优游国际

2021年1月13日，一种名为incaseformat的蠕虫病毒在全国各地发作，浙江优游国际工控网络安全应急响应中心supCERT也接到客户反映磁盘文件被清空，疑似中了该病毒，并有多个客户征询中控安全防护产品能否防御这次发作的病毒，supCERT安全工程师得到样本后第一功夫对病毒进行分析。

病毒机理分析

样本文件名: tsay.exe/ttry.exe

文件大幼: 496640 字节

MD5: 4E242BBE2FFB1DB45442FA6037C9FD6E

SHA1: 43D41D5EFF896A4042E56A7A2B46DD8D073752EA

CRC32: AFE5FF81

图1 病毒详情

图2 病毒文件

该病毒使用delphi编写，病毒会假装为文件夹图标，习染病毒后，病毒会将自身复造到C:Windows目录下，并创建注册表自启动项

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunOncemsfsa

图4 写注册表自启动

当病毒在C:Windows目录下运行时，会批改注册表禁用显示暗藏文件，并判断系统功夫，满足前提时遍历磁盘，删除除C盘表的所有文件，并在根目录留下incaseformat.log文件。

图5 批改注册表

图6 删除文件天生incaseformat.log

值妥贴心的是作为一个老病毒，由于使用了delphi库中的 DateTimeToTimeStamp 函数中 IMSecsPerDay 变量的值谬误，最终导致 DecodeDate 推算转换出的系统当前功夫谬误，直到2021年1月13日才触发了删除文件的代码逻辑，导致大规模发作。该病毒设定的删除日期不止1月13日，距离最近的下一次删除功夫为1月23日。若是用户电脑中还有残留的病毒，将面对再次被删除的风险。

解决规划

经supCERT验证，该病毒不具备网络传布的职能，重要是通过USB等设备传布且只有在C:Windows目录下运行时才会执行删除文件等恶意操作，而沉启电脑则是导致其执行恶意操作的重要蹊径。

若发现 C:Windows目录下存在名为tsay.exe/ttry.exe的病毒文件，能够直接删除病毒文件，在删除之前请不要沉启电脑。而后排查注册表HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunOnce是否存在病毒的自启动项。

经验证，在装置了中控主机安全卫士VxDefender的电脑上开启白名单防护职能，并确认白名单列表中未蕴含tsay.exe和ttry.exe文件，则无论沉启或是直接双击运行C:Windows目录下的病毒文件，都能够成功拦截incaseformat病毒。

图7 主机安全卫士主界面

图8 法式白名单拦截提醒

图9 法式白名单拦截提醒

图10 法式白名单拦截日志

中控主机安全卫士专业版VxDefender Pro已内置黑名单杀毒引擎，可使用病毒查杀职能成功查杀隔离该病毒，有效地保障工业主机的安全不变运行。

图11 主机安全卫士专业版病毒查杀职能

安全建议

1. 不要下载或点击未知起源的文件

2. 严格规范U盘等移动存储设备的使用

3. 装置杀毒软件，定期进行扫描杀毒

4. 装置主机安全防护产品