Безпека

Autorun.inf

Xfce

Xfce – вільне середовище робочого стола для UNIX-подібних операційних систем, таких як Linux, NetBSD, OpenBSD, FreeBSD, Solaris і т.п. Конфігурація даного середовища повністю управляються мишею, конфігураційні файли сховані від користувача.

Xfce заснована на GTK+ 2 і використовує власний менеджер вікон Xfwm. Xfce втілює в собі традиційну філософію UNIX, а саме концепції модульності й можливості багаторазового використання. Функціональні компоненти винесені в окремі додатки, і користувач має можливість конфігурувати систему оптимальним образом.

Керування томами реалізовано у файловому менеджері Thunar, який можна налаштувати, щоб він виконував:

– автомонтуванння й/або автоматичний перегляд знімних носіїв при підключенні й вставці;

– запуск програм і відкриття файлів на носіях, що підключаються;

– запуск програми запису при вставці чистого оптичного диска;

– відтворення мультимедіа на компакт-дисках, Video CD, DVD й/або портативних плеєрах.

– імпортування фотографій із цифрових камер і/або синхронізація з планшетними комп'ютерами при підключенні.

– запуск зазначеної програми при підключенні принтера, USB клавіатури, миші або графічного планшета.

Autorun.inf – файл, використовуваний для автоматичного запуску або установки додатків і програм на носіях інформації в середовищі операційної системи Microsoft Windows (починаючи з версії Windows 95). Цей файл повинен перебувати в кореневому каталозі файлової системи пристрою, для якого здійснюється автозапуск. Файл ділиться на структурні елементи – блоки. Назва блоків пишеться у квадратних дужках. Опис блоків містить пари параметр → значення.

3.1 Вихідне призначення

Автоматичний запуск додатка дозволив надзвичайно спростити дії користувача при установці й запуску програмного забезпечення й драйверів пристроїв.

3.2 Захист від копіювання

Крім того, деякі фірми, що роблять диски з аудіозмістовним, намагалися застосувати дану технологію для захисту вмісту дисків від копіювання, шляхом автозапуску програми, що перешкоджає копіюванню. Однак відомий випадок поводження даної програми як руткита.

У сучасний час файл autorun.inf широко використовується для поширення комп'ютерних вірусів через flash-накопичувачі й мережні диски. Для цього автори вірусів прописують ім'я файлу, що виконується, зі шкідливим кодом у параметр open. При підключенні зараженого flash-накопичувача Windows запускає записаний у параметрі «open» файл на виконання, у результаті чого відбувається зараження комп'ютера.

Вірус, який перебуває в оперативній пам'яті зараженого комп'ютера періодично сканує систему з метою пошуку нових дисків, і при їхньому виявленні (при підключенні іншого flash-накопичувача або мережного диска) створює на них autorun.inf з посиланням на копію свого файлу, що виконується, забезпечуючи в такий спосіб своє подальше поширення.

У деяких випадках в autorun.inf записується не шлях до файлу, що виконується, вірус повністю заміняє файл своїм кодом у текстовому виді і не вимагає додаткових файлів.

3.3.1 Відключення автозапуску

3.3.1.1 Групова політика (gpedit.msc)

Настроювання автозапуску в груповій політиці перебувають у вітці «Конфігурація комп'ютера – Адміністративні шаблони – Система».

Пункт «Відключити автозапуск» має три значення:

– не заданий;

– включений;

– відключений.

Завдання значення «включений» дозволяє вибрати тип дисків:

– CD-дисководи (включає: невідомі, CD, мережні й знімні диски);

– всі дисководи.

3.3.1.2 Реєстр (гілка HKCU), Policies

За включення й відключення автозапуску для різних типів носіїв відповідають ключі реєстру:

– [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\ CurrentVersion\Policies\Explorer]

"NoDriveTypeAutoRun"=dword:000000ff

– [HKEY_CURRENT_USER\Software\Microsoft\Windows\ CurrentVersion\Policies\Explorer]

"NoDriveTypeAutoRun"=dword:000000ff

Можливі значення даного ключа:

– 0x01 (DRIVE_UNKNOWN) – відключити автозапуск на приводах невідомих типів (тип якого не може бути визначений).

– 0x02 (DRIVE_NO_ROOT_DIR) – відключити автозапуск на дисках яким не призначена буква (не примонтованих у корінь).

– 0x04 (DRIVE_REMOVABLE) – відключити автозапуск знімних пристроїв (дискети, флешки).

– 0x08 (DRIVE_FIXED) – відключити автозапуск НЕ з’ємних пристроїв (жорсткий диск).

– 0x10 (DRIVE_REMOTE) – відключити автозапуск мережних дисків.

– 0x20 (DRIVE_CDROM) – відключити автозапуск CD-приводів.

– 0x40 (DRIVE_RAMDISK) – відключити автозапуск на віртуальному диску (RAM-диск).

– 0x80 (DRIVE_FUTURE) – відключити автозапуск на приводах невідомих типів (майбутні типи пристроїв).

– 0xFF – відключити автозапуск взагалі всіх дисків.

Значення можуть комбінуватися підсумовуванням їхніх числових значень. Припустимі значення ключа NoDriveTypeAutoRun описані в KB967715 (документ microsoft).

Слід зазначити, що заборона автозапуску за допомогою вищенаведеного ключа реєстру не усуває небезпеки зараження комп'ютера. Це пов'язане з тим, що значення ключа впливає тільки на виконання autorun.inf при визначенні системою підключеного носія, але не забороняє виконання при подвійному кліку на значку носія. Таким чином, навіть якщо функція автозапуску відключена, зараження відбувається при спробі користувача відкрити підключений диск для перегляду. Microsoft випустила виправлення, описане в KB967715, яке повністю вирішає дану проблему.

3.3.1.3 Реєстр (гілка HKLM), підміна autorun.inf файлу

Альтернативний, більше радикальний, спосіб заборони обробки autorun.inf:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\

Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]

@="@SYS:DoesNotExist"

По суті він підмінює вміст файлу autorun.inf значенням з реєстру, що навмисно задається порожнім/невірним. Це приводить до того, що якщо на диску і є файл autorun.inf, то він сприймається як порожній.

Зазначений спосіб варто вважати самим надійним. Простий спосіб його використання полягає в створенні відповідного reg-файлу, що запускається на комп'ютері.

3.3.1.4 Реєстр (гілка HKLM), заборона автостарту всіх типів файлів

Можливе рішення заборони автостарту всіх типів файлів (Тільки автостарт, обробка подвійного кліку й контекстного меню буде зроблено):

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\

CurrentVersion\Explorer\AutoplayHandlers\CancelAutoplay\Files]

"*.*"=""

3.3.2 Відновлення Windows

Велика кількість шкідливих програм, що поширювалися за допомогою autorun.inf, змусило корпорацію Microsoft у Windows 7 відключити автозапуск програм для носіїв інформації, що підключаються через порт USB (флешек, картрідерів і ін.). У лютому 2011 року Microsoft випустила відновлення, що відключають автозапуск програм з autorun.inf для Windows XP і Windows Vista. У результаті вже до літа 2011 року число комп'ютерів, на яких були зареєстровані віруси сімейств autorun, зменшилося приблизно на 60%.

3.4 Структурні блоки файлу

3.4.1 Блок [autorun]

Дата добавления: 2014-01-04