避免隨身碟病毒隻需 1 招 Written by 曾義峰自由軟體鑄造場 Friday, 14 March 2008 「為什麼安裝瞭防毒軟體還是會中隨身碟病毒？」「網路上有很多避免避免隨身碟病毒，隻需 1 招

發表日期 2008-07-12T17:24:11+08:00

facebook linkedin mastodon messenger pinterest reddit telegram twitter viber vkontakte whatsapp 複製鏈接

趣味新聞網記者特別報導 : 避免隨身碟病毒，隻需 1 招 Written by 曾義峰自由軟體鑄造場 Friday, 14 March 2008 「為什麼安裝瞭防毒軟體還是會中隨身碟病毒？」「網路上有很多避免 .....

避免隨身碟病毒，隻需 1 招
Written by 曾義峰自由軟體鑄造場 Friday, 14 March 2008
「為什麼安裝瞭防毒軟體還是會中隨身碟病毒？」

「網路上有很多避免隨身碟病毒的方法，真的有效嗎？」

「網友推薦多套防隨身碟病毒的軟體，哪一套最好用？」

在討論上述疑問之前，有必要先說明隨身碟常見的誤解。隨身碟正式的全名為「可攜式儲存設備」(Removable storage device)，

包含姆指碟、行動硬碟、記憶卡 (如 SD、CF 卡)、數位相機、數位 MP3 播放器、數位行動電話等設備。

所以並不是隻有姆指碟是隨身碟，以上這些設備也都有感染隨身碟病毒的風險。

隨身碟病毒利用隨身碟攜帶方便的特性，交互感染受害電腦，以竊取敏感資料，影響範圍包含信用卡資料 [註1]、遊戲帳號與密碼 [註2] 或其它重要資訊等。從近年來的資訊安全新聞中發現，雖然防毒軟體的技術不斷進步，但是更新速率仍然不及日新月益的變種與新型態的病毒，這使得防毒軟體的偵測率趕不上病毒的演化。

筆者整理瞭近年隨身碟病毒重大新聞如下：

- 2006 年 10 月，防毒軟體廠商 F-Secure 發布日本麥當勞齣廠 1 萬台含有隨身碟病毒的 MP3 播放器的新聞 [註3]。
- 2007 年 3 月，資訊安全網站 Zone-H 發布隨身碟病毒再度流行的警訊 [註4]。
- 2007 年 5 月，防毒軟體廠商 Sophos 發布隨身碟病毒嚴重肆虐的新聞 [註5]。
- 2007 年 11 月，Business Journal 發布隨身碟病毒對企業機密檔案的潛藏風險報告 [註6]。

當防毒軟體不再能夠保證電腦安全時，網路上紛紛齣現專門處理隨身碟病毒的錦囊與軟體。然而這些錦囊是否有效？或這些軟體之中，哪種最好？接下來會與讀者一起驗證錦囊，並於最後推薦開放源碼的隨身碟防毒軟體－ Wow! 隨身碟防毒係列，隻需此招便可讓電腦遠離隨身碟病毒。

◎ 破解網路流傳的防毒錦囊

錦囊一：建立 Autorun.inf 的唯讀資料夾

隨身碟病毒的感染與 Autorun.inf 檔案的內容有關。於是有人建議在隨身碟內建立 Autorun.inf 的唯讀資料夾，則可避免隨身碟感染病毒。

這個方法目前適用於大多數的隨身碟病毒，而且成效不錯。但是若往後的病毒有解除唯讀並刪除資料夾的能力，則這個方法則完全失去瞭保護作用。

錦囊二：使用機碼 (Registry) 啓動隨身碟的唯讀功能

作業係統可以設定隨身碟為唯讀。網路上建議在 HKEY_LOCAL_MACHINESystemCurrentControlSetControlStorageDevicePolicies 下，新建 DWORD 值為 1 的 WriteProtect 機碼，則作業係統可以避免隨身碟病毒的感染。

這個機碼的目的是禁止作業係統對隨身碟的寫入權限，讓隨身碟隻可讀取而不可寫入。然而感染病毒隻需擁有讀取權限即可，不需寫入權限，所以即使作業係統啓用此項設定，也不能避免隨身碟病毒。

可以動手試試簡易的測試步驟，如下：

1. 在作業係統上設定 WriteProtect 且值為 1 的機碼。
2. 重新啓動電腦，使第一步驟生效。
3. 將 TEST_WowUSBProtector [註7]測試病毒解壓縮至隨身碟第一層路徑內。
4. 重新插入隨身碟。
5. 開啓桌麵「我的電腦」，並直接開啓隨身碟磁區。
6. 測試結果：測試病毒正常觸發，證明此方法無效。
錦囊三：按住 Shift 鍵開啓隨身碟

Windows 作業係統有「自動運行 (autorun)」與「自動播放 (autoplay)」的功能，這兩者很容易混淆。「自動運行 (autorun)」功能可以令隨身碟或 DVD 播放器等自動執行某程式，這也是隨身碟病毒利用的特性；而「自動播放 (autoplay)」是提供控製選單，畫麵如下：
避免隨身碟病毒，隻需 1 招
網路上流傳，在插入隨身碟時按住 shift 鍵即可停止隨身碟自動運行 (autorun)功能，避免隨身碟病毒的感染。但是按住 shift鍵僅是關閉自動播放 (autoplay)，並不會停止自動運行 (autorun)功能，兩者是不一樣的。
可以動手試試簡易的測試步驟，如下：

1. 將 TEST_WowUSBProtector [註7]測試病毒解壓縮至隨身碟第一層路徑內。
2. 重新插入隨身碟，同時按住 shift 鍵，停止自動播放(autoplay)。
3. 開啓桌麵「我的電腦」，並直接開啓隨身碟磁區。
4. 測試結果：測試病毒正常觸發，證明此方法無效。

錦囊四：在隨身碟磁區上右鍵開啓檔案總管
檔案總管可以避免隨身碟自動運行 (autorun) 的功能，而避開病毒的感染，但是要視操作步驟而定。若是直接在隨身碟磁區上，按滑鼠右鍵開啓檔案總管，則仍然會感染隨身碟病毒。
可以動手試試簡易的測試步驟，如下：

1. 將 TEST_WowUSBProtector [註7]測試病毒解壓縮至隨身碟第一層路徑內。
2. 重新插入隨身碟。
3. 開啓桌麵「我的電腦」，用滑鼠右鍵選擇隨身碟磁區，並點選「檔案總管」開啓磁區。
4. 測試結果：測試病毒正常觸發，證明此方法無效。

若操作步驟是先開啓檔案總管再選擇隨身碟磁區，則確實可以避免隨身碟病毒的感染。

可以動手試試簡易的測試步驟，如下：
1. 將 TEST_WowUSBProtector [註7]測試病毒解壓縮至隨身碟第一層路徑內。
2. 重新插入隨身碟。
3. 由「程式集」→「附屬應用程式」→「Windows 檔案總管」的方式開啓檔案總管。
4. 點選隨身碟磁區。
5. 測試結果：測試病毒沒有觸發，證明此方法有效。

錦囊五：使用機碼 (Registry) 關掉自動運行功能
網路上流傳 NoDriveTypeAutoRun 機碼可以關掉隨身碟自動運行 (autorun) 的功能。但這個方法仍然無法避免隨身碟病毒的感染。
可以動手試試簡易的測試步驟，如下：

1. 下載 NoDriveTypeAutoRun 機碼的設定並執行 [註8]。
2. 重新啓動電腦，使第一步驟生效。
3. 將 TEST_WowUSBProtector [註7]測試病毒解壓縮至隨身碟第一層路徑內。
4. 開啓桌麵「我的電腦」，並直接開啓隨身碟磁區。
5. 測試結果：測試病毒正常觸發，證明此方法無效。
6. 下載恢復 NoDriveTypeAutoRun 預設值機碼的設定並執行 [註9]。

◎ 結論
網路錦囊驗證一覽錶
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
錦囊　　　　　　　　　　　　　　　　　　證實結果
－－－－－－－－－－－－－－－－－－－－－－－－－－－－
一. Autorun.inf 的唯讀資料夾　　　　　　　　　存疑
二. 機碼啓動隨身碟的唯讀功能　　　　　　　　無效
三. shift 鍵開啓隨身碟　　　　　　　　　　　　無效
四. 隨身碟磁區上右鍵開啓檔案總管　　　　　　無效
五. 機碼關掉自動啓動功能　　　　　　　　　　無效
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

以上證實網路錦囊並不能解決隨身碟病毒的問題。因此對於採用錦囊的讀者，我們建議改用隨身碟防毒軟體為解決方案。

◎ 開放源碼的隨身碟防毒軟體 - Wow! 隨身碟防毒係列
中央研究院資訊科學所自由軟體鑄造場，於 2008年 2 月釋齣 Wow! USB Protector 隨身碟病毒偵測軟體。採用開放原始碼 GPL3 授權，供個人或企業自由使用與研究。
Wow! USB Protector 是一款自動偵測隨身碟是否含有惡意程式的自由軟體。可以偵測齣常見的隨身碟病毒，提供即時捕捉隨身碟病毒或可疑程式的功能，是一款輔助防毒軟體的安全工具。目前有繁體中文與英文介麵，支援 Windows 2000/XP/2003/Vista 32bit/64bit 作業係統。使用 Ruby 程式語言撰寫、支援係統常駐、自動更新惡意程式病毒碼、閤法程式白名單、可疑程式警訊等功能。
網際網路上有很多免費的隨身碟防毒軟體，目前常見的有 USBCleaner 與 Kavo killer。下錶為 Wow! 隨身碟防毒與此兩套防毒軟體的比較錶。
免費隨身碟防毒軟體比比看
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
Wow!隨身碟防毒 0.41　　Usb Cleaner 6.0　　kavo killer 3.2
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
開放源碼　　　　　　　　　　　　　　O　　　　　　　　　X　　　　　　　　X
免費　　　　　　　　　　　　　　　　O　　　　　　　　　O　　　　　　　　O
語言介麵　　　　　　　　　　繁體中文與英文　　　　　簡體中文　　　　　繁體中文
常駐功能　　　　　　　　　　　　　　O　　　　　　　　　O　　　　　　　　X
白名單　　　　　　　　　　　　　　　O　　　　　　　　　X　　　　　　　　X
未知病毒的偵測　　　　　　　　　　　O　　　　　　　　　△(說明1)　　　　△(說明1)
內建病毒庫　　　　　　　　　　　　　671　　　　　　　　460　　　　　　N/A(估計小於10)
自動更新病毒碼　　　　　　　　　　　O　　　　　　　　　X　　　　　　　　X
感染後解毒(說明2)　　　　　　　　　　X　　　　　　　　　O　　　　　　　　O
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

說明 1：當 USBCleaner 與 Kavo killer 發現隨身碟內有自動運行的程式時，會直接刪除。雖然可以避免所有潛藏性的可疑程式，但也有可能會誤刪閤法正常的檔案。這種處理方法視使用者決定優或劣。
說明 2：Wow! 隨身碟防毒為輔助防毒軟體為主，本身不具備感染病毒後解毒的功能，而著重在前期預防。在預防重於治療層次上，補足資訊安全的不足。
為瞭讓電腦初學的新手容易使用，自由軟體鑄造場同期推齣 Wow! USB VirusKiller。功能與 Wow! USB Protector 相同。唯在偵測齣隨身碟病毒或可疑程式時，Wow! USB Protector 提供多種選項供使用者選擇，而 Wow! USB VirusKiller 則視情形自動幫助使用者採用不同的方式，如偵測齣隨身碟病毒時 Wow! USB VirusKiller 會自動刪除，以避免使用者在選項名單上産生疑惑。需要注意的是，兩套程式不可同時安裝。
由於兩套程式的圖形介麵差不多，接下來的範例將以 Wow! USB Protector 中文版的圖為例，不同的部分將會特彆說明。
Wow! USB Protector 與 Wow! USB VirusKiller 比較錶
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
程式　　　　　　　　　　　Wow! USB Protector　　　　　Wow! USB VirusKiller
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
適閤對象　　　　　　　　瞭解隨身碟病毒的使用者　　　　　電腦初學的新手
偵測齣隨身碟病毒　　　　多種選項供使用者選擇　　　　　　自動刪除惡意程式
偵測齣可疑程式　　　　　多種選項供使用者選擇　　　　　　提齣可疑程式檔案的警訊
專案網址 Wow! USB Protector Wow! USB VirusKiller
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

◎ 開始安裝 Wow!隨身碟防毒
兩款輔助安全工具的安裝方式相同。首先，下載程式並解壓縮，並執行資料夾內的 install 執行檔。視窗畫麵如下，
避免隨身碟病毒，隻需 1 招

選擇「開始安裝」即可安裝完成。
安裝完成後，重新啓動電腦使 Wow! USB Protector 正常運作。啓動後會在 Windows 係統常駐列(通常在螢幕右下角)見到如下的小圖示，
將滑鼠遊標移到上方，會齣現 Wow! USB Security 1.0.3。
避免隨身碟病毒，隻需 1 招

對此圖示按下滑鼠右鍵，會有「Options」、「About」與「Exit」等三種功能選項。
避免隨身碟病毒，隻需 1 招

Wow!隨身碟防毒常駐功能選項
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
選項          功能
－－－－－－－－－－－－－－－－－－
Options 開啓管理介理(後續會介紹)
About       程式說明
Exit          結束程式
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

== 學習手冊 ==
安裝完成後，隻要作業係統插入隨身碟時，就會自動掃描隨身碟是否含有病毒。
避免隨身碟病毒，隻需 1 招

若 Wow! USB Protector 發現有病毒或可疑程式時，會有警告視窗並提供使用者選擇處理的方式。
避免隨身碟病毒，隻需 1 招

第一個欄位為程式名稱，在每個檔名後麵的欄位則是判斷結果。如果不確定是否為病毒則會顯示「未知」。反之，若偵測的結果是病毒，則會顯示「病毒/木馬」。
接下來可以選擇想要處理的程式，用滑鼠在程式名稱欄位上點選(可多重選擇)，最後再選擇想要的處理方式。
Wow! USB Protector 提供瞭三種功能選項：「刪除」、「安全開啓隨身碟」以及「離開」。
(錶6: Wow! USB Protector的功能選項)
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
選項                            功能
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
刪除                            刪除檔案
安全開啓隨身碟       安全開啓隨身碟，可避開隨身碟病毒
離開                            忽視警告
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

若使用的是 Wow! USB VirusKiller，在發現隨身碟內有病毒時，會自動幫使用者刪除。
避免隨身碟病毒，隻需 1 招

若發現隨身碟內有可疑程式時，則會提供警訊視窗。
避免隨身碟病毒，隻需 1 招

== 管理手冊 ==
Wow!隨身碟防毒提供簡易的管理介麵，請直接在係統常駐列(通常在螢幕右下角)的 Wow! USB Security 小圖示上按滑鼠右鍵，選擇「Options」即可開啓。
避免隨身碟病毒，隻需 1 招

管理介麵功能說明
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
選項                                                       功能
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
啓動保護                                              啓動監控程式
停止保護                                              結束監控程式
每次開機時自動啓動                         每次開機時自動啓動監控程式
每次開機時不要啓動                         每次開機時不要自動啓動監控程式
白名單                                                 設定閤法的程式名單
設定自動更新的時間間隔(小時)       設定自動更新惡意程式病毒碼的時間間隔
更新病毒碼                                        手動更新惡意程式病毒碼
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

== 測試 ==
為瞭方便測試 Wow! 隨身碟防毒的功能，我們可以做簡單的測試。
首先下載 TEST_WowUSBProtector [註7]並解壓縮，將解壓縮內的兩個檔復製到隨身碟中。這隻是為瞭測試 Wow!隨身碟防毒的測試檔，並不是真的病毒。此測試檔正常的執行畫麵如下，
避免隨身碟病毒，隻需 1 招

最後重新插入隨身碟，即可開始測試 Wow! 隨身碟防毒的功能。若 Wow!USB Protector 有偵測齣來時，會有如下畫麵，
避免隨身碟病毒，隻需 1 招

若是 Wow!USB VirusKiller 則是，
避免隨身碟病毒，隻需 1 招

== 移除 Wow!隨身碟防毒==
移除程式必須到預設的安裝路徑下，執行 install 執行檔。Wow! USB Protector 預設的安裝路徑在 %SystemRoot%Program FilesWowUSBProtector，通常是 C:Program FilesWowUSBProtector。而 Wow! USB VirusKiller 預設的安裝路徑在 %SystemRoot%Program FilesWowUSBVirusKiller，通常是 C:Program FilesWowUSBVirusKiller。
避免隨身碟病毒，隻需 1 招

選擇「移除程式」，最後重新啓動電腦即可移除成功。

◎ 結語
Wow!隨身碟防毒係列採用開放源碼 GPL3 的授權釋齣，可自由執行、研究、修改與散布。公司與個人皆可按照需求修改程式碼或新增病毒特徵碼。相較於同功能的其它程式，提供使用者更多的客製化自由。若讀者有意共同開發，歡迎與自由軟體鑄造場交流聯絡。 ( contact@openfoundry.org )。

註1：如防毒軟體廠商 Sophos 命名為 W32/MemServ-A 的隨身碟病毒。
註2：如防毒軟體廠商賽門鐵剋(Symantec) 命名為 W32.Gammima.AG 的隨身碟病毒。
註3： F-Secure: McDonalds ships MP3 players with a trojan
註4： Zone-H: Digital worms through USB ports
註5： Sophos: Danger USB! Worm targets removable memory sticks to infiltrate business
註6： Business Journal: USB devices make companies vulnerable to computer viruses, data theft
註7： TEST_WowUSBProtector
註8： DisableAutorun.reg
註9： EnableAutorun.reg

[ 本帖最後由 o927446 於 2008-7-12 09:35 編輯 ]

分享鏈接

facebook linkedin mastodon messenger pinterest reddit telegram twitter viber vkontakte whatsapp 複製鏈接

看最新新聞就到趣味新聞網

quweinews.com

立刻按 ctrl+D收藏本頁

你會得到大驚喜!!

谢谢大大的分享
网路上有很多防中毒的
小弟我不知道要选哪一个
谢谢你的分析

真是感谢你的详细解说
让我知道更多
果然不能小看usb病毒

那我也来提供超级实用的一招解随身碟病毒方法，
那就是 AntiVir Personal 免费版它会事先自动杀掉，
病毒所建立的 Autorun.inf 的档案然后再杀病毒。

详细的解说下....

在这资讯爆炸的时代 ,不用随身碟真是骗人的.....
有这好东西可以避免资料传送时被夹带病毒 ,造成无法弥补的错误!

原来是这样子的阿
难怪我有时候用碟都会有问题ˇˇ
真是谢谢大大分享呢!!

好感谢大大唷~~
公司的电脑太多毒~~
不得不防~~又不能不带回家做功课~~
好在有大大分享唷~
感恩~

近日被随身碟病毒给搞的
看到本篇内容
说明详细
见解精辟
真的实用

感谢

的确!!!
在这资讯发达的时代
随身碟早已是必备的工具
当然要防范病毒的侵蚀
必须做妥万全的准备
才能让危害降低

好详细喔
原来这软体只是辅助防毒软体而已
我还以为本身具有防毒软体的功能
真是感谢大大的解说

感谢大大的教学优
很有帮助

超棒的资讯
之前深受USB病毒的迫害!
搞的我鸡飞狗跳的...
有这些资讯以后让病毒远离我吧!

Very good informaiton. thanks

Actually this USB hacking has been around. Hacker use this method to get behind corporation's firewall. What they did, drop USB drive in the target office's parking lot. The employee....will just pick it up and take it inside to the office and PLUG it into their PC at work to see what is on the USB stick. Once inside, hacker can do a lot of damage from within.

感谢喔..学到教学..谢谢大大分享....

这东西我不得不说根本没有那么神.....
市面上不管是哪套软体，防毒软体也一样，都不可能 100% 杀毒
或许这次确实解掉了，下次就不一定了，这就是所谓的病毒变种...

如果这套软体也是靠路径名称比对，那防护效果更是差
防毒软体之所以比较抓得到病毒是因为它是针对病毒的程式码做判定
Kavo Killer 这类的都只是抓档案，基本上只要改个档名路径就可以不被抓
而且这类的软体误判率可能更高，若是没有误判，可能装个好点的防毒软体还比较快

Autorun.inf 这招确实没错是有点鸡肋，但是若病毒不会删除更换掉 Autorun.inf
那其实还是有它的效果在的，倒是不需要存疑什么的，本来就没有 100% 的效果

这样的软体还是可以用用看，特别是觉得自己电脑有问题的时候
或许有希望可以帮忙解除掉病毒问题，但是不需要看得很神一般
我个人觉得比较好的功能也只有他可以自己更新罢了....

的确非常好用！值得大大地推广一下！

有些使用者的 usb 如果已经有资料夹图案的 .exe ,然后如果使用者又没显示附档名,如又去点到执行,一样会让电脑中毒,我们公司用的 mcafee enterprise 8.0i 真是烂,烂到无话可说了....

资料夹那招是真的蛮贱的
就算有开显示副档名
但是因为太习惯了
在开资料夹的时候都会顺势的一直点下去
结果等点到的时候，瞬间看到后面挂 .exe 副档名
当场飙一句 "X"......傻眼，只好乖乖自己解毒...

最近饱受USB病毒之苦
真是太感谢大大的分享了!!

内容好多阿!这一招还真是难学!眼花撩乱~~

tag