今日，深信服安全團隊監測到(dào)一(yī)種名為(wèi)incaseformat的蠕蟲病毒在國(guó)内爆發，該蠕蟲病毒執行後會(huì)自(zì)複制到(dào)系統盤Windows目錄下(xià)，并創建注冊表自(zì)啓動，一(yī)旦用戶重啓主機(jī)，使得病毒母體從(cóng)Windows目錄執行，病毒進程将會(huì)遍曆除系統盤外的所有磁盤文件(jiàn)進行删除，對用戶造成不可挽回的損失。

目前，已發現國(guó)内多(duō)個(gè)區域不同行業(yè)用戶遭到(dào)感染，病毒傳播範圍暫未見(jiàn)明顯的針對性。

經分析，該蠕蟲病毒在非Windows目錄下(xià)執行時，并不會(huì)産生(shēng)删除文件(jiàn)行為(wèi)，但會(huì)将自(zì)身複制到(dào)系統盤的Windows目錄下(xià)，創建RunOnce注冊表值設置開(kāi)機(jī)自(zì)啓，且具有僞裝正常文件(jiàn)夾行為(wèi)：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\msfsa

值: C:\windows\tsay.exe

當蠕蟲病毒在Windows目錄下(xià)執行時，會(huì)再次在同目錄下(xià)自(zì)複制，并修改如下(xià)注冊表項調整隐藏文件(jiàn)：

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\HideFileExt -> 0x1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\checkedvalue -> 0x0

最終遍曆删除系統盤外的所有文件(jiàn)，在根目錄留下(xià)名為(wèi)incaseformat.log的空文件(jiàn)：

由于該病毒隻有在Windows目錄下(xià)執行時會(huì)觸發删除文件(jiàn)行為(wèi)，重啓會(huì)導緻病毒在Windows目錄下(xià)自(zì)啓動，因此，深信服安全團隊建議廣大用戶在未做好安全防護及病毒查殺工(gōng)作前請勿重啓主機(jī)：

1、不要随意下(xià)載安裝未知軟件(jiàn)，盡量在官方網站進行下(xià)載安裝；

2、盡量關閉不必要的共享，或設置共享目錄為(wèi)隻讀(dú)模式；深信服EDR用戶可使用微隔離功能(néng)封堵共享端口；

3、嚴格規範U盤等移動介質的使用，使用前先進行查殺；

4、如發現已感染主機(jī)，先斷開(kāi)網絡，使用安全産品進行全盤掃描查殺再嘗試使用數據恢複類軟件(jiàn)。深信服為(wèi)廣大用戶提供免費(fèi)查殺工(gōng)具，可下(xià)載如下(xià)工(gōng)具，進行檢測查殺：