[原创文章] 对于U盘内永久隐藏文件的处理 盘内, 文件, 隐藏

saitojie

原创作者：saitojie  [3.A.S.T]
5 |# X# r$ b. Y: n+ n( E+ C5 F9 ^# ]9 R8 |
信息来源：3.A.S.T网络安全团队  （ www.3ast.cn  ）- H! a+ \9 H0 U! g2 Q! `
& B# K# }, ]" g# z( d& U/ \
1 r$ K" ]9 A2 A3 ^( {% m
最近由于工作繁忙所以帖子发的比较少了，在工作中遇到了一个情况，我的学生U盘中毒了，而且是大面积中了这个毒，天天帮学生杀毒，杀得有点累了，不知道坛子里有没有人也在被这个病毒“迫害”，下面说说我的一些处理方法！
$ K8 {% z5 m. z; c# V: P0 V% u9 Y7 h# i% I& t: v
注意：我的查杀方式仅限于计算机没中毒，但是U盘被病毒感染，如果阁下的计算机也中了该病毒，请先将计算机中的该病毒清理掉之后再去查杀U盘里的被感染的文件！
+ i. c! A; h' A- a1 {6 T, Q- X+ G6 t. Y- o3 M
病毒名称：幽灵（ghost）
9 f; ]/ h+ O6 p
  f+ O4 ?: p0 s/ U- P病毒现象：U盘内所有文件夹被隐藏，并且在U盘内生成与该文件夹同名的文件，文件图标与文件夹图标相同，后缀为.exe+ O1 }0 q9 ?1 \7 I7 W" I" V' U
3 l: i( n3 X! o+ p. @1 M/ x
如果您的U盘不小心被这个病毒感染，而您又苦于无法将感染的文件夹还原为最开始的情况，请阅读我下面的方法：% @" U' M- L5 p, p
: N" {5 S7 ?3 T' @
1、将U盘连接到没有中毒的计算机上。5 T- j; K% G3 X, _9 w1 J
2、使用资源管理器（alt+E）打开U盘。
4 ~2 J+ z0 b1 [5 A0 @3、将文件夹属性改为显示系统隐藏文件、显示所有隐藏文件、显示文件的后缀，此操作在【工具】-【文件夹选项】-【查看】中完成。
, r* }% ?# ?6 q$ @4 o+ n1 }4、将U盘内的autorun.inf、MS-DOS.COM两个病毒文件删除掉* ?) T) }+ i/ ?! M& h7 z
5、将U盘内所有以.exe结尾，图标为文件夹图标的文件删除掉, h- J# X+ G; h6 Q
以上步骤相信是大家都会的步骤，虽然说这样是将U盘病毒清理干净了，但是病毒留下的后遗症我们并没有解决。& M2 ~/ L" l' `: P
& j: c) y' b+ x% w
后遗症现象：U盘内所有文件夹处于隐藏状态，并且对文件夹属性进行编辑，发现【隐藏】选项无法取消。- ]/ h# S1 M) I3 p3 ~

4 o7 s. A& T* N8 [) C对于后遗症的处理方法如下：5 n  b2 Q* E& q) M7 d( m
" J/ V0 D6 M7 O+ y- i. {& |
方法一：
" K1 P# z+ n; I& W; b6 [1 N; A6 z! x- C% {
1、将U盘内所有的隐藏文件夹剪切到计算机中的任意位置。（我这里以剪切到D盘根目录为例讲解）
: d, w  j" f3 n- B* T2、进入命令行输入如下命令：

1. d:
   
2. attrib /s /d -h -s *

复制代码

发现文件夹属性正常。2 d: |* y3 f8 m' A' ]( X
3、将刚刚剪切到D盘的文件夹重新剪切到U盘内，后遗症就没有了！4 I2 F& N$ r- s# ~% Z7 G

9 i% v  A/ B- j! D8 U方法二：
- }7 P$ Z4 E" H1 \/ l: `: l
( x' w1 P4 M( J6 _2 o6 N, P1、将U盘内所有的隐藏文件夹剪切到计算机中的任意位置。（我这里以剪切到D盘根目录为例讲解）6 b9 x* ]/ G/ i0 P3 Y
2、对剪切过来的文件夹进行属性编辑【属性】-【自定义】-【更改图标】，任意选择一个图标之后确定。+ |8 H# \3 \' p  h& J! ~) J
3、再去查看文件夹属性，发现【隐藏】属性可以去掉了。: `% Y" ~6 h5 s) C! j5 Z
4、按照上面的方法对每个文件夹进行相同操作，操作完成后，再将所有文件夹剪切回U盘即可。
- l, y  S4 ]! Z9 q" Y1 M; j$ D8 Y8 x' y# c! h; D
到此，该U盘中的幽灵病毒全部清理完成！7 W. R, |; @% v- H

& k0 s0 \- r* r7 s4 P[ 本帖最后由 3ast 于 2008-10-14 20:26 编辑 ]

柔肠寸断

对，就是这样的4 v# d9 @8 N6 Z) ^3 }
' ]7 a6 D" d. q' R' p& Q
我忘记差不多了
* K% j' V+ O* m
0 c: }  D: ^- k* M' g: A' d上次上网找倒的

saitojie

删除的命令好像是

1. rd mayi..\

复制代码

记得有个隐藏的强制删除的命令的，不过现在忘记了，你看看在最后加上参数/F或者/X看看

柔肠寸断

知道了，方法是这样的
% y, _" Z6 ?) D& D3 N- R# u
; j6 b$ X4 r: a+ [# I
9 c5 o6 j. D! M6 G, F* R有一些高级、智能一点的木马，会删除你的感染文件或者目录。为此，可以创建一个同名的特殊目录，并且在目录下创建几个带..的目录：9 d% k9 ]/ W4 L: Y% d2 @  z
2 [/ W" I2 T: Y
     在开始菜单运行里面输入cmd,输入下面命令（括号是注释，不要运行）
+ G2 y; Q6 _$ B! _# o& B" e! @, s     假设 g盘免疫 (g对应u盘在电脑上的盘符)
5 H# }: N4 H; R' T6 \! v0 r' p* i8 R1 Q  S. n8 f
==================6 u! d) v! I7 V: q
, x% V& g: D2 w" K" }0 O: M
      pushd g:( Y; d( T9 P) J* p; d- Y' X6 E
      md autorun.inf                 (新建autorun.inf文件夹)
6 Q! N$ N; L8 Z: R% c  Z* N6 i4 C       cd autorun.inf                  (进入autorun.inf文件夹)6 Q7 `) d# v' I# s& G6 }0 w" g
       md abc..\                      （新建免疫目录.文件夹）5 ]% U- X* q, m, P0 U
       cd..                                  (回到上一级目录)" D" ^  h. r4 U2 v3 I
        attrib autorun.inf +r +a +h +s (给autorun.inf文件夹加上只读存档隐藏系统属性，或者按步骤1设置权限)
  g! g" ^+ _  V
1 y7 l7 @& d. K% N4 t# \# V+ T＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

柔肠寸断

对了0 Q1 p% e8 }' x% N1 I

6 z! d; C, E7 N1 Q: C2 C9 Z6 X8 w问问大家
7 x. O* C! G7 D& x9 j) Q  H# }3 U$ q0 B. e$ F# F2 A0 Z% M
这种免疫的 文件夹 是怎么建立的？？我忘记了？？

wmmy

z这个是我U盘里面的文件那个MAYI.是我自己搞的， 汗  忘记删除的命令了
  B& i: L. z- X% @
: E  B' o; T2 Y/ ^

juchong

以前也经常碰到这样的毒，后来用了USBCleaner这款软件，就好了:) :) :)

saitojie

那要看你的autorun.inf里面的内容咯

柔肠寸断

这就是昨晚群聊时说的幽灵病毒啊，我来看看文章先! J8 c/ I1 R! }0 e. o3 Q7 v
; r7 X5 v4 O! l6 S) ~
主要是没有中过，有时间发个病毒样本来研究下0 J" a: g5 p! {7 R5 Q

# N2 z9 v( z# `3 M8 }2 _; N! w还有就是连接没有病毒计算机的时候注意不能自动运行，而且要是安装了360的话，360会直接检测到autorun文件的& _# v% X! L: `! H% b: @

' |) r+ x- v, q4 y并且直接删除autorun

wmmy

直接用软件对U盘免于啊
9 C; ^# t8 J2 ?问个问题我U盘里面这个文件autorun.inf不删除没有问题吧