近日，深信服安全團隊監測到一種名為incaseformat的病毒，全國各個區域都出現了被incaseformat病毒刪除文件的用戶。
經調查，該蠕蟲正常情況下表現為文件夾蠕蟲，執行後會自複製到系統盤Windows目錄下，並創建註冊表自啟動，一旦用戶重啟主機，使得病毒母體從Windows目錄執行，病毒進程將會遍歷除系統盤外的所有磁碟文件進行刪除，對用戶造成不可挽回的損失。該病毒於1月13日集中爆發是由於病毒代碼中內置了部分特殊日期，在匹配到對應日期後會觸發蠕蟲的刪除文件功能，爆發該蠕蟲事件的用戶感染時間應該早於1月13號，根據分析推測，下次觸發刪除文件行為的時間約為2021年1月23日和2月4日。為此深信服免費提供了查殺工具incaseformat病毒幫助廣大用戶檢測查殺incaseformat。
據了解，該蠕蟲病毒在非Windows目錄下執行時，並不會產生刪除文件行為，但會將自身複製到系統盤的Windows目錄下，創建RunOnce註冊表值設置開機自啟，且具有偽裝正常文件夾行為：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\msfsa
值: C:\windows\tsay.exe
當蠕蟲病毒在Windows目錄下執行時，會再次在同目錄下自複製，並修改如下註冊表項調整隱藏文件：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\HideFileExt -> 0x1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\checkedvalue -> 0x0
最終遍歷刪除系統盤外的所有文件，在根目錄留下名為incaseformat.log的空文件。
情況看似簡單，但令人不解的是，該蠕蟲是通過什麼方式進行傳播的呢？又為何會集中爆發？
經過深信服安全專家對病毒文件和威脅情報的詳細分析，有了新的發現。該蠕蟲病毒由Delphi語言編寫，最早出現於2009年，此後每年都有用戶在網絡上發帖求助該病毒的解決方案解決方案。
正常情況下，該病毒表現為一種文件夾蠕蟲，和其他文件夾蠕蟲病毒一樣，通過文件共享或行動裝置進行傳播，並會在共享目錄或行動裝置路徑下將正常的文件夾隱藏，自己則偽裝成文件夾的樣子。
然而，與其他文件夾蠕蟲不同的是，incaseformat蠕蟲病毒在代碼中內置了一顆「定時炸彈」，蠕蟲會獲取受感染主機的當前時間， 獲取到時間後，程序與指定的時間進行了比對，當條件為：
年份>2009，月份>3，日期=1 或 日期=10 或 日期=21 或 日期=29
即2009年後，每個大於3月的1號、10號、21號和29號時會觸發刪除文件操作。
然後通過DecodeDate函數拆分日期，奇妙的是，該程序中的Delphi庫可能出現了錯誤，DateTimeToTimeStamp用於計算的一個變量發生異常：
導致轉換後的時間與真實的主機時間並不相符，因此真實觸發時間與程序設定條件不相同（原本2010年愚人節的啟動時間，錯誤轉換成了2021年1月13日，本次病毒爆發可能是遲到的愚人節玩笑）：
分析人員計算隨後會觸發刪除文件操作的日期為，2021年1月23和2月4號：
由於文件夾蠕蟲感染後沒有給主機帶來明顯的損失，大多數用戶都會疏於防範，且文件蠕蟲主要通過文件共享和行動裝置傳播，一旦感染後容易快速蔓延內網，很多此次爆發現象的主機可能在很早前就已經感染。還有一些主機已經潛伏該病毒用戶很可能會在2021年1月23和2月4號被刪除數據。
對此，深信服安全團隊也針對該蠕蟲病毒向廣大用戶提出防範建議：
若主機未出現感染現象（其他磁碟文件還未被刪除）：
1、不隨意重啟主機，先使用安全軟體進行全盤查殺，並開啟實時監控等防護功能；
2、 不隨意下載安裝未知軟體，儘量在官方網站進行下載安裝；
3、 儘量關閉不必要的共享，或設置共享目錄為只讀模式；深信服安全團隊提到深信服EDR用戶可使直接用微隔離功能封堵共享埠；
4、 嚴格規範U盤等移動介質的使用，使用前先進行查殺；
5、 重要數據做好備份；
若主機已出現感染現象（其他磁碟文件已被刪除）則：
1、 使用安全軟體進行全盤查殺，清除病毒殘留；
2、 可嘗試使用數據恢復類工具進行恢復，恢復前儘量不要佔用被刪文件磁碟的空間，由於病毒操作的文件刪除並沒有直接從磁碟覆蓋和抹去數據，可能仍有一定機率進行恢復；
深信服也為廣大用戶提供免費檢測查殺工具，可聯繫深信服人員獲取。
與此同時，深信服安全感知平臺、下一代防火牆、EDR用戶，建議及時升級最新版本，並接入安全雲腦，使用雲查服務以及時檢測防禦新威脅。
最後，也再次提醒廣大用戶，安全無小事，一定要做好重要數據備份，以及主機安全防護措施，才能防患於未然！