【病毒预警】incaformat蠕虫病毒样本分析&&查杀防范

• 一、病毒简介

• 二、样本分析

• 三、查杀与恢复方式

• 四、预防措施

名称：incaseformat
种类：蠕虫病毒
影响：windows

时间：2021年1月13日

实际上incaseformat至少是2014年之前的老病毒。因为该病毒所使用的delphi库中的 DateTimeToTimeStamp 函数中 IMSecsPerDay 变量的值发生错误，最终导致 DecodeDate 计算转换出的当前系统时间错误。也因为上述原因，该样本作为一个老病毒，直到2021年1月13日才触发删除用户文件的代码逻辑。根据分析后次爆发时间为2021年1月23和2月4号

md5：4b982fe1558576b420589faa9d55e81a
sha1：a858c92a664491d1195370c20f2e4fa6b6ae5c3c
sha256：ff84e79cae99f5714f363588bc8238096249a85d34982b8d8c9ac2f9c3a639e8

该病毒主要文件名为 tsay.exe 和 ttry.exe

该病毒在非 windows 目录下运行

会拷至 C:\windows\ttry.exe、C:\windows\tsay.exe

并且创建 RunOnce 注册表值开机自启

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\msfsa

或

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce\msfsa

同时会删除除系统盘之外的所有文件，并且在磁盘下留下名为incaseformat.log 文件

1. 检查 Windows 目录下是否存在 tsay.exe 和 ttry.exe 文件，如果有立即删除

2. 检查注册表是否存在下面的记录，如有就删除：

   HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce\msfsa
   

   和

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\msfsa
   

3. 全盘查杀是否存在该病毒文件

将以下脚本内容复制粘贴到任意扩展名为.bat的批处理文件中，双击执行，即可输出检测结果。（注意:bat编码集需要选择为ANSI）

@echo off
set tsay_path=C:\Windows\tsay.exe
set ttry_path=C:\Windows\ttry.exe
if exist %tsay_path% goto find
if exist %ttry_path% goto find
echo 本机没有找到【incaseformat】病毒，安装安全软件，排查信任区并确认实时监控是否开启
echo.
pause
exit
:find
echo 本机存在【incaseformat】病毒，请联系管理员处理
echo.
pause
exit

1. 不要运行来历不明的软件

2. 下载软件尽量从官网下载，并对比 hash或md5

3. 安装终端安全防护软件，并保持最新的规则库

4. 对移动介质如 U 盘之类的，定期查杀