請問一下USB病毒之防範

[QUOTE=FYI;1018975]中國網友也曾提出修改Shell32.dll, 將Autorun.inf 改掉, 再覆蓋回Windows, 達到不執行Autorun.inf 的目的, 這也是小弟先前誤認Shell32.dll 是禍首的原因

其次, BlueFang 網友所介紹在卸除式磁碟建立無法刪除或變更的Autorun.inf (FAT16/FAT32), 方法是從磁碟的Directory Table 找到 "AUTORUN INF" 進入點, 然後將第12 個位元組, 也就是檔案屬性(00ADVSHR), 原來是0x20, 代表Archive, 改成0xE5 或0xE2, 按照小弟的實驗, 以上技巧在於設定[B]未定義(公開)的位元(Bit6, Device)[/B], 導致作業系統無法存取Autorun.inf (存取被拒), 這個方法不但可以愚弄Windows XP, 也可以通過磁碟檢查, 這就達到[B]為卸除式磁碟打預防針[/B]的目的, 實在是一個聰明的辦法, 當然結果並非完全免疫, 而是免於自動執行, 操作步驟如下:
[list=1][*]以記事本在隨身碟(或外接式硬碟)建立一個檔案長度為零的 "AUTORUN.INF" (大寫)[*]開啟 [URL="http://www.pczone.com.tw/thread/67/139107/"]Tiny Hexer[/URL][*]點選 "File -> Disk -> Open drive..."[*]選擇卸除式磁碟代號, "Load" 輸入 "64" -> OK, 數字愈大, 讀取愈快[*]按下 Ctrl-F, 輸入 "AUTORUN INF " (有兩個空格), "Find text" 打勾, 點擊 "Find"[*]點擊 "Yes to [U]A[/U]ll"[*]找到目標後, 以32 位元組為單位(邊界), 確認檔名起始於第一個位元組, 且最後六個位元組為零[*]紀錄標題所顯示的 "sectors" 起始位置[*]關閉檔案, 重新載入, "Load" 輸入 "1", "First sector" 輸入以上起始位置 -> OK[*]找到目標後, 將 "AUTORUN INF " 改成 "AUTORUN INF[B]@[/B]"[*]儲存並退出隨身碟[*]重新插入隨身碟, 嘗試讀取, 更名或刪除 "AUTORUN.INF"[/list]
以上方法是針對已知媒體打預防針, 若本機插入陌生人的隨身碟, 則仍有中毒之虞, 故本機仍應預先做好防毒之準備

[URL="http://en.wikipedia.org/wiki/8.3_filename"]8.3 filename - Wikipedia, the free encyclopedia[/URL][/QUOTE]

有这两条就基本够用了。
病毒的两个载体都有了防范，一个是PC，一个是U盘。
当然世事不尽如人意，对于NTFS或者其他文件系统的U盘，目前没有比较保险的方法，NTFS可以通过设定权限来拒绝病毒的存取，不过有网友报告说此种方法已被突破。

嗯~防範?!我想要徹底的防範可能比較難一點，因為現在資訊環境的方便，也造就了許多資訊安全的問題，USB就是目前資訊管理人員比較頭痛的地方，像有些公司為了避免此問題，公司所有電腦的USB裝置都停用，來達到USB病毒的防範，不過還是有些方法可以參考參考：
如果已經中毒了，最近趨勢官網有提供iclean(解毒快手)，聽說是把病毒刪掉後，還會建立隱藏資料夾，來預防後續相同的病毒寫入，病毒刪掉了也有預防的效用
官網：[url]http://www.trendmicro.com/download/zh-tw/product.asp?productid=56[/url]
如果沒中毒的，可以試試趨勢的WTP Add-On，這可以主動防範惡意網站，在你上網就主動攔截惡意網站不讓你開啟，
[url]http://tw.trendmicro.com/tw/products/enterprise/wtp/index.html[/url]
再來就是使用者自己的使用習慣了，人家常說的防毒軟體只能防範80%的威脅，剩下的就靠使用者自己的使用習慣了:o

別想太多，關掉USB的自動撥放
這是一定要做的

google搜尋字串：「關閉 usb 自動播放」
可以找到各種教學

禁用Shell Hardware Detection 服務即可

我都會再打開隨身碟前先掃毒一次

我用的防毒是諾頓2009

他有內建防火牆

應該可以擋下來

[QUOTE=DS;1015822]gpedit.msc
系統管理範本、系統、關閉自動播放[/QUOTE]

Ho~~ Ho~~
其實只有專業版才能做到喔~
家用版可不行啊~

其實有個最終極的方法，就是使用"非Windows"系統啦~!
我用Linux開機，進入桌面後將隨身碟插入電腦，不久之後會在桌面上顯示出隨身碟的圖案(前提，隨身碟的磁區不可為NTFS，Linux不支援)，再按兩下，進入隨身碟!(好流暢!)其實世界上大部分病毒在Linux系統中是無法執行的，表示說...病毒對Linux沒有用!進入隨身碟後只要將相關的病毒檔案刪除(如: *.com、*.exe、autorun.inf等)，之後，解毒完成!!!

真的是又簡單又方便呢!~

總還是有人會忘記不要雙擊磁碟機代號, 所以小弟又回頭找尋比較適合一般人, 但又不會犧牲太多功能的方法, 想來想去, 還是回到先前這個方法:
[QUOTE=FYI;1018836][INDENT][URL="http://nick.brown.free.fr/blog/2007/10/memory-stick-worms.html"]Nick Brown's blog: Memory stick worms[/URL][/INDENT]
也就是你所要的答案, 讓Windows (csrss.exe) 把Autorun.inf 視為單純的安裝資訊檔, 而不是自動執行檔, 也就不會自動執行[/QUOTE]
[B]NOAUTRUN.REG[/B]
[CODE]REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]
@="@SYS:DoesNotExist"[/CODE]
然後再參考[URL="http://www.pczone.com.tw/post/1016010/13/"]#13[/URL] 加上限制 "NoDriveTypeAutoRun"

[B]DisableAutorun.reg[/B]
[CODE]REGEDIT4

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoDriveAutoRun"=-
"NoDriveTypeAutoRun"=-

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer]
"NoDriveAutoRun"=-
"NoDriveTypeAutoRun"=dword:000000ff

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoDriveAutoRun"=-
"NoDriveTypeAutoRun"=-

[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\CDRom]
"Autorun"=dword:00000000[/CODE]
既然關閉自動執行, 那麼副作用就是插入安裝光碟不再自動執行, 必須自行檢視Autorun.inf 內容, 以便找到安裝程式的儲存位置

此外, 停用 "[B]Shell Hardware Detection 服務[/B]" 雖然更徹底, 但小弟擔心影響太廣, 所以暫時沒考慮, 至於 "MountPoints2", 小弟已經於[URL="http://www.pczone.com.tw/thread/28/141062/2/#post1016350"]#23[/URL] 實驗過, Autoplay 仍有效

預防隨身碟病毒,只要改mountpoints2機碼的權限是有效的,修改後開啟隨身碟,autorun.inf根本不起作用,即使仍有自動撥放功能亦是.

插入隨身(硬)碟的目的就是要使用它,把自動撥放機制關了,從我的電腦或檔案總管點入,一樣會啟動autorun.inf內指定的惡意程式

檔案總管點入會啟動隨身碟病毒嗎？

[QUOTE=quell;1058824]檔案總管點入會啟動隨身碟病毒嗎？[/QUOTE]
先前文章有提到，點兩下才能展開目錄的就會去跑:mummy:
如果點一下就展開就不會

有個程式叫『AutoGuarder』可以把系統中的自動播放完全關閉，但是我建議用TweakUI。

個人是不用這些程式，直接套用微軟的更新+防毒軟體+開防火牆而已，因為光碟的自動播放功能很重要，關了實在是不方便！

[QUOTE=doomcat;1060891]先前文章有提到，點兩下才能展開目錄的就會去跑:mummy:
如果點一下就展開就不會[/QUOTE]


那如果先點1下右鍵,先進行virus防護掃描,確認無virus感染後,再開啟卸除式硬碟來讀取pen drive的資料

這樣中毒的機率會多大??[COLOR="Magenta"][/COLOR]

[QUOTE=tai2;1063790]那如果先點1下右鍵,先進行virus防護掃描,確認無virus感染後,再開啟卸除式硬碟來讀取pen drive的資料

這樣中毒的機率會多大??[COLOR="Magenta"][/COLOR][/QUOTE]
你如果能確定你用來掃描的防毒能100％掃到，當然中毒機率就低囉～

[URL="http://antbsd.twbbs.org/~ant/wordpress/?p=1591"]Release Wow! USB Protector & Wow! USB VirusKiller 0.80 « Ant[/URL]

[URL="http://www.ithome.com.tw/itadm/article.php?c=47219&s=1"]iThome online :: 天啊！我的隨身碟又中毒了[/URL] (2008-01-21)
[INDENT][IMG]http://www.ithome.com.tw/img/94/47219_1_2_l.jpg[/IMG][/INDENT]

看到了這篇，突然想到

如果中了這個病毒後，病毒會對電腦做什麼動作、上傳哪些檔案到遠端伺服器？

[QUOTE=lenbo;1015833]聽說自己先做一個autorun.inf設唯讀放在隨身碟中，能防KAVO感染？[/QUOTE]

這個方法我有用過，無效:jump2:

[QUOTE=changbsd;1083574]這個方法我有用過，無效:jump2:[/QUOTE]

咦?真的?

但我.......覺得有效啊。

[QUOTE=noeleon930;1083590]咦?真的?

但我.......覺得有效啊。[/QUOTE]

我之前也是這樣做建立一個唯讀的autorun.ini，直到某天去使用電腦教室的電腦
還是有中毒了隨身碟病毒，之前建的已經被強制覆蓋過去
就確定這方法已經無效了:cry:

[QUOTE=changbsd;1083627]我之前也是這樣做建立一個唯讀的autorun.ini，直到某天去使用電腦教室的電腦
還是有中毒了隨身碟病毒，之前建的已經被強制覆蓋過去
就確定這方法已經無效了:cry:[/QUOTE]

應該要建立唯讀的autorun.in[COLOR="Red"]f[/COLOR]資料夾吧?
好像不是.ini呢~^^

假如還是被覆蓋......應該是程式中有設定說發現是唯讀性質的話，
就先去除唯讀性質(程式一定辦的到)，再刪除，真麻煩呢。

最好的辦法應該就是把自己的電腦設成沒有"自動播放"(像我是從群組原則改的)，
這樣子，至少不會啟動autorun。

要刪除病毒的話，就用"壓縮軟體"或者"檔案總管"(不能按到自動播放喔)進去隨身碟，
刪除你沒看過的檔案或資料夾，完成。

像我用Linux就沒有任何問題，用了6年沒中毒過。

[QUOTE=noeleon930;1083639]應該要建立唯讀的autorun.in[COLOR="Red"]f[/COLOR]資料夾吧?
好像不是.ini呢~^^[/QUOTE]


是inf沒錯，打錯字
但是我用過真的還是中毒了
:cry:

[URL="http://www.petri.co.il/disable_writing_to_usb_disks_in_xp_sp2_with_gpo.htm"]Disable Writing to USB Disks with GPO[/URL]
[URL="http://www.windowsitpro.com/article/usb/q-how-can-i-set-usb-devices-to-read-only-via-group-policy-.aspx"]Q. How can I set USB devices to read-only via Group Policy?[/URL]
[URL="http://blog.soft.idv.tw/?p=279"]讓隨身碟也能防寫的小工具 | ㊣軟體玩家[/URL]

[QUOTE=changbsd;1083627]我之前也是這樣做建立一個唯讀的autorun.ini，直到某天去使用電腦教室的電腦
還是有中毒了隨身碟病毒，之前建的已經被強制覆蓋過去
就確定這方法已經無效了:cry:[/QUOTE]
若Autorun.inf 能被覆蓋或刪除, 那就變成 "[B]唯[COLOR="Red"]毒[/COLOR][/B]" 了! 你若有辦法輕易拿掉唯讀旗號再刪除, 那麼病毒當然也可以, 正確操作步驟請看[URL="http://www.pczone.com.tw/thread/28/141062/4/#post1018975"]#40[/URL], 限FAT16/FAT32
[QUOTE=FYI;1058392]總還是有人會忘記[B]不要雙擊磁碟機代號[/B], 所以小弟又回頭找尋比較適合一般人, 但又不會犧牲太多功能的方法, 想來想去, 還是回到先前這個方法:
[QUOTE=FYI;1018836][INDENT][URL="http://nick.brown.free.fr/blog/2007/10/memory-stick-worms.html"]Nick Brown's blog: Memory stick worms[/URL][/INDENT]
也就是你所要的答案, 讓Windows (csrss.exe) 把Autorun.inf 視為單純的安裝資訊檔, 而不是自動執行檔, 也就不會自動執行[/QUOTE]
[B]NOAUTRUN.REG[/B]
[CODE]REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]
@="@SYS:DoesNotExist"[/CODE][/QUOTE]
或許資訊太多, 所以網友抓不到重點, 提防隨身碟病毒, 一是防止透過隨身碟傳染給他人, 二是防止被他人的隨身碟所傳染, 前者只能靠防毒軟體, 後者則可以靠禁止 "自動執行Autorun.inf" (非自動播放) 達到初步防範, 這也是小弟先前所提過的修改登錄檔, 此舉還能避免雙擊磁碟機代號而導致不小心自動執行Autorun.inf, 不過此舉不能防止網友執行郵件裡的附件或隨身碟裡的檔案, 早晚有一天, 病毒執行時會把Autorun.inf 改回原有的功能, 以便增加感染的機率, 所以如果你已經參照以上方法禁止自動執行Autorun.inf, 但發現Autorun.inf 又被啟用, 那麼你肯定又中毒了

[URL="http://www.raymond.cc/blog/archives/2008/04/22/stop-windows-from-executing-instructions-found-in-autoruninf/"]Stop Windows From Executing Instructions Found In AUTORUN.INF | Raymond.CC Blog[/URL]

將相關的知識寫入維基百科
[url]http://zh.wikipedia.org/wiki/AutoRun[/url]

有錯誤請指教（其實直接在維基百科修改比較快）！