incaseformat病毒是怎么回事：U盘蠕虫的行为、清理和防范
incaseformat这个病毒名，很多单位的运维是通过一次集体中招才知道的。它是个用Delphi写的U盘蠕虫，2019年前后开始在国内传播，2021年初集中爆发过一轮，不少单位的电脑开机后除了C盘，其他盘的文件全没了，只剩一堆同名文件夹。
它的传播路子很朴素：插上带毒的U盘或者移动硬盘，病毒把自己复制过去，同时在根目录生成autorun.inf，利用系统自动播放把自身拉起来。进了机器以后它常驻在系统目录，写注册表开机自启，然后遍历所有盘符，把文件设成隐藏属性，再生成一批和原文件名相同的快捷方式或者文件夹，诱导用户去点。
真正的破坏动作是删除。病毒里带了时间判断，到了设定的日期，就把非系统盘里的文件批量删掉，只留下自己的副本。很多人以为是硬盘坏了，其实是文件被删了。好消息是这类删除通常是快速删除，数据块还没被覆盖，只要不继续往盘里写东西，用恢复工具找回来的概率不低。
中招以后的处理顺序很重要。第一步别急着重启或者继续操作，先把机器从网络断开，避免横向传播；第二步用PE启动盘引导，把硬盘做镜像或者只读挂载，不要在原盘上装软件；第三步再拿恢复工具扫描镜像，把能救的文件先导到另一块干净的盘上。顺序搞反了，恢复率会掉一大截。
清理病毒本身相对简单，进PE或者安全模式，删掉各盘根目录的autorun.inf和可疑的可执行文件，清掉隐藏属性的异常项，再查注册表启动项和计划任务。单位环境里最好直接重装系统，别指望手工清干净，然后统一用杀毒软件全盘扫描一遍其他机器。
防范上，最有效的是把自动播放关掉，用组策略统一禁用U盘的自动运行，这一条能挡住大部分U盘蠕虫。其次是移动介质管控，外来U盘先在一台隔离机或者专用查毒机上过一遍再接入内网。再就是备份，重要数据定期异机备份，真出事的时候能快速回滚，比事后恢复省心得多。
上一篇：STGAP1S隔离栅极驱动器：参数、保护功能和上手要点
下一篇：没有了