产品中心
控制系统
控制系统
控制系统
Webfield
ECS-700
浏览更多
控制系统

Webfield TCS-900

Foundation Fieldbus
现场总线

TCS-500 安全仪表系统

T9100 压缩机控制系统

工业信息安全

T5100 设备及工艺控制优化系统

Webfield GCS 系列

InPlant SCADA

工业软件
尊龙凯时 - 人生就是搏!先进控制软件
InPlant APC
浏览更多
生产管控
生产管控
安全环保
安全环保
供应链管理
供应链管理
资产管理
资产管理
能源管理
能源管理
基础软件
基础软件
仪器仪表
单座调节阀
单座调节阀
浏览更多
仪器仪表

烟气排放在线监测系统

智能变送器

信号类产品

工具仪表

流量仪表

气体探测仪表

单座调节阀

高压调节阀

O型球阀

解决方案
行业解决方案
行业解决方案
石化
石化
化工
化工
油气
油气
能源电力
能源电力
医药
医药
食品饮料
食品饮料
冶金
冶金
造纸
造纸
建材
建材
船舶与海工
船舶与海工
智慧园区
智慧园区
应用解决方案
应用解决方案
生产管控
生产管控
安全环保
安全环保
供应链管理
供应链管理
资产管理
资产管理
能源管理
能源管理
服务支持
plantmate
咨询业务
专业服务
立即获得支持

拨打7x24h售后服务热线：

+ 86-400-887-6000

ts@zzbf-valve.com 

新闻与活动
公司动态
媒体报道
荣誉资质
成功案例
投资者关系
ESG
生态合作
关于我们
公司概况
加入我们
营销服务网络
选择语言
EN CN
CN
在线客服
联系电话
+86 400-887-6000

    • 尊龙凯时 - 人生就是搏!

    Incaseformat病毒来袭？尊龙凯时 - 人生就是搏!supCERT教你如何应对！

    2021年1月13日，一种名为incaseformat的蠕虫病毒在全国各地爆发，浙江尊龙凯时 - 人生就是搏!技术股份有限公司工控网络安全应急响应中心supCERT也接到客户反映磁盘文件被清空，疑似中了该病毒，并有多个客户咨询尊龙凯时 - 人生就是搏!安全防护产品能否防御此次爆发的病毒，supCERT安全工程师得到样本后第一时间对病毒进行分析。

    Incaseformat病毒来袭？尊龙凯时 - 人生就是搏!supCERT教你应对

    病毒机理分析

    样本文件名: tsay.exe/ttry.exe

    文件大小: 496640 字节

    MD5: 4E242BBE2FFB1DB45442FA6037C9FD6E

    SHA1: 43D41D5EFF896A4042E56A7A2B46DD8D073752EA

    CRC32: AFE5FF81

    210114jswx1.png

    图1 病毒详情

    210114jswx2.png

    图2 病毒文件

    该病毒使用delphi编写，病毒会伪装为文件夹图标，感染病毒后，病毒会将自身复制到C:\Windows目录下，并创建注册表自启动项

    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\msfsa

    210114jswx3.png

    图3 自身复制

    210114jswx4.png

    图4 写注册表自启动

    当病毒在C:\Windows目录下运行时，会修改注册表禁用显示隐藏文件，并判断系统时间，满足条件时遍历磁盘，删除除C盘外的所有文件，并在根目录留下incaseformat.log文件。

    210114jswx5.png

    图5 修改注册表

    210114jswx6.png

    图6 删除文件生成incaseformat.log

    值得注意的是作为一个老病毒，因为使用了delphi库中的 DateTimeToTimeStamp 函数中 IMSecsPerDay 变量的值错误，最终导致 DecodeDate 计算转换出的系统当前时间错误，直到2021年1月13日才触发了删除文件的代码逻辑，导致大规模爆发。该病毒设定的删除日期不止1月13日，距离最近的下一次删除时间为1月23日。如果用户电脑中还有残留的病毒，将面临再次被删除的风险。


    解决方案

    Incaseformat病毒来袭？尊龙凯时 - 人生就是搏!supCERT教你应对

    经supCERT验证，该病毒不具备网络传播的功能，主要是通过USB等设备传播且只有在C:\Windows目录下运行时才会执行删除文件等恶意操作，而重启电脑则是导致其执行恶意操作的主要途径。

    若发现 C:\Windows目录下存在名为tsay.exe/ttry.exe的病毒文件，可以直接删除病毒文件，在删除之前请不要重启电脑。然后排查注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce是否存在病毒的自启动项。

    经验证，在安装了尊龙凯时 - 人生就是搏!主机安全卫士VxDefender的电脑上开启白名单防护功能，并确认白名单列表中未包含tsay.exe和ttry.exe文件，则无论重启或是直接双击运行C:\Windows目录下的病毒文件，都可以成功拦截incaseformat病毒。

    210114jswx7.png

    图7 主机安全卫士主界面

    210114jswx8.png

    图8 程序白名单拦截提示

    210114jswx9.png

    图9 程序白名单拦截提示

    210114jswx10.png

    图10 程序白名单拦截日志

    尊龙凯时 - 人生就是搏!主机安全卫士专业版VxDefender Pro已内置黑名单杀毒引擎，可使用病毒查杀功能成功查杀隔离该病毒，有效地保证工业主机的安全稳定运行。

    210114jswx11.png

    图11 主机安全卫士专业版病毒查杀功能

    Incaseformat病毒来袭？尊龙凯时 - 人生就是搏!supCERT教你应对

    安全建议

    Incaseformat病毒来袭？尊龙凯时 - 人生就是搏!supCERT教你应对

    1. 不要下载或点击未知来源的文件

    2. 严格规范U盘等移动存储设备的使用

    3. 安装杀毒软件，定期进行扫描杀毒

    4. 安装主机安全防护产品


    更多信息
    友情链接: