| cyqdesign |
2007-01-12 12:41 |
U盤(auto病毒)類病毒分析與解決方案
轉(zhuǎn)載于數(shù)據(jù)安全實(shí)驗(yàn)室 (DSW Lab Avert 小組) ; okFm
y1R 53u`;L
U盤病毒簡(jiǎn)述: !4-B
xeNY\
U盤(自動(dòng)運(yùn)行)類病毒(auto病毒)近來非常常見,并且具有一定程度危害,它的機(jī)理是依賴Windows的自動(dòng)運(yùn)行功能,使得我們?cè)邳c(diǎn)擊打開磁盤的時(shí)候,自動(dòng)執(zhí)行相關(guān)的文件.目前我們使用U盤都十分頻繁,當(dāng)我們享受U盤所帶來的方便時(shí),U盤病毒也在悄悄利用系統(tǒng)的自動(dòng)運(yùn)行功能肆意傳播,目前流行的 U盤病毒文件大家甚至耳熟能詳了,比如經(jīng)常有網(wǎng)友問的SSS.EXE SXS.EXE如何查殺這類的,下面我們將對(duì)U盤病毒極其特性和防范辦法進(jìn)行分析總結(jié). rX*4$d0
S@i* +&Ot
二、特性分析: k(1]!c4J0
所謂的自動(dòng)運(yùn)行功能是指Windows系統(tǒng)一種方便特性，使當(dāng)光盤、U盤插入到機(jī)器自動(dòng)運(yùn)行，而這種特性的實(shí)現(xiàn)就是通過磁盤跟目錄下的 autorun.inf文件進(jìn)行。這個(gè)文件保存在驅(qū)動(dòng)器的根目錄下(一般會(huì)是一個(gè)隱藏屬性的系統(tǒng)文件)，它保存著一些簡(jiǎn)單的命令，告知系統(tǒng)新插入的光盤或 U盤應(yīng)該自動(dòng)啟動(dòng)什么程序等。
L,#ij!txS
0'y9HE'e
常見的Autorun.inf文件格式大致如下： gwE#,OY*
Ut:>'TwG
[AutoRun] //表示AutoRun部分開始，必須輸入 X,VOKj.%
icon=C:C.ico //指定給C盤一個(gè)個(gè)性化的盤符圖標(biāo)C.ico zf-)c1$*r
open=C:1.exe //指定要運(yùn)行程序的路徑和名稱，只要在此放入病毒程序就可自動(dòng)運(yùn)行； gyi<ot;
x +Vp&
在Windows系統(tǒng)有允許和阻止自動(dòng)運(yùn)行的鍵值的方法： d`]| i:*q
\|
qr&(PG
在注冊(cè)表中找到如下鍵： E>|[@Z
?K , xxH
鍵路徑：[HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesExploer] &K2J $(.t
y<r7_ysi
在右側(cè)窗格中有 "NoDriveTypeAutoRun"這個(gè)鍵決定了是否執(zhí)行Autorun功能.其中每一位代表一個(gè)設(shè)備,不同設(shè)備用以下數(shù)值表示: USF&;
| |