2021年1月13日，一种名为incaseformat的蠕虫病毒在全国各地爆发，浙江中控技术股份有限公司工控网络安全应急响应中心supCERT也接到客户反映磁盘文件被清空，疑似中了该病毒，并有多个客户咨询中控技术的安全防护产品能否防御此次爆发的病毒，supCERT安全工程师得到样本后第一时间对病毒进行分析。
一 病毒机理分析
样本文件名: tsay.exe/ttry.exe
文件大小: 496640 字节
MD5: 4E242BBE2FFB1DB45442FA6037C9FD6E
SHA1: 43D41D5EFF896A4042E56A7A2B46DD8D073752EA
CRC32: AFE5FF81
图1 病毒详情
图2 病毒文件
该病毒使用delphi编写，病毒会伪装为文件夹图标，感染病毒后，病毒会将自身复制到C:\Windows目录下，并创建注册表自启动项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\msfsa
图3 自身复制
图4 写注册表自启动
当病毒在C:\Windows目录下运行时，会修改注册表禁用显示隐藏文件，并判断系统时间，满足条件时遍历磁盘，删除除C盘外的所有文件，并在根目录留下incaseformat.log文件。
图5 修改注册表
图6 删除文件生成incaseformat.log
值得注意的是作为一个老病毒，因为使用了delphi库中的DateTimeToTimeStamp 函数中 IMSecsPerDay 变量的值错误，最终导致 DecodeDate 计算转换出的系统当前时间错误，直到2021年1月13日才触发了删除文件的代码逻辑，导致大规模爆发。该病毒设定的删除日期不止1月13日，距离最近的下一次删除时间为1月23日。如果用户电脑中还有残留的病毒，将面临再次被删除的风险。
解决方案
经supCERT验证，该病毒不具备网络传播的功能，主要是通过USB等设备传播且只有在C:\Windows目录下运行时才会执行删除文件等恶意操作，而重启电脑则是导致其执行恶意操作的主要途径。
若发现 C:\Windows目录下存在名为tsay.exe/ttry.exe的病毒文件，可以直接删除病毒文件，在删除之前请不要重启电脑。然后排查注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce是否存在病毒的自启动项。
经验证，在安装了中控技术主机安全卫士VxDefender的电脑上开启白名单防护功能，并确认白名单列表中未包含tsay.exe和ttry.exe文件，则无论重启或是直接双击运行C:\Windows目录下的病毒文件，都可以成功拦截incaseformat病毒。
图7 主机安全卫士主界面
图8 程序白名单拦截提示
图9 程序白名单拦截提示
图10 程序白名单拦截日志
中控技术主机安全卫士专业版VxDefender Pro已内置黑名单杀毒引擎，可使用病毒查杀功能成功查杀隔离该病毒，有效地保证工业主机的安全稳定运行。
图11 主机安全卫士专业版病毒查杀功能
安全建议
1. 不要下载或点击未知来源的文件
2. 严格规范U盘等移动存储设备的使用
3. 安装杀毒软件，定期进行扫描杀毒
4. 安装主机安全防护产品
