猫史档案馆

今天，我同学电脑坏了，怀疑是病毒

信息：

1 他几天前玩网易版mc时不小心点到了一个广告，下载了一个游戏，后来删了

2 玩游戏时突然蓝屏，他直接扯掉电源（台式机，他说品牌是一个什么DL开头的）

3 重新打开时，谷歌的图表变成了点阵

4 过了一会弹出一个提示，提示信息中有一个用字符码成的笑脸

5 什么杀毒软件都没用，而且病毒库更新到最新了

6 又蓝屏了，跳出了一大堆错误信息

7 再次重启时鼠标光标变大了很多，他说很像安全模式

8 他的系统是win7

9跳出了一个提示说是D什么和一个什么文件损坏

谁能告诉我这是咋回事啊啊啊

那个同学现在很苦恼

找我来分析

南烟无雾

你朋友的电脑被人恶搞了

这里是三铁菌

重点就是D什么文件，你不说这个范围很广的

理性的伞滴水不漏

这是我自己的分析

1 这应该是人为的，不可能那么凑巧用字符码出个笑脸

2 删除掉的那个东西还有残存，而被删除掉的那一部分也许刚好就是杀毒软件用来识别的部分

3 这个病毒可能只有他中过，因为病毒库里都没有

4 那个什么文件损坏的提示可能是病毒自动弹出来吓唬他的，并不是系统提示

5 那个谷歌的图标可能是因为处理图片信息的文件损坏

EVANGELION_kursa

cmd永远滴神

EVANGELION_kursa

你不知道喵盘被全删完过qwq

foggy_air

给你解释一下，2020年出现了一种新的病毒，它就是从网页上的公共游戏下载进你的电脑里，为了防止电脑发现敏感词它还会进行Base64编码处理，而且是一种隐藏文件，非常死缠烂打，而且把你电脑整死机了也可能是为了盗取信息，熊猫烧香就是如此，你这种可能是喵病毒，有可能下到了你的d盘里并释放它强大的威力（蓝屏），虽然盗取信息但应该不是喵，毕竟没法联系，如果个人信息泄露严重或财产大量损失的可以喵，或者交给专业的程序员进行格式化，文件应该还是可以整回来点，对于窃取信息类隐藏病毒，最好的方式是快去找专业人士格式化

比较大的大提琴

我开个方子哈：换一台电脑吧

无人问律

直接反映给杀毒软件客服（你替他发）

编程小小人

近日，国内多家网络安全团队监测到一种名为incaseformat的蠕虫病毒在国喵发，该蠕虫病毒执行后会自复制到系统盘Windows目录下，并创建注册表自启动，一旦用户重启主机，使得病毒母体从Windows目录执行，病毒进程将会遍历除系统盘外的所有磁盘文件进行删除，对用户造成不可挽回的损失。

1、incaseformat蠕虫病毒原理

计算机在感染该病毒后程序自动运行，若处于非windows目录下运行时，会自动将本程序代码复制到系统盘下的windows目录中再次运行，此时会在注册表中自动创建开机自动启动的服务，完成开机自启服务创建后退出，此时不会自动删除电脑中的文件，此时也是查杀该病毒的最佳机会。而一旦错过这个机会后，用户进行关机再开启或者重启操作后，该病毒就会在开机时自动启动，通过DeleteFileA和RemoveDirectory代码实现对计算机非系统盘符外的所有存储区域进行文件删除，最终在根目录留下名为incaseformat.log的空文件。

总结重点：incaseformat蠕虫病毒会自动删除计算机非系统盘的其他存储区域的数据，传播性强、隐蔽性高、危害性大，需要进行重点防范。

2、处置建议

由于该病毒只有在Windows目录下执行时会触发删除文件行为，重启会导致病毒在Windows目录下自启动，因此，建议在未做好安全防护及病毒查杀工作前请勿重启主机：

1）、不要随意下载安装未知软件，尽量在官方网站进行下载安装；

2）、用户对于重要的文件数据可以采取定期备份的措施；

3）、在网上不要访问一些危险的站点（网站），浏览器的安全级别最好设置成高；

4）、严格规范U盘等移动介质的使用，使用前先进行查杀；

5）、许多计算机都开启了网络共享功能，对于一些非必要的共享可以直接关闭，共享关闭可以通过网络设置中的“更改高级共享设置”进行关闭，如果一定要共享可以设置成只读模式。

AGSChris

一．行为分析

该病毒可通过U盘等可能的文件共享行为进行传播，病毒会伪装成正常文件夹，诱导用户点击，双击后会打开与伪装文件夹同名的隐藏文件夹，且第一次运行仅进行病毒复制操作，不会有恶意行为，防止用户发现异常。

该病毒的具体行为为：

1、将自身设置文件夹图标，隐藏exe后缀名，诱导用户点击。

2、当用户运行时该病毒会将本身复制到C盘windos文件下并重命名为ttry.exe或tsay.exe，并设置一次性开机自启，在下次重启后执行tsay.exe或ttry.exe，此时病毒才会进行恶意行为。

3、打开与病毒同名的文件夹（一般为隐藏文件夹）。

4、重启后循环遍历除C盘外其他磁盘的文件，找到文件夹后，复制病毒到当前找到文件夹相同的位置，名称与当前找到的文件夹相同，然后删除全盘文件。（一般的伪装文件病毒此处的操作应该是隐藏对应文件夹，诱导用户点击，以继续传播病毒）。

二、病毒拦截设置

文件落地之后会出现病毒弹窗，杀毒软件可以对病毒文件进行文件监控。其主要的进程是ttry.exe和tsay.exe

当病毒运行时，杀毒软件会提示病毒正在修改注册表：该病毒会修改注册表设置隐藏对于的文件夹并伪装。

三、处理方案

1.如果为出现病毒现象，实时防护设置发现病毒由您来处理，建议进行设置扫描所有文件进行全盘查杀，出现病毒弹窗时结束掉对应进程，立即清除之后处理。

2.对于出现的病毒现象的主机直接全盘查杀，之后使用数据恢复工具尝试修复。不建议直接重启

建议大家进行文件传输时，使用专业杀毒软件进行查杀之后再打开保证传输的文件正常。

你的朋友太慌张了（看大字体）

</form>

猫史档案馆

细思极恐啊啊啊

回复