autorun

[yurik2000]

Для того чтобы ничего не записалось на флешку достаточно, не оставлять на ней свободного места :)

[DeathMan2k4]

не оставлять на ней свободного мест »
ну это не риально просто !

[MKN]

Есть интересная программка DriveSentry GoAnywhere http://www.drivesentry.com/AntiVirus-Firewall-gofeatures-for-computers-and-removable-media.html
Компания DriveSentry выпустила GoAnywhere - средство защиты данных на сменных носителях, таких, как сотовые телефоны, MP3-плееры, USB-Flash накопители и прочие подобные вещи. По словам разработчиков, программа надежно защитит устройства от заражения вредоносным ПО, независимо от того, какая операционная система установлена на пользовательском персональном компьютере.

GoAnywhere умеет идентифицировать приложения, пытающиеся получить доступ к носителю, и, в зависимости от того, распознается ли это приложение как опасное, может запретить ему доступ к носителю. Пользователь будет уведомлен о попытках доступа, которые предпринимаются подозрительным файлом или приложением, отсутствующим в базе данных.


Попутно интересует вопрос организации автозапуска какой либо программы с флэшки после её подключения.

Не предлагаемый выбор запуска этой программы в появляющимся окне в классичечком случае, например :
[AutoRun]
open=DrWeb\drweb32w.exe
icon=DrWeb\drweb32w.exe

shellMenu1=Launch "DrWeb"
shellMenu1command="DrWeb\drweb32w.exe"
action="DrWeb"
UseAutoPlay=1

а сразу запуск программы!

Решение для единичного компа известно, но не преемлемо, т.к. флэшка подключается к множеству разных машин.

[VitRom]

Вспомнились недавние копания в этой области... В общем, есть и ещё один способ, сработает % на 80 флешек :) Только руки нужно иметь... ну очень прямые :) -- я не потянул, даже браться не стал :(

Во "флешке" кроме usb разъёма и самой флеш-памяти есть ещё и контроллер. Он рулит чипом памяти и разруливает обмен по usb шине. Однажды от безделья я расковырял штук 5 разных "новых" (без "замочка") флешек (дохлых или просто механически сломанных), выписал маркировки контроллеров и поспрошал у знакомых даташиты на них.

А результат таков:
На 5 флешек -- 4 контроллера. С учётом мелких модификаций -- 2 типа.
На всех 5 есть несколько незадействованных ног.
У всех 2 типов есть спец. нога для логич. сигнала WRITE_DISABLE.
На всех 5 эта нога среди незадействованных.

Ну или может наоборот (не помню уже) -- нога для сигнала ENABLE, и задействована "напрямую", т.е. просто припаяна к печатке, безо всяких переключателей -- суть от этого не меняется.

Т.е. всё "очень просто" -- разобрать флешку, отпаять ногу, впаять в разрыв переключатель (или вообще две проволочки отвести, и скручивать их между собой по необходимости :wink: ), и собрать всё снова. :o

[DmB89]

Есть интересная программка DriveSentry GoAnywhere »
Попробовал я её... :spiteful: Моё сугубое ИМХО - чушь полная! :drug: Вот их заверения с сайта (http://www.drivesentry.com/AntiVirus-Firewall-gofeatures-for-computers-and-removable-media.html): DriveSentry GoAnywhere will automatically launch from a USB device or portable media when it is inserted into any system. Вкратце смысловой перевод - "Наша прога автоматически запустится при подключении USB устройства к любой системе."
На практике этого, разумеется, не произошло. Чуда не случилось! Программа запускается, как и авторановские вирусы, при двойном клике по иконке USB-устройства.
Зато я был неприятно удивлён тем, что папку на флэшке с именем Autorun.inf эта прога автоматически переименовала, и даже не пискнула! Это не то чтоб в минус программе, но наводит на мысли, что скоро и вирусы таким трюкам обучатся... ...если уже не обучились... :o
Рассматриваем программу далее. Я уж было подумал - а может у меня система защищена слишком хорошо? :biggrin: Поотключал все твики, связанные с автораном, перезагрузился, проверил - всё работает как положено... ...кроме этой программы!
Поскольку автоматом эта вешчь не запускается, вопреки заверениям авторов, то смысла в ней ну ровным счётом никакого! Поясню. Рассмотрим для примера "работу" вируса OnLineGames (терминология avast!). При загрузке системы запускается файл amva.exe, который постоянно мониторит систему на предмет подключившихся дисков. Как только произошло подключение - тут же в корень диска записывается .bat или .com файл плюс autorun.inf!
Таким образом, вставив свою "защищённую" флэшку в заражённый компьютер, вы её тут же заражаете, и при попытке открытия (двойной щелчок) - у вас запускается НЕ DriveSentry GoAnywhere, а ВИРУС!
Прочие аспекты работы программы рассматривать уже не имеет смысла.
P.S. И самое главное - за неё ещё и денег просят! :angry2:

VitRom, я конечно, электронщик... Но ТАКИМ :o геморроем я бы точно не стал заморачиваться! :swoon:

[VitRom]

:) И я о том же :o Хотя на самом деле всё очень несложно -- если иметь флешку, на внешний вид (и вообще корпус) которой ваще глубоко плевать (и при этом исправную) :) Ноги эти почти везде легко доступны -- с корпусами вот беда, "одноразовые" они :o потом, после вскрытия, только что выкидывать, а фляжку целиком эпоксидкой заливать - типа моддинг :)

DriveSentry тоже попробовал сегодня. Правда, у меня оно запускалось :) Итоги:

0. После старта свою работу делает :) НО
1. Стартует ч-з Автоплей (а на 2000 -- только ручками, даже в мане сказано)
2. При работе всегда(!) перед запросом юзера несколько сек пытается проверить файло по ихней "community database"
3. По принципу работы -- просто обрезанный HIPS. При первом старте ставит в систему, где стартует, пару драйверов(!) и добавляет элемент в Winlogon Notify(!). Обе этих вещи меня вообще прибили (даже без учёта того, что современные червяки умеют эти "перехватчики" обходить). Плюс хранение базы разрешённых прог рядом с собой и постоянная модификация её, что жизнь фляжки не продлит.

Вердикт тот же: "Полное Гэ"

[archiv@rius_31]

Доброго времени суток всем!
О своем способе защиты уже писал на форуме softoroom.net (http://softoroom.net/topic49245.html?st=0#entry296310), зашел сюда, вижу, тут тоже эту тему обсуждают.

Написал собственный архив, содержащий autorun и лекарство от вируса, качаем.
Во время автозапуска запускается скрипт, открывающий корневую папку, запускающий лекарство и, в случае необходимости, автоматически гасящий автозапуск в настройках винды.
Полностью защищает флэшку и, в дальнейшем, комп от "автозапускающихся" вирусов.
Защищает флэшку путем перевода файловой системы на ней в NTFS (только не баловаться с плеерами, фотиками и мобилами) и размещения на ней своего файла autorun.inf

ZIP-архив распаковывается на флэшку, в корень. Далее читаем вложенную инструкцию.

Таким образом можно не только защититься самому, но и помочь другим, к кому с флэшкой пойдете.
Лично у меня на работе просто эпидемия этих аффтаранофф!!! Но ни один в наш отдел и ко мне на комп еще не пролез. А если и записываются на флэшку, то запуститься все равно не могут, поскольку autorun.inf указывает на другой файл. К тому же глушатся автозапускаемой лечилкой. А я уже удаляю все оставшееся (если еще встречается).

Качаем отсюда:
http://rapidshare.com/files/169794616/anti_autorun.zip.html
http://slil.ru/26395944
http://webfile.ru/2441121

[volk1234]

Давно сам мучался защитой флэшки от autorun- вирусов, бо работа такая- 250 компов по городу, и не везде есть CDROM, флоп не говоря уже про сеть. Вот мой вариант, правда я не считаю его выходом. Создал скрытый диск с файловой системой NTFS с помощью Rohos диск. Оставил открытым диск на пару метров - дабы оттуда запускался Rohos и открывал основной диск. На открытом диске создал папку Autorun.inf и забил остаток пустого места мусором. Пока ничего не пробралось. При автозапуске флэшки заражение произойти не может - нет места.
На всякий пожарный сделал тамже копию в архиве Rohos_mini.exe- от вирусов заражающих exe, хотя повторюсь цель защита от autorun -вирусов.
Пока не пролез ни один. Понимаю, что это не панацея, да и использовать эту флэшку как загрузочную и в ОС отличных от XP - неполучится,
но больше ничего в голову не приходит

[Enforcer2K]

Мдя... Если хотите быстро и весело угробить флэшку - форматируйте ее в NTFS. Поскольку NTFS - журналируемая система, при каждой операции с диском (доступ к файлу, чтение, запись) в одно и то же место на флэшке будет писаться лог. В итоге - смерть флэшки. =)

Единственное рабочее решение - антивирус типа SEP 11, он позволяет блокировать запуск программ со съемных накопителей НА УРОВНЕ ДРАЙВЕРА.

[Котяра]

Вирус, конечно, надоедливый :angry2:
Решение проблем - отключить автозапуск, да так чтобы и левая кнопка мыши тоже на запускала. И включить показ скрытых файлов и удалять вирус с флешки. Запретить ему туда лезть со стороны флешки нельзя, вернее, можно, но не нужно, проще удалять.

[ShaddyR]

Во время автозапуска запускается скрипт, открывающий корневую папку, запускающий лекарство и, в случае необходимости, автоматически гасящий автозапуск в настройках винды. »
Чудесно. Моделируем ситуацию, описанную DmB89 парой постов выше:
1) вставляем флешку с новомодной защитой.
2) Рассмотрим для примера "работу" вируса OnLineGames (терминология avast!). При загрузке системы запускается файл amva.exe, который постоянно мониторит систему на предмет подключившихся дисков. Как только произошло подключение - тут же в корень диска записывается .bat или .com файл плюс autorun.inf! »
3) после этого происходит.. точно-точно, запуск того, что указано в авторан.инф.. только что замененном вирусом.

archiv@rius_31: я что-то пропустил? Заодно - зачем в NTFS переводить-то? Мало того, что сказал Enforcer2K? Или мы потом по модному права на авторан.инф предполагаем настроить? так это мы уже проходили, сам на этом попался... полистай с начала темы.

[WampiR007]

ребят давайте жить дружно... есть выход - ща продаются флешки для мобил (microSD), так вот - с ними в комплекте идут переходники на SD с переключателем lock<->unlock... к такой флешке докупаем usb картридер - по внешним габаритам он не на много больше флешки - чуть поболее моего корсара.
цена комлекта из 4-х ГБ флешки + картридера - около 500-600 рублей, я себе взял на 2ГБ и не жалуюсь - набор дров, антитварь, да пара мелких софтин
ps. по скорости не уступает простой флешке
pps. я живу в Кемерово

[andrew71]

Жить дружно давайте всегда, тем более, что этот раздел благодаря усилиям Pili - один из самых результативных.

Но не вдаваясь в подробности, всё-же отмечу:
Самый простой способ обезопаситься от autorun.inf это создание одноимённого каталога в корне Flash диска
с атрибутами Read only, Hidden, System.

О чём НЕОДНОКРАТНО писалось в различных разделах форума.

В данном случае если Вы и цепляете вирус на флешку, autorun.inf на неё не записывается, и в любой ситуации, автозапуск не происходит!

Наличие на флешке остального вирусного хлама можно почистить даже без антивируса, имея невысокую квалификацию.

[Enforcer2K]

это создание одноимённого каталога в корне Flash диска »
andrew71, что помешает вирусу удалить эту папку? Ответ: ни-че-го! =)

[Pili]

Тема перенесена из лечения, т.к. логов в ней не ожидается.

По теме читаем
Как отключить автозапуск со съемных носителей (http://forum.oszone.net/showpost.php?p=825101)

Повторю ещё раз

Скопируйте приведенный ниже текст в блокнот и сохраните файл как noautorun.reg, примените.
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom]
"AutoRun"=dword:00000000

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer]
"NoDriveTypeAutoRun"=dword:000000ff

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]
@="@SYS:DoesNotExist"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\CancelAutopla y\Files]
"*.*"=""

или распакуйте файл AutorunDisabled.zip (http://forum.oszone.net/attachment.php?attachmentid=22467&d=1235631741) и примените reg файл

Скачайте Flash Drive Disinfector (http://www.techsupportforum.com/sectools/sUBs/Flash_Disinfector.exe) и запустите утилиту (не забудьте подключить флешки и/или другие съемные носители) - утилита создает на дисках папки с именем autorun.inf (папка будет содержать файл lpt3.this folder was created by flash_disinfector), это предотвратит запись на диски и съемные носители файлов autorun.inf

что помешает вирусу удалить эту папку? Ответ: ни-че-го! »
Если примените Flash_Disinfector - то отстутствие прав поользователя (включая администратора) на папку + наличие файла в папке lpt3.this folder was created by flash_disinfector, теоретически зловред может вернуть права, для этого ему надо работать с правами system, но таких зловредов пока ещё в природе не встречал.

[Enforcer2K]

Pili, проверю в понедельник на работе. Дома семерка стоит просто. Но я более чем уверен, что обойду эту защиту. =)

[andrew71]

Enforcer2K, согласен!

Но!
Назовите хоть один вирус, снимающий атрибуты с папок, я пока, таких не знаю. Появятся, будут другие пути решения.
В данной ситуации может лучше просто действовать? Как Вы считаете?

[Enforcer2K]

В данной ситуации может лучше просто действовать? Как Вы считаете? »
Да, тут согласен на все 100% Правда, как я уже ранее писал, SEP 11 умеет блокировать запуск программ со съемных носителей на уровне драйвера, и эту защиту уже ни один троян или руткит не обойдет.

[Pili]

Но я более чем уверен, что обойду эту защиту. »
Естественно обойдете, там для админа и обходить нечего - стандартно возвращаются права на папку для себя, снимаются атрибуты, затем папку можно удалить (FAR и без снятия атрибутов удалит или del с опциями)
Перед запуском Flash Drive Disinfector не забудьте отключить антивирус.
Если под "обходом защиты" подразумеваете написание зловреда, который
1. удаляет autorun.inf от утилиты;
2. записывает свой файл autorun.inf и тело зловреда на флешку;
3. заражает другой компьютер, на котором отключен автозапуск по методике выше (т.е. применен noautorun.reg и на дисках есть папки autorun.inf от утилиты Flash Drive Disinfector.
То, имхо, очень много вирусописателей к вам обратятся в ПМ за технологией применяемой в пункте 3 :))

[Enforcer2K]

Pili, andrew71, похоже, Мелкомягкие наконец стали умнеть! =) http://support.microsoft.com/kb/967715

Так что теперь достаточно рубануть автозапуск через групповые политики. Аллилуйа, братья! =)))