CN
2021年1月13日，一种名为incaseformat的蠕虫病毒在全国各地爆发，浙江EMC易倍·(中国)官方网站平台工控网络安全应急响应中心supCERT也接到客户反映磁盘文件被清空，疑似中了该病毒，并有多个客户咨询EMC易倍平台安全防护产品能否防御此次爆发的病毒，supCERT安全工程师得到样本后第一时间对病毒进行分析。
病毒机理分析
样本文件名: tsay.exe/ttry.exe
文件大小: 496640 字节
MD5: 4E242BBE2FFB1DB45442FA6037C9FD6E
SHA1: 43D41D5EFF896A4042E56A7A2B46DD8D073752EA
CRC32: AFE5FF81
图1 病毒详情
图2 病毒文件
该病毒使用delphi编写，病毒会伪装为文件夹图标，感染病毒后，病毒会将自身复制到C:\Windows目录下，并创建注册表自启动项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\msfsa
图3 自身复制
图4 写注册表自启动
当病毒在C:\Windows目录下运行时，会修改注册表禁用显示隐藏文件，并判断系统时间，满足条件时遍历磁盘，删除除C盘外的所有文件，并在根目录留下incaseformat.log文件。
图5 修改注册表
图6 删除文件生成incaseformat.log
值得注意的是作为一个老病毒，因为使用了delphi库中的 DateTimeToTimeStamp 函数中 IMSecsPerDay 变量的值错误，最终导致 DecodeDate 计算转换出的系统当前时间错误，直到2021年1月13日才触发了删除文件的代码逻辑，导致大规模爆发。该病毒设定的删除日期不止1月13日，距离最近的下一次删除时间为1月23日。如果用户电脑中还有残留的病毒，将面临再次被删除的风险。
解决方案
经supCERT验证，该病毒不具备网络传播的功能，主要是通过USB等设备传播且只有在C:\Windows目录下运行时才会执行删除文件等恶意操作，而重启电脑则是导致其执行恶意操作的主要途径。
若发现 C:\Windows目录下存在名为tsay.exe/ttry.exe的病毒文件，可以直接删除病毒文件，在删除之前请不要重启电脑。然后排查注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce是否存在病毒的自启动项。
经验证，在安装了EMC易倍平台主机安全卫士VxDefender的电脑上开启白名单防护功能，并确认白名单列表中未包含tsay.exe和ttry.exe文件，则无论重启或是直接双击运行C:\Windows目录下的病毒文件，都可以成功拦截incaseformat病毒。
图7 主机安全卫士主界面
图8 程序白名单拦截提示
图9 程序白名单拦截提示
图10 程序白名单拦截日志
EMC易倍平台主机安全卫士专业版VxDefender Pro已内置黑名单杀毒引擎，可使用病毒查杀功能成功查杀隔离该病毒，有效地保证工业主机的安全稳定运行。
图11 主机安全卫士专业版病毒查杀功能
安全建议
1. 不要下载或点击未知来源的文件
2. 严格规范U盘等移动存储设备的使用
3. 安装杀毒软件，定期进行扫描杀毒
4. 安装主机安全防护产品