蠕虫携带逻辑炸弹，安天智甲早已设防

样本母体运行后会释放tsay.exe到Windows目录下（C:windowstsay.exe），并且通过修改注册表键值以实现自启动。创建注册表键值如下：

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunOncemsfsa

Value: String: "C:windowstsay.exe"

随后结束自身进程。

系统重新启动后，衍生文件开始执行，具体行为包括删除非系统磁盘的文件，并创建文件大小为0K，文件名为incaseformat.log的文件。

图 2-1 创建文件incaseformat.log

同时复制病毒自身到D盘，并将病毒文件名重命名为删除的文件夹名。例如：D盘存在Program Files文件夹，病毒名则为Program Files.exe。

 图 2-2 删除文件操作

该衍生文件使用了Delphi库中的DateTimeToTimeStamp函数，该函数中的变量IMSecsPerDay正常应为0x5265C00，但是被错误的写为0x5A75CC4。故文件删除操作虽原定于2010年4月1日，但于2021年1月13日才成功执行。

 图 2-3 样本中错误的函数变量

注：病毒原逻辑为：year>2009&&month>3&&(day==1||day==10||day==21||day==29)

故本应从2010年开始，每年的4、5、6、7、8、9、10、11、12月份的1、10、21、29号会执行一次删除操作。

根据错误变量IMSecsPerDay进行计算，预计该病毒未来删除文件操作时间如下：

表 2-3 样本实际删除文件时间

1.结束下列进程

tsay.exe、ttry.exe

2.删除下列文件

C:windowstsay.exe

C:Windowsttry.exe

3.删除下列注册表项中的名为“msfsa”的键值

HKEY_LOCAL_MACHINESOFTWAREWow6432NodeMicrosoftWindowsCurrentVersionRunOnce

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunOnce

经测试，安天智甲终端防御系统可实现对以上恶意软件的查杀与有效防护。

经测试，安天智甲终端防御系统可实现对以上恶意软件的查杀与有效防护。

表3-1 安天智甲测试结果

智甲可通过文件防御捕获Incaseformat病毒文件进入用户主机事件，并向用户发起告警，自动隔离病毒文件。

图 3-1 安天智甲有效防护

另外，该病毒还会尝试通过创建RunOnce注册表实现开机自启动，智甲具有注册表防御功能，亦可以防御该行为。

图 3-2 安天智甲有效防护

4 智甲产品介绍

安天智甲是一款面向政府、军工、能源、金融、交通、电信等各行业用户的企业级终端防御产品，支持各种体系结构和操作系统平台，对桌面、工作站、服务器、移动终端、虚拟化等端点场景提供安全防护。为客户提供病毒与恶意代码查杀、威胁主动防御、补丁修复、配置加固等防护功能。对浏览器、电子邮件等入口进行交互防御，对Office等软件遭遇的格式漏洞攻击进行特别保护，对USB等介质攻击进行保护。具有精准检测防御海量已知威胁的能力和较强未知威胁发现和主动防御的能力，可有效收缩终端受攻击面，有效支撑安天资产运维平台和战术型态势感知的数据采集和响应行动。

安天智甲终端防御系统支持各种体系结构和操作系统平台，对桌面、工作站、服务器、移动终端、虚拟化等端点场景提供安全防护。为客户提供病毒与恶意代码查杀、威胁主动防御、补丁修复、配置加固等防护功能。对浏览器、电子邮件等入口进行交互防御，对Office等软件遭遇的格式漏洞攻击进行特别保护，对USB等介质攻击进行保护。具有精准检测防御海量已知威胁的能力和较强未知威胁发现和主动防御的能力，可有效收缩终端受攻击面，有效支撑安天资产运维平台和战术型态势感知的数据采集和响应行动。

智甲采用可信计算与安天下一代反病毒引擎组合构建的黑白双控模式，对引导链和执行对象的行为活动和网络通讯进行检测过滤，针对各种服务器、重要工作站、SCADA站、ATM等场景具有专用的防御策略模板。

安天智甲全面支撑各种国产CPU和操作系统组合的主机环境防护，参与了专用机病毒防治标准规范的研讨，并率先研发出符合专用机病毒防护要求的产品——安天智甲专用机版，其在国产CPU和国产操作系统的基础架构之上，深度契合专用机的系统特性，从行为、边界、网络等多个层面为涉密专用机提供了全面的安全防护能力。在信创领域，安天智甲深度结合国产化系统特点，全面覆盖国产化系统平台。