安全预警 | incaseformat病毒应急处理方案

【恶意程序家族】

1. 运行后拷贝副本至C:windowstsay.exe、C:windowsttry.exe
2. 创建注册表启动项
3. HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunOncemsfsa  C:windowstsay.exe

4. HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerAdvancedHideFileExt -> 0x1

5. HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALLcheckedvalue -> 0x0

6. 重启后启动项中的母体文件运行，并删除系统盘以外盘符所有文件，然后释放大小为0kb的文件incaseformat.txt。

1. 提高员工安全意识，使用U盘前用杀毒软件进行病毒扫描后再使用；也可以通过管控功能禁止不明移动存储设备进入内网。
   

2. 提升内网杀毒软件覆盖率，确保主要终端和服务器均安装有杀毒软件，并定期更新病毒库到最新。

3. 对于不慎感染的终端，使用杀毒软件进行全盘查杀。查杀前确认信任区是否不明文件，清理信任区之后再进行全盘扫描，待杀毒完成后，可尝试使用专业数据恢复工具或寻找第三方数据恢复公司进行数据恢复。

4. 该病毒只在Windows目录下执行时会触发删除文件行为，重启会导致病毒在Windows目录下自启动。

5. 不要随意下载安装未知软件，尽量在官方网站进行下载安装；尽量关闭不必要的共享，或设置共享目录为只读模式。