В общем идея проста, поэтому на авторство не претендую
Кому надоело ловить-распространять вирусы делаем следующее: Форматируем флешку в NTFS, создаём свой autorun.inf, играемся с правами и получаем девайс на который триппер залазит, а вылезти не может, так-как механизм запуска (autorun.inf) наш, не вредный А еще можно свою иконку на флешку прицепить.....
Остальные шаги нужны для того что-бы форматнуть флешку в NTFS и поставить свою иконку, а если всё правильно сделать то и кидо не сможет грохнуть этот файл, на прошлой неделе сотрудник этот самый кидо и подцепил, когда вставил флешку дрянь залезла в виде *.exe а autorun остался нетронутым, в общем проверенно практикой, честно.....
Наверное, если бы ответ на вопрос был так прост, то касперыч не пыжался над защитой от него почти 3 месяца Это сообщение отредактировал Homerovi4 - 14 июл 2009 в 20:13
AUTOSTOP 2.4 - cкрипт для защиты от autorun-вирусов (26 марта 2009) 1. НАЗНАЧЕНИЕ И УСТАНОВКА
Скрипт предназначен для:
- отключения на компьютере автозапуска со всех носителей - защиты флешки от autorun-вирусов - защиты флешки от записи новых файлов
Каждая з трех процедур выполняется отдельно по желанию пользователя. Наибольший эффект защиты достигается при применении всех трех функций скрипта.
2. ПРИНЦИП РАБОТЫ
ОТКЛЮЧЕНИЕ АВТОЗАПУСКА
Автозапуск со всех носителей на компьютере отключается путем внесения изменений в соответствующие разделы реестра (рекомендуется отключение автозапуска на всех компьютерах), а именно:
В CancelAutoplay\Files находятся текстовые параметры, содержащие имена файлов, отыскав которые на носиеле встроенный AutoRun запускаться не станет и позволит запустить носитель через autorun.inf. Добавляем строковый параметр следующего содержания: *.* (все файлы).
@SYS:DoesNotExist говорит explorer'у чтобы он не читал параметры запуска из файла Autorun.inf, а читал их из ветки реестра HKEY_LOCAL_MACHINE\SOFTWARE\DoesNotExist, которая не существует. В итоге если внешний носитель содержит файл Autorun.inf - то при подключении носителя к компьютеру, Autorun.inf не запускается. Более того - не запускается он и при двойном клике по букве диска этого носителя в проводнике. Это самый
С помощью NoDriveAutoRun запрещается загрузка с определенных приводов по их буквенному обозначению, а NoDriveTypeAutoRun запрещает загрузку с определенных приводов по их типу. Поскольку нам авторан вообще не нужен, используем второе.
Cdrom - полное отключение всякой поддержки автозапуска компакт-дисков (даже ручной).
ЗАЩИТА ОТ AUTORUN-ВИРУСОВ
Защита флешки от autorun-вирусов строится следующим образом. На флешке создается каталог AUTORUN.INF, препятствующий записи на флешку вредоносного файла autorun.inf. Также для защиты флешки от вирусов служат файлы recycled и recycler.
В исходном состоянии на каталоге AUTORUN.INF высвечивается красный индикатор в виде дорожного знака "кирпич" - что визуально сообщает о том что "для автозапуска вьезд запрещен". Если компьютер, к которому подключена флешка, заражен autorun-вирусом, то вирус попытается записать на флешку вредоносный файл autorun.inf. Ввиду особенностей файловой системы, он не сможет этого сделать, пока на флешке существует одноименный каталог AUTORUN.INF.
Существуют вирусы, которые могут пытаться удалить этот каталог - но здесь их ожидает серьезное препятствие: каталог защищен от удаления. Но при попытке удаления каталога вирус наверняка снимет с него атрибут "системный". Если это случится - красный индикатор с каталога AUTORUN.INF исчезнет. Это послужит свидетельством того, что на флешке появились вирусные файлы. Но файл autorun.inf, посредством которого может произвестись заражение, на флешку записан не будет - именно таким образом скрипт осуществляет защиту, блокируя основную опасность.
Существуют вирусы, которые могут пытаться переименовать каталог AUTORUN.INF. Но если им это удастся (название каталога AUTORUN.INF тогда изменится на что-то неприметное, например ffvy) - красный индикатор и в этом случае исчезнет, что послужит сигналом пользователю о том, что флешка заражена.
Метод будет действовать лишь частично (с отсутствием индикации) на различных сборках Windows типа Zver и им подобных, имеющих встроенные пиктограммы для отображения каталогов.
Метод не нужно применять для загрузочных флешек (имеющих файл autorun.inf - т.к. этот файл будет удален скриптом). Для защиты загрузочных флешек воспользуйтесь методом защиты от записи новых файлов.
КАЖДЫЙ РАЗ ПЕРЕД ИЗВЛЕЧЕНИЕМ ФЛЕШКИ НЕОБХОДИМО НАЖАТЬ F5 В ПРОВОДНИКЕ, И ПРОВЕРИТЬ НАЛИЧИЕ КРАСНОГО ИНДИКАТОРА:
- красный индикатор есть на флешке - "для автозапуска вьезд запрещен" - красный индикатор исчез с флешки - флешка заражена. Если при этом исчез и каталог AUTORUN.INF, то на флешке содержится вредоносный файл autorun.inf.
Помните что даже если красный индикатор есть на флешке - это говорит лишь об отсутствии вредоносного файла autorun.inf, что значительно снижает риск заражения компьютера при подключении флешки к нему. Но в то же время на той же флешке могут содержаться вирусные файлы (и, как правило, содержатся). Поэтому регулярно проверяйте флешку антивирусом.
ЗАЩИТА ОТ ЗАПИСИ НОВЫХ ФАЙЛОВ
Метод придуман не мной, он подсказан пользователем cook с kpnemo.ru, а позднее найден в нескольких специализированных источниках. Мною же разработан удобный автоматизированный способ его применения, а также (на основании анализа как сильных его сторон, так и уязвимостей) придумано более верное название, а именно "защита от записи новых файлов" (в отличии от менее точного названия в других источниках "защита от записи", не полностью отражающего суть метода).
Защита флешки от записи новых файлов осуществляется путем определения свободного пространства на ней, с последующим полным его заполнением, используя утилиту fsutil. Такой метод отлично подходит, например, для защиты загрузочных флешек (имеющих файл autorun.inf), которые невозможно защитить созданием одноименного каталога AUTORUN.INF.
Для создания такого файла используется команда:
fsutil file createnew <filename> <length>
В итоге на флешке создается примерно следующая структура файлов, заполняющая все свободное место:
После установки на флешку такой защиты, нельзя удалять с нее никаких файлов и каталогов (включая и установочный файл autostop.2.4.exe), иначе защита перестанет действовать.
При необходимости записать что-либо на флешку, удалите один или несколько файлов минимально необходимого размера.
Строго говоря, такой метод нельзя считать полным аналогом аппаратного переключателя "read-only", имеющегося на некоторых видах флешек. Даже если флешка защищена от записи новых файлов описанным методом, вирус имеет возможность создать файл autorun.inf на флешке (даже в случае, если флешка защищена от autorun-вирусов методом создания каталога AUTORUN.INF, а вирус умеет переименовывать этот каталог. Но в этом случае, как говорилось выше, исчезнет красный индикатор) - но вот записать что-либо в этот файл уже не сможет. Таким образом обеспечивается дополнительная степень безопасности флешки.
Следует также заметить, что вирус имеет возможность поразить потенциально уязвимые файлы, уже содержащиеся на флешке, ввиду остатка свободного места (обусловленного кластерностью) выделенного для хранения файла. Но тенденции развития функционала вирусов позволяют говорить о том, что сегодня вирусы все меньше поражают отдельные файлы, а все больше используют уязвимости операционной системы Windows. А скрипт AUTOSTOP предназначен для защиты от autorun-вирусов (которые, как правило, не заражают отдельные файлы) и не претендует на роль "лекарства от всех болезней", но является инструментом, многократно повышающим безопасность системы в целом, за счет значительного уменьшения возможности вирусного заражения через флешки и механизм их автозапуска.
Таким образом, считать такой способ защитой от записи можно только в контексте невозможности создания на флешке непустых новых файлов. Что, как показывает практика, является серьезной мерой защиты от autorun-вирусов.
Как говорилось выше, этот метод отлично подходит для защиты загрузочных флешек (имеющих файл autorun.inf), которые невозможно защитить созданием одноименного каталога AUTORUN.INF.
Вы используете этот скрипт на свой страх и риск. Автор не несет никакой ответственности за возможные последствия использования.
Скрипт AUTOSTOP является бесплатным. Вы можете использовать его в личных целях. Любое коммерческое использование скрипта запрещено. При частичном или полном использовании кода скрипта в своих разработках, обязательно указывать: - автора - Mechanicus - страницу скрипта - http://mechanicuss.livejournal.com/195192.html
Тема защиты флешки все актуальнее и актуальнее, увы.
Создала папку autorun.inf, все как полагается. Неприступная аки Форт-Нокс. Некоторое время все было прекрасно, а потом вдруг обнаруживаю на флешке папку CONFIG. Да не пустую, а со значком корзины и длинным именем файла S-1-какая-то хрень.
Так вот, у меня вопрос: чем опасно появление таких конфигов и, собсно, что делать? Создавать папку CONFIG по образу и подобию autorun.inf ?
Тема защиты флешки все актуальнее и актуальнее, увы.
Создала папку autorun.inf, все как полагается. Неприступная аки Форт-Нокс. Некоторое время все было прекрасно, а потом вдруг обнаруживаю на флешке папку CONFIG. Да не пустую, а со значком корзины и длинным именем файла S-1-какая-то хрень.
Так вот, у меня вопрос: чем опасно появление таких конфигов и, собсно, что делать? Создавать папку CONFIG по образу и подобию autorun.inf ?
Сами эти папки не опасны так-как не могут запуститься без своего autorun.inf(если конечно не запускать их содержимое вручную) Лучше их сразу удалять вручную, либо антивирусом проверять флешку периодически.
Господа,зачем так сложно? Вот батничек: ******************* attrib -a -h -r -s autorun.* del autorun.* mkdir "\\?\%~d0\AUTORUN.INF\LPT3" mkdir "\\?\%~d0\AUTORUN.INF\LPT3\.." attrib +h +s "%~d0\AUTORUN.INF" rd /s /q "\\?\%~d0\RECYCLED" rd /s /q "\\?\%~d0\RECYCLER" type nul>"\\?\%~d0\recycler" type nul>"\\?\%~d0\recycled" attrib +h +s "%~d0\recycle?" *********************** Запускать непосредственно с носителя,который нужно защитить, причем можно даже с уже зараженного. В результате-неудаляемый авторан.инф+отсутствие корзины...
Это сообщение отредактировал Gandalf - 30 окт 2009 в 14:39
есть прога USB guard. при вставке любых носителей с ходу проверяет на всякие autorun.inf и иже с ними. не знаю горя с ней ваще. советую всем
Есть,юзаю на СВОЕМ компе. Хорошая вещь. Но она не защитит твою флешку при вставлении в юсб-порт ЧУЖОГО компа. А это делать иногда приходится,причем подряд в несколько...
Только зарегистрированные и авторизованные пользователи могут оставлять комментарии. Авторизуйтесь, пожалуйста, или зарегистрируйтесь, если не зарегистрированы.
1 Пользователей читают эту тему (1 Гостей и 0 Скрытых Пользователей)
yaplakal.com