Избавляемся от вирусов с чужих флэшек

Идея 03, Иван Полежаев

Оценка редколлегии МН — 3, 5, 3, 4, 3 (18 баллов).

Отключим автозапуск через стандартные политики Windows и убедимся, что автозапуск не работает. Проведем эксперимент, создав на флэшке autorun.inf с текстом:

[autorun]

open = calc.exe

shell\Open\Command=calc.exe

shell\Open\Default=1

shell\Explore\Command=calc.exe

shell\Autoplay\Command=calc.exe

Во время монтирования девайса ничего не запускается. Но, нажав два раза на значок носителя, видим, что калькулятор запустился. Будем исправлять!

1. Правим ключ реестра, отвечающего за запуск с CD. Переходим в ветку HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Cdrom. Находим параметр AutoRun ,устанавливаем его равным нулю.

2. Идем в раздел HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\polices\Explore. Создаем новый ключ NoDriveTypeAutoRun типа dword и задаем значение ff в шестнадцатеричной системе. Так же можно сделать и в ветке HKEY_CURRENT_USER, но они игнорируются.

3. Ищем HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\IniFileMapping\Autorun.inf. Присваиваем значение (типа REG_SZ) — @SYS:DoesNotExist. Теперь Windows считает autorun.inf конфигурационным файлом древних программ, разработанных для ОС, более ранних, чем Windows95, использовавших ini-файлы для хранения своей конфигурации. Символ @ блокирует чтение файла ini, a SYS является псевдонимом для краткого обозначения HKEY_LOCAL_MACHINE\SOFTWARE.

4. Ищем раздел HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\CancelAutoplay\Files и создаем строковой параметр типа REG_SZ с названием *.*. Теперь файлы не будут запускаться автоматически.

5. Также для системы существует возможность обходить заданный запрет на автозапуск съемных носителей через ключ MountPoints2 в реестре. Поэтому надо полностью удалить все ключи MountPoints2, которые вы находите в реестре. Ищем HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2 и в политике пользования запрещаем доступ всем — пользователям и администраторам. Затем следует перезагрузить компьютер. Ключи заново создаются, но уже чистыми. Задайте вашему монитору реестра, чтобы он следил за новыми, чистыми ключами MountPoints2, которые будут в результате. И желательно, чтобы он БЛОКИРОВАЛ доступ туда по умолчанию.

Также можно использовать для защиты FlashGuard. Эта утилита следит за появлением сменных накопителей. При обнаружении нового диска предлагает:

- удалить добавленные файлом autorun.inf пункты контекстного меню;

- информировать о наличии файла на диске;

- удалить autorun.inf;

- удалить все файлы autorun.*.