[原创文章] 对于U盘内永久隐藏文件的处理 盘内, 文件, 隐藏

saitojie

原创作者：saitojie  [3.A.S.T]- d% r# [4 W  v: V8 }  a
9 ]' d8 T0 a& J( v/ u9 }. w
信息来源：3.A.S.T网络安全团队  （ www.3ast.cn  ）& O. y3 E: a$ ~/ j# c9 ~

- S* D: u7 M0 T1 w( G/ s- T
% p6 `0 {& n9 {  @0 j' }1 b最近由于工作繁忙所以帖子发的比较少了，在工作中遇到了一个情况，我的学生U盘中毒了，而且是大面积中了这个毒，天天帮学生杀毒，杀得有点累了，不知道坛子里有没有人也在被这个病毒“迫害”，下面说说我的一些处理方法！( [# i# C1 ]% j% G# ^+ L  v# F
9 l, K: p! v( Z, I& k; r1 ^% V
注意：我的查杀方式仅限于计算机没中毒，但是U盘被病毒感染，如果阁下的计算机也中了该病毒，请先将计算机中的该病毒清理掉之后再去查杀U盘里的被感染的文件！, y5 s" }* M' @) ~, x8 {7 S
( d4 u# F& J3 R, x( ^0 q6 P
病毒名称：幽灵（ghost）) }$ {3 }) B0 B

9 E1 y; A" }! ]) v- \! [病毒现象：U盘内所有文件夹被隐藏，并且在U盘内生成与该文件夹同名的文件，文件图标与文件夹图标相同，后缀为.exe
) N9 C) e/ f* _9 y, `
4 `6 z5 w7 ]( |, [% J1 T: E. H如果您的U盘不小心被这个病毒感染，而您又苦于无法将感染的文件夹还原为最开始的情况，请阅读我下面的方法：, N6 T' e3 U3 z
  g) @. q$ H9 I# G
1、将U盘连接到没有中毒的计算机上。5 q: ^. E& T& _9 G2 E9 o( f* y" G8 Y
2、使用资源管理器（alt+E）打开U盘。
. j, E$ y0 a- ^7 P: p( |4 l4 L; G3、将文件夹属性改为显示系统隐藏文件、显示所有隐藏文件、显示文件的后缀，此操作在【工具】-【文件夹选项】-【查看】中完成。
" g% z: f+ Y& \$ a% G4、将U盘内的autorun.inf、MS-DOS.COM两个病毒文件删除掉, O; Q/ g5 G1 U
5、将U盘内所有以.exe结尾，图标为文件夹图标的文件删除掉
* `/ G! Y- V, f1 v/ p3 s; C2 p0 w' W0 d以上步骤相信是大家都会的步骤，虽然说这样是将U盘病毒清理干净了，但是病毒留下的后遗症我们并没有解决。- d6 x. N, i" w( @# p: b

6 K6 v$ o2 [9 f( u( [& M后遗症现象：U盘内所有文件夹处于隐藏状态，并且对文件夹属性进行编辑，发现【隐藏】选项无法取消。9 a- ?6 Z4 m- O8 J! o) U
8 {' o3 [! K5 m4 \
对于后遗症的处理方法如下：
9 s6 R* v+ C: T# C; e8 h! z
+ A$ m7 J. U, ^3 ?- {方法一：, [/ t4 T1 m% T- B
" _( U$ O# N7 G( A- f' r8 r' X
1、将U盘内所有的隐藏文件夹剪切到计算机中的任意位置。（我这里以剪切到D盘根目录为例讲解）
& v+ g( y' h$ N2、进入命令行输入如下命令：

1. d:
   
2. attrib /s /d -h -s *

复制代码

发现文件夹属性正常。4 O( Z3 _0 m: t. L( \
3、将刚刚剪切到D盘的文件夹重新剪切到U盘内，后遗症就没有了！4 V4 }" W5 g+ y1 Q9 Y1 I/ ?
7 _! k. p4 ^, V6 l  V9 Q4 T9 `
方法二：
; G$ p; B  K& K! n+ F) R2 x# L6 G, u. ~* _/ Q' l9 O8 q
1、将U盘内所有的隐藏文件夹剪切到计算机中的任意位置。（我这里以剪切到D盘根目录为例讲解）
7 U7 L$ J! X( `- K/ e" ~2、对剪切过来的文件夹进行属性编辑【属性】-【自定义】-【更改图标】，任意选择一个图标之后确定。' L: U2 h1 u5 z- k+ k# W6 G
3、再去查看文件夹属性，发现【隐藏】属性可以去掉了。% A$ E' y7 N* \! |" E9 s
4、按照上面的方法对每个文件夹进行相同操作，操作完成后，再将所有文件夹剪切回U盘即可。
  W. ~/ B* G) ~. d3 A+ R; C9 r7 |; D9 L0 Z4 T, i4 y
到此，该U盘中的幽灵病毒全部清理完成！
& t8 S1 a  K, a) D+ B
& N% Q  ~5 X9 m- Q[ 本帖最后由 3ast 于 2008-10-14 20:26 编辑 ]

柔肠寸断

对，就是这样的
* D1 i: b$ p/ s1 M6 b8 I, c; E% N! H0 L- |
我忘记差不多了; f/ ]% A+ J- @( y4 `! E

1 z7 b7 d  I: J3 D, U3 l, g3 k上次上网找倒的

saitojie

删除的命令好像是

1. rd mayi..\

复制代码

记得有个隐藏的强制删除的命令的，不过现在忘记了，你看看在最后加上参数/F或者/X看看

柔肠寸断

知道了，方法是这样的
  h0 T* j( t6 U& ]- W
- h, Z% z5 g5 ?; {
! J6 @# k% p. a- N" I有一些高级、智能一点的木马，会删除你的感染文件或者目录。为此，可以创建一个同名的特殊目录，并且在目录下创建几个带..的目录：  d, R7 p7 V: t. x! k8 A2 [0 p

- n' T3 y) ]8 ~/ _$ N     在开始菜单运行里面输入cmd,输入下面命令（括号是注释，不要运行）2 {2 x9 v( K+ l$ Q9 \
     假设 g盘免疫 (g对应u盘在电脑上的盘符)
  W9 G. p* Q# T' m. R( \
, E( d% J& ^$ W. ^2 z2 _0 E5 K0 \==================
/ h& N3 F( |8 k( t6 L
- B7 w1 }0 C& l9 Y$ }% h! C      pushd g:
/ _% i5 K3 s" ]$ u" R      md autorun.inf                 (新建autorun.inf文件夹); n% @$ v# W$ `4 j5 Q& c, ?
       cd autorun.inf                  (进入autorun.inf文件夹)
# Y. e0 O" |- p% |       md abc..\                      （新建免疫目录.文件夹）
. K* c  q3 R/ _4 |& M* |% m4 c  o       cd..                                  (回到上一级目录)- r6 y1 c2 v" @8 e  c, O( O
        attrib autorun.inf +r +a +h +s (给autorun.inf文件夹加上只读存档隐藏系统属性，或者按步骤1设置权限)
0 L- B* V; t/ e, b9 ^/ v
; l7 u# }& B% c3 C7 \  a＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

柔肠寸断

对了# q. K2 k3 S' e5 J
: u# A# q! f; h/ N- i; ]% ]% Z# {) A- H
问问大家2 l1 S8 E' I8 Y5 E. F2 W: Z2 z
$ M$ U% o$ F0 X) K5 n( G! K
这种免疫的 文件夹 是怎么建立的？？我忘记了？？

wmmy

z这个是我U盘里面的文件那个MAYI.是我自己搞的， 汗  忘记删除的命令了3 X5 u" O6 g( L. S' E3 i& @* q
  o' x% N/ _, @

juchong

以前也经常碰到这样的毒，后来用了USBCleaner这款软件，就好了:) :) :)

saitojie

那要看你的autorun.inf里面的内容咯

柔肠寸断

这就是昨晚群聊时说的幽灵病毒啊，我来看看文章先+ W7 H% b/ Q" h3 P( Q

# H+ m7 n, E, R) `: G9 I& {主要是没有中过，有时间发个病毒样本来研究下  d5 D+ }1 T1 ~: G' p4 c: m
7 b7 l$ V: M9 @  J
还有就是连接没有病毒计算机的时候注意不能自动运行，而且要是安装了360的话，360会直接检测到autorun文件的7 A2 D% l5 E! I; M3 ~* u

4 K- ]: @8 g+ I; }( p并且直接删除autorun

wmmy

直接用软件对U盘免于啊/ J- _# r8 `: f+ R
问个问题我U盘里面这个文件autorun.inf不删除没有问题吧