不可掉以輕心｜12年前的蠕蟲病毒再次被喚醒，裝置防護安排起來

釋出時間：2021年1月14日

綜述

2021年1月13日，綠盟科技應急響應團隊接到全國多個客戶反饋感染所謂的 incaseformat 病毒，涉及政府、醫療、教育、運營商等多個行業，且感染主機多為財務管理相 關應用系統。感染主機表現為所有非系統分割槽檔案均被刪除，由於被刪除檔案分割槽根目錄下 均存在名為 incaseformat.log 的空檔案，因此網路上將此病毒命名為 incaseformat。

從搜尋引擎結果來看，該病毒最早出現時間為 2009 年，主流防毒軟體廠商均將此病毒命 名為 Worm.Win32.Autorun，從名稱可以判斷該病毒為 Windows 平臺透過移動介質傳播的病毒。

病毒在非系統盤執行時會將自身複製到Windows目錄下，將自身圖示偽裝成資料夾並且修改登錄檔實現自啟動。該目錄下的病毒會在主機重啟後執行，隨後遍歷所有非系統分割槽下的目錄並且設定為隱藏，並且建立同名的病毒檔案，此外還會透過修改登錄檔，實現不顯示隱藏檔案及隱藏已知檔案型別副檔名。最後對非系統分割槽下所有檔案執行刪除操作，並建立 incaseformat.log 檔案。

檢測防護建議

綠盟科技已釋出處置建議：http://blog.nsfocus.net/incaseformat/

同時，綠盟科技產品為客戶提供有效的檢測和防護能力。

• 綠盟科技終端安全 UES

綠盟統一終端安全 UES 是集病毒查殺，EDR，終端管理等一體化終端安全產品。透過部署綠盟 UES 產品，全方位對已知惡意檔案，未知惡意程式進行安全檢測，加強企業內網安全監測與防範。

針對此次事件，UES提供如下檢測防護配置建議：

1. 安全團隊已將 incaseformat 病毒列為活躍性病毒，管理員及時開啟 EDR 檢測策略， 重點監測，及時響應。

2. 管理員可透過攻擊誘餌配置，以捕獲 incaseformat 病毒及其可能的變種，一旦發現惡 意刪除行為，則及時進行阻斷，最大限度的降低使用者損失。

3. 管理員可透過配置終端啟動項防護，U 盤診斷，惡意軟體等策略最高層面上防護內 網使用者主機發生類似事件。

• 綠盟科技智慧安全運營平臺 ISOP

綠盟智慧安全平臺ISOP是一款智慧的安全運營中心產品，能夠接入各類安全日誌，並智慧識別其中的威脅，並提供自動化響應動作。

針對此次事件，對於接入了終端ues日誌的平臺，可以透過平臺威脅管理-智慧搜尋頁面，根據以下方式檢測是否受次威脅影響，並定位受影響資產：

a)   基於樣本hash的檢索
sample_file_md5:"1071d6d497a10cef44db396c07ccde65" OR file_md5:"1071d6d497a10cef44db396c07ccde65" OR sample_file_md5:"4B982FE1558576B420589FAA9D55E81A" OR file_md5:"4B982FE1558576B420589FAA9D55E81A" OR sample_file_sha256:"8c8793eb7c80a09e1542e424ea89c23c195d364892620562e06b3df602890929" OR sample_file_sha1:"71aa3a0af1eda821a1deddf616841c14c3bbd2e3"

b)   基於程式特徵
process_path: "ttry.exe" OR process_path: "tsay.exe"

c)   基於登錄檔項的值特徵
old_value:"C:\\windows\\tsay.exe" OR old_value:"C:\\windows\\ttry.exe" OR new_value:"C:\\windows\\tsay.exe" OR new_value:"C:\\windows\\ttry.exe"

d)   基於登錄檔路徑特徵
registry_path:"\\RunOnce\\" AND registry_name:"msfsa"

如果定位到受影響資產，請及時去資產上排查。

• 綠盟科技遠端安全評估系統 RSAS

綠盟遠端安全評估系統 RSAS是結合了多年漏洞挖掘和安全服務實踐經驗的新一代漏洞管理產品，可以高效、全方位的檢測主機中的脆弱性風險，提供專業、有效的安全分析和修補建議。

針對本次事件，RSAS已釋出系統外掛升級包，使用者升級至最新版本（V6.0R02F01.2101）即可對該病毒進行檢測。

http://update.nsfocus.com/update/listRsasDetail/v/vulsys

宣告

本安全公告僅用來描述可能存在的安全問題，綠盟科技不為此安全公告提供任何保證或承諾。由於傳播、利用此安全公告所提供的資訊而造成的任何直接或者間接的後果及損失，均由使用者本人負責，綠盟科技以及安全公告作者不為此承擔任何責任。綠盟科技擁有對此安全公告的修改和解釋權。如欲轉載或傳播此安全公告，必須保證此安全公告的完整性，包括版權宣告等全部內容。未經綠盟科技允許，不得任意修改或者增減此安全公告內容，不得以任何方式將其用於商業目的。