完成。. v/ w1 F7 }: U" T  R! J8 c8 ?
4、将U盘内的autorun.inf、MS-DOS.COM两个病毒文件删除掉
  z( F) J4 h' q/ @8 A7 }5、将U盘内所有以.exe结尾，图标为文件夹图标的文件删除掉
! }/ Z7 Z0 V5 x+ }( U以上步骤相信是大家都会的步骤，虽然说这样是将U盘病毒清理干净了，但是病毒留下的后遗症我们并没有解决。
  k- k3 V6 I# }* v/ g1 `" W5 n/ @( s: d) H8 r0 s7 n4 G
后遗症现象：U盘内所有文件夹处于隐藏状态，并且对文件夹属性进行编辑，发现【隐藏】选项无法取消。' G  K& s% p# d$ ~9 G* p7 K

$ p) x% z; d% `; G* Q. a, e对于后遗症的处理方法如下：
5 J. R! u6 l1 v2 J9 }5 S$ k" a* S5 H$ o
方法一：
9 _/ E9 o8 o* ]! e) {* T0 ~5 y& Q
$ r+ a! U, k5 K7 J# _1、将U盘内所有的隐藏文件夹剪切到计算机中的任意位置。（我这里以剪切到D盘根目录为例讲解）! S  E8 G& c. L
2、进入命令行输入如下命令：

1. d:
   
2. attrib /s /d -h -s *

复制代码

发现文件夹属性正常。$ e: z4 J: G2 f3 r
3、将刚刚剪切到D盘的文件夹重新剪切到U盘内，后遗症就没有了！" [$ v! ^* q9 t' h& a5 i' n
1 P# w! h- i, g0 R
方法二：$ M7 N! _6 ]$ X; B6 k) z5 U0 S
+ n" T( D! F/ F8 ?/ g  l# J& Y
1、将U盘内所有的隐藏文件夹剪切到计算机中的任意位置。（我这里以剪切到D盘根目录为例讲解）# ?; C( a; l# R* G" A8 A& ]7 i
2、对剪切过来的文件夹进行属性编辑【属性】-【自定义】-【更改图标】，任意选择一个图标之后确定。$ c5 X! y' q8 `* [) l
3、再去查看文件夹属性，发现【隐藏】属性可以去掉了。
/ [, ?* _' |1 n8 n, j; _, u; M4、按照上面的方法对每个文件夹进行相同操作，操作完成后，再将所有文件夹剪切回U盘即可。9 F5 o! m$ o2 Z: W4 q

( Y. ~" L  ]& {4 i  _到此，该U盘中的幽灵病毒全部清理完成！0 }; b1 s2 f1 \9 F3 D. ]7 M
$ {/ z. i  Z2 Z9 O" S
[ 本帖最后由 3ast 于 2008-10-14 20:26 编辑 ]

wmmy

直接用软件对U盘免于啊
# v$ x$ [  e, X" }5 b& I问个问题我U盘里面这个文件autorun.inf不删除没有问题吧

柔肠寸断

这就是昨晚群聊时说的幽灵病毒啊，我来看看文章先
  d( w9 h, q, `  U/ u4 I* R7 v! x8 t7 h! a8 y9 y; k6 h1 i
主要是没有中过，有时间发个病毒样本来研究下# w/ R& B4 x/ c. X8 j) n% q
5 I+ ?' |2 n) |0 J9 z% ?  ~
还有就是连接没有病毒计算机的时候注意不能自动运行，而且要是安装了360的话，360会直接检测到autorun文件的  X9 l8 c, u4 L& U1 g4 A3 X8 E
1 x" E5 U: V7 ]* Y% S  x; r
并且直接删除autorun

saitojie

那要看你的autorun.inf里面的内容咯

juchong

以前也经常碰到这样的毒，后来用了USBCleaner这款软件，就好了:) :) :)

wmmy

z这个是我U盘里面的文件那个MAYI.是我自己搞的， 汗  忘记删除的命令了: L$ d: ]  g7 P: O  n( `
' _. e3 t: V7 q/ r* Z3 ^* J

柔肠寸断

对了6 N( ]3 l% u% d9 x- W3 a; Y0 `9 \
! w- l" e; J& P+ J: z
问问大家% x2 Y+ f( {" ?4 n( p" f% p
) S2 u( _9 [. K, o2 C; S
这种免疫的 文件夹 是怎么建立的？？我忘记了？？

柔肠寸断

知道了，方法是这样的
  N6 |& W! y5 f7 }) w/ {* T  o- ^/ K

. O& W  y# L. F8 }4 {有一些高级、智能一点的木马，会删除你的感染文件或者目录。为此，可以创建一个同名的特殊目录，并且在目录下创建几个带..的目录：; r. R7 }. H0 L! ^- R5 C8 s
' H- l7 D) Q) V* t7 I/ \
     在开始菜单运行里面输入cmd,输入下面命令（括号是注释，不要运行）+ _# r, O' `2 V. i5 ~7 U' p
     假设 g盘免疫 (g对应u盘在电脑上的盘符)
7 g3 n& n0 n7 X  y4 i' a5 y3 \) o; k9 ^; U9 G! ~
==================' A$ ]1 W' S5 q  e/ l
# c9 G" h% S) g& j9 `- r
      pushd g:7 n. \8 G0 s% {7 H2 A5 L
      md autorun.inf                 (新建autorun.inf文件夹)( C) P- o. W" @  r
       cd autorun.inf                  (进入autorun.inf文件夹)2 v1 d# V' S# y1 s4 j3 y6 }) h
       md abc..\                      （新建免疫目录.文件夹）
# P* M7 P6 I2 E) @       cd..                                  (回到上一级目录)
$ |6 M, H" G, b6 L& p: c- D        attrib autorun.inf +r +a +h +s (给autorun.inf文件夹加上只读存档隐藏系统属性，或者按步骤1设置权限)7 L( Q6 T/ u6 ]" d
( S2 J, C0 R1 [" J' ?9 y! r
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

saitojie

删除的命令好像是

1. rd mayi..\

复制代码

记得有个隐藏的强制删除的命令的，不过现在忘记了，你看看在最后加上参数/F或者/X看看

柔肠寸断

对，就是这样的  R1 u% @4 b& G# a  I% \1 D* O

+ S7 B' t+ |# A7 ^& h; ?! \我忘记差不多了- t7 u3 C5 V$ V1 v3 U+ ]5 G; x, N
- v+ s# D. o+ G( Y( P$ r
上次上网找倒的