incaformat蠕虫病毒样本分析及查杀防范措施

最新推荐文章于 2023-02-21 14:40:08 发布

置顶

0x00dream

最新推荐文章于 2023-02-21 14:40:08 发布

阅读量3.7k

点赞数 3

分类专栏：常见漏洞

本文链接：https://blog.csdn.net/zzwwhhpp/article/details/112601658

版权

incaseformat蠕虫病毒主要针对windows系统，删除非系统盘所有文件，通过tsay.exe和ttry.exe进行感染，利用RunOnce注册表自启动。防范包括删除相关文件，修复注册表，安装安全软件并定期查杀。

摘要由CSDN通过智能技术生成

2021incaseformat蠕虫病毒

一、病毒简介

病毒名称：incaseformat
病毒性质：蠕虫病毒
影响范围：windows 操作系统
危害等级：紧急
病毒影响：删除除系统盘外的所有文件

二、样本分析

1.样本信息
md5：4b982fe1558576b420589faa9d55e81a
sha1：a858c92a664491d1195370c20f2e4fa6b6ae5c3c
sha256：ff84e79cae99f5714f363588bc8238096249a85d34982b8d8c9ac2f9c3a639e8
主要文件名为 tsay.exe 和 ttry.exe。
该样本在 windows 下显示的图标形如文件夹图标，具有一定的欺骗性。
在这里插入图片描述

2.样本行为
样本在非 windows 目录下运行，会拷贝副本至 C:\windows\ttry.exe、C:\windows\tsay.exe，并创建 RunOnce 注册表值设置开机自启。
注册表路径：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\msfsa
或
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\R
unOnce\msfsa
注册表值：
C:\windows\tsay.