USB_Tool - программа для защиты от autorun.inf - вирусов

[AXON 10]

Доброго времени суток, Уважаемые форумчане!

Позвольте представить на Ваш суд бесплатную программу для защиты компьютера от вирусов, распространяющихся в основном через флешки по средствам файлов autorun.inf.

Программ, подобного рода видел не мало, и даже "весьма платные версии" были Но что-то в них всегда не хватало.

Тестирование программа прошла, и проходит по сей день, в ряде организаций.

Программа постепенно расширяет свои функциональные возможности, так что не судите уж ооочень строго

скачать последнюю версию можно тут:

URL: Домашняя страничка

Отредактировал Июль 30, 2009 AXON

[p2u 824]

Опишите, пожалуйста, сначала поподробнее, что программка делает/умеет. Бывает очень много разных типов заражений с помощью autorun и подход к ним совсем отличается (система должна жить, а не упасть полностью). В каких случаях можно вашу программу использовать? Как она, например, справляется когда задействована руткит-защита файлов autorun?

Paul

[AXON 10]

Опишите, пожалуйста, сначала поподробнее, что программка делает/умеет. Бывает очень много разных типов заражений с помощью autorun и подход к ним совсем отличается (система должна жить, а не упасть полностью). В каких случаях можно вашу программу использовать? Как она, например, справляется когда задействована руткит-защита файлов autorun?

Paul

Главной задачей программы является ПРЕДУПРЕЖДЕНИЕ заражения, и как следствие - возможное падение системы, а не борьба с уже активным вирусом. С последней задачей, в большинстве случаев, не могут справиться и брэндовые антивирусные средства.

Исходя из задачи, и желаемых возможностей, программа приобрела вид резидента с набором следующих функций:

* обнаруженный файл скрытого автозапуска блокируется программой, и не может быть ни запущен, ни удален, пока не обработается;

* выбор объектов сканирования: только разделов жесткого диска и/или съемных накопителей;

* 2 способа реакции при обнаружении подозрительного файла - автоматическая обработка, и с запросом пользователя;

* обработка заблокированных файлов при следующей загрузке ОС;

* возможность изменения ряда настроек операционной системы, наиболее подверженных атакам вирусов (удаление их последствий);

* раздел "Иммунизация" содержит 2 варианта настроек ОС, которые помогут предотвратить проникновение подобных вирусов в систему;

* создаются резервные копии всех обрабатываемых файлов;

* ведется лог всех действий с обрабатываемыми файлами;

* возможна работа под ограниченным профилем пользователя;

* предусмотрена функция автоматического локального обновления программы, - если на компьютере имеется старая версия, и запускается более новая, то выдается сообщение с предложением заменить старую версию на новую. Настройки программы и прежнее расположение не меняются;

* возможность временной приостановки работы программы;

* файлы AUTORUN.INF, которые не запускают ничего, а только создают ошибки при открытии диска, автоматически удаляются;

* в случае, если файл скрытого автозапуска все таки запустился, происходит завершение его процесса в памяти;

На самом деле, можно многое включить в эту утилиту, но не хочется повторяться. Я постарался собрать минимально-необходимый (получился не совсем минимальный ), и в то же время достаточный, набор функций для программы подобного рода.

Буду очень рад видеть предложения по улучшению программы.

[dr_dizel 385]

Буду очень рад видеть предложения по улучшению программы.

А не проще ли отключить в винде авторан, а прогу отправить в битодробилку к собратьям: ускорителям интернета и дефргментаторам памяти?

[priv8v 960]

Скажу сразу - программу Вашу не запускал - не имею сейчас возможности, поэтому вопросы мои будут вслепую . Поэтому буду рассуждать чисто о теории, что-то может предложу и что-то спрошу:

1). В принципе, возможны три варианта реализации такой программы (в плане обнаружения файлов авторан.инф) :

1.1 Установкой перехватов

1.2 Работа в цикле - нахождение устройств и проверка существования на них такого файла

1.3 Отключение в системе возможности автозапуска таким способом и реализация автозапуска своими силами - обнаружение этих файлов, их парсинг и затем запрос юзеру или то, что указано в настройках.

Какой из вариантов реализован у Вас?

2). Как обстоят дела с файлами авторан.инф на гибких дисках?

3). Как дела с такими файлами на разделах жестких дисков?

4). про "если все-таки запустился".. - допускаете ли Вы возможность, что через авторан.инф запускается вполне лигитимный файл? Что предусмотрено на этот случай?

5). С учетом того (считается, что система не заражена), что самый мега-руткит по сокрытию авторан.инф это установка атрибутов, то нормально ли реализована работа с атрибутами? (установка нормальных атрибутов и удаление - просто некоторые подобные программы не могли работать из-за этого)

6). Насколько хорошо реализована совместимость с антивирусами? (вполне возможен вариант, что файл авторан.инф детектируется антивирусом и он захочет его удалить) Не упадет ли Ваша программа?

7). Что будет если создать на флешке папку с таким именем (autorun.inf), поставить ей атрибуты скрытый-только чтение и такую флешку вставить в компьютер, где автораны мониторит Ваша программа?

[AXON 10]

А не проще ли отключить в винде авторан, а прогу отправить в битодробилку к собратьям: ускорителям интернета и дефргментаторам памяти?

Какой ты добрый дядя

Я свою программу никому не навязываю. И сделал её для помощи людям, не являющимся сильно компетентными в области ИТ, или же тем, кто не хочет каждый раз опасаться зловредов, при включении флешки.

Для них - главное результат. Так вот, в отличие от указанных тобою типов программ, польза от моей ощущается, и ощущается не в виде моих слов, а на деле.

Ни с кем не собираюсь спорить, что лучше и проще, каждый выбирает для себя сам. Я лишь предложил очередной вариант.

Конечно, если ты отключил авторан для съемных дисков в настройках ОС, и используешь файловый менеджер, то тебе моя программа может показаться совершенно ненужной. Но опять же, считаю не каджого устроит этот способ. Многим гораздо удобнее пользоваться тем же стандартным автозапуском для дисков (согласись, гораздо проще щелкнуть "открыть в ACDSee" нежели запустить её в ручную, и указать каталог).

С уважением, Алексей.

[AXON 10]

Скажу сразу - программу Вашу не запускал - не имею сейчас возможности, поэтому вопросы мои будут вслепую . Поэтому буду рассуждать чисто о теории, что-то может предложу и что-то спрошу:

1). В принципе, возможны три варианта реализации такой программы (в плане обнаружения файлов авторан.инф) :

1.1 Установкой перехватов

1.2 Работа в цикле - нахождение устройств и проверка существования на них такого файла

1.3 Отключение в системе возможности автозапуска таким способом и реализация автозапуска своими силами - обнаружение этих файлов, их парсинг и затем запрос юзеру или то, что указано в настройках.

Какой из вариантов реализован у Вас?

В цикле проверяются устройства с такими файлами, парсятся, и далее операции согласно настройкам...

2). Как обстоят дела с файлами авторан.инф на гибких дисках?

3). Как дела с такими файлами на разделах жестких дисков?

В настройках программы предусмотрена возможность выбора области проверки - съемные диски и HDD.

4). про "если все-таки запустился".. - допускаете ли Вы возможность, что через авторан.инф запускается вполне лигитимный файл? Что предусмотрено на этот случай?

Эта возможность предусмотрена для "убийства" активных процессов, если программа запускается на инфицированном ПК. Понятное дела, что не все зловреды будут жить в виде отдельного процесса с одноименным именем файла, но тем самым я стараюсь захватить большую их часть.

5). С учетом того (считается, что система не заражена), что самый мега-руткит по сокрытию авторан.инф это установка атрибутов, то нормально ли реализована работа с атрибутами? (установка нормальных атрибутов и удаление - просто некоторые подобные программы не могли работать из-за этого)

Конечено это реализовано и неоднократно проверенно не на самодельных файлах, а на реальных вирусных частях, в частности на Kido aka Conficker.

6). Насколько хорошо реализована совместимость с антивирусами? (вполне возможен вариант, что файл авторан.инф детектируется антивирусом и он захочет его удалить) Не упадет ли Ваша программа?

Программа не упадет. Более того, благодаря открытию моей программой файла авторун.инф и конечного ЕХЕ-файла, который хочет запуститься, мы тем самым заставляем антивирус проверять эти файлы "насильно", поскольку к ним идет обращение.

7). Что будет если создать на флешке папку с таким именем (autorun.inf), поставить ей атрибуты скрытый-только чтение и такую флешку вставить в компьютер, где автораны мониторит Ваша программа?

Это и есть способ иммунизации, используемый в моей программе. Её работа будет корректна.

[dr_dizel 385]

Какой ты добрый дядя

Так вот, в отличие от указанных тобою типов программ, польза от моей ощущается, и ощущается не в виде моих слов, а на деле.

Так да, как оказалось, винда и так сама может спокойно справляться и без тех программ. И с авторанами тоже.

И польза кому? Всем? И волки сыты и овцы целы? Так вся аверская индустрия держится не на патчинге и настройке венды, а на куче программок, что висят постоянно в памяти, тормозят систему, качают терабайты своих обновлений и задают кучу вопросов.

Может проще импортануть, например, такой файлик?

[AXON 10]

Так да, как оказалось, винда и так сама может спокойно справляться и без тех программ. И с авторанами тоже.

И польза кому? Всем? И волки сыты и овцы целы? Так вся аверская индустрия держится не на патчинге и настройке венды, а на куче программок, что висят постоянно в памяти, тормозят систему, качают терабайты своих обновлений и задают кучу вопросов.

Может проще импортануть, например, такой файлик?

Я объяснил причину создания программы, и категорию потенциальных пользователей. Не знаю, то ли тебе так неприятна именно моя программа, то ли ты так относишься ко всему софту, в любом случае, спасибо за свою точку зрения. Она тоже имеет право существовать.

П.С.

1. моя прога не качает из инета ничего;

2. те настройки,что ты предлагаешь в рег-файле - реализованы в моей программе. Иммунизация->способ 2.

Удачи.

[dr_dizel 385]

в случае, если файл скрытого автозапуска все таки запустился, происходит завершение его процесса в памяти;

благодаря открытию моей программой файла авторун.инф и конечного ЕХЕ-файла, который хочет запуститься, мы тем самым заставляем антивирус проверять эти файлы "насильно", поскольку к ним идет обращение.

Мда. "Пешите ишо!" Успехов в разработке.

[AXON 10]

Мда. "Пешите ишо!" Успехов в разработке.

Спасибо =)

А Вы со мной не согласны (насчет проверки файлов AV при открытии моей программой)?

[priv8v 960]

С учетом того, что опрос идет в цикле с каким-то интервалом, то существует вероятность, что файл все-таки успеет запуститься..

Может попробовать применить технологию из моего первого поста пункта 1.3 ?

Мда. "Пешите ишо!"

Можете пояснить? Можем вместе обсудить

[Андрей-001 1099]

AXON dr_dizel priv8v

Я за консенсус умных голов!

[dr_dizel 385]

Можете пояснить? Можем вместе обсудить

Конечно. Я люблю юмор.

Вот думал-думал: что ещё можно предложить для усовершенствования программы в стиле автора?.. И придумал!

Вот оно: создавать ложный процесс с тем же именем, что и в авторане, чтобы вирус с проверкой повторного запуска по имени файла считал, что он уже запустился!

Круто, да?

[AXON 10]

С учетом того, что опрос идет в цикле с каким-то интервалом, то существует вероятность, что файл все-таки успеет запуститься..

Может попробовать применить технологию из моего первого поста пункта 1.3 ?

Вероятность есть почти всегда ;-) В этом случае прудусмотрено "убийство" процесса.

Насчет технологии из пункта 1.3 - у меня была схожая мысль, - так сказать "свой безопасный автозапуск диска". Я хотел добавить в контекстное меню иконки пункт "Открыть безопасно [буква диска]" Но почему то, я отказался от этой идеи, не помню точно.

Вы считаете, это необходимо сделать? будет польза?

Конечно. Я люблю юмор.

Вот думал-думал: что ещё можно предложить для усовершенствования программы в стиле автора?.. И придумал!

Вот оно: создавать ложный процесс с тем же именем, что и в авторане, чтобы вирус с проверкой повторного запуска по имени файла считал, что он уже запустился!

Круто, да?

А вдруг у вируса нет проверки на вторую свою копию? :-) оперативка будет кончаться с каждым нового подключеним устройства.

Если подходить к вопросу с другой стороны, то можно ведь просто в реестре сразу прописывать в запрещенных приложениях имя ЕХЕ-шника из авторуна, и тогда уже сама ОС не будет давать им запускаться...

Жаль, что не все вирусы живут в ОЗУ в виде отдельного процесса

[priv8v 960]

Вы считаете, это необходимо сделать? будет польза?

Просто мой метод абсолютно исключит автозапуск (как это и предлагает dr_dizel - он сторонник просто отключения автозапуска), но при этом юзер не потеряет удобств - будет получать аналогичное окошечко и возможность запуска чего-то с диска, но уже из алерта от Вашей программы.

[AXON 10]

Просто мой метод абсолютно исключит автозапуск (как это и предлагает dr_dizel - он сторонник просто отключения автозапуска), но при этом юзер не потеряет удобств - будет получать аналогичное окошечко и возможность запуска чего-то с диска, но уже из алерта от Вашей программы.

Интересный вариант. По сути, он явлется весьма простым, и в тоже время довольно эффективным способом избежать запуска вредоноса.

Мне кажется, этот способ лучше вынести в отдельный ЕХЕ-модуль, а не внедрять в мой проект. Вы согласны?

[dr_dizel 385]

Мне кажется, этот способ лучше вынести в отдельный ЕХЕ-модуль, а не внедрять в мой проект. Вы согласны?

Я согласен оставить этот "отдельный ЕХЕ-модуль", а остальной ваш проект просто выкинуть за ненадобностью.

Кстати, а что должна отвечать домохозяйка на сообщения от вашей программы?

[AXON 10]

Я согласен оставить этот "отдельный ЕХЕ-модуль", а остальной ваш проект просто выкинуть за ненадобностью.

ваша точка зрения была озвучена выше, или уже сами забыли об этом?

п.с. в тактичности вам не откажешь.

Кстати, а что должна отвечать домохозяйка на сообщения от вашей программы?

1. для домохозяек есть автоматический режим.

2. этот режим ей выставит тот, кто принесет программу.

3. если она не знает, что делает программа, то врядли будет её скачивать.

4. режим с запросом у пользователя делался для людей, которые хотят знать, что у них запускается, и сами предпринимали решение.

интересно, а подобдный вопрос вы задаете каждому владельцу антивируса???

[dr_dizel 385]

ваша точка зрения была озвучена выше, или уже сами забыли об этом?

в тактичности вам не откажешь.

Я дополнил свою точку зрения. Разве вы не чувствуете разницы?

А, когда человек гонит откровенное фуфло, но не осознаёт этого, то стараешься как-то подтолкнуть к правильному решению.

1. для домохозяек есть автоматический режим.

Режим запуска или блокирования? Блокировать можно средствами венды без всяких прог (даже выборочно настроить), а автостарт у неё и без программы будет работать. Так зачем режим для домохозяек в вашей проге?

4. режим с запросом у пользователя делался для людей, которые хотят знать, что у них запускается, и сами предпринимали решение.

Как пользователь должен определить, что запускается не малвара?

Когда-нибудь вы видели что-нибудь безопасное, что запускалось бы из авторана флэхи или винта?

Вы никогда не сталкивались с троянами даже на CDR дисках от производителей софта и железа?

[valet 25]

Когда-нибудь вы видели что-нибудь безопасное, что запускалось бы из авторана флэхи или винта?

Стартовое меню для portable-программ с флеш.

Мне кажется, в утилиту должно входить (из предложенного Вами):

1. Отключение автозапуска (в варианте, предложенном priv8v).

2. Выбор объектов сканирование (флеш, HDD).

3. Автоматический и интерактивный режим (автомат - сносим все, интерактив - спрашиваем).

4. Удаление файлов, мешающих открытию диска.

* возможность изменения ряда настроек операционной системы, наиболее подверженных атакам вирусов (удаление их последствий);

* раздел "Иммунизация" содержит 2 варианта настроек ОС, которые помогут предотвратить проникновение подобных вирусов в систему;

А что имеется ввиду здесь?

Отредактировал Июль 29, 2009 valet

[priv8v 960]

AXON, сколько времени Вы готовы тратить на эту программу? Планируете ли ее продавать? Какое видите у нее будущее (в свете того, что в Вынь 7 автозапуска с флешек не будет)?

Исходя из этого стоит думать, что далее делать. В принципе, можно накрутить в программу много чего. Например:

1). Анализ запускающегося приложения - выдавать ему индекс опасности в зависимости от типа устройства, размера и типа автозапускаемого файла, от того, что прописано в файле авторан.инф, его атрибутов и атрибутов файла.

2). Глубокие настройки - возможности выборки нескольких режимов. Например: жесткий (с хардов и флешек удаляем автораны, а с дисков просто не даем автозапускаться ничему (хотя это будет по-умолчанию т.к используем пункт 1.3 из первого моего поста). Интерактивный режим - исходя из анализа автозапускающихся приложений (см. пункт первый на две строки выше) выдаем алерт юзеру с рекомендацией.

3). Возможность отправки файла на вирустотал

...

[AXON 10]

Я дополнил свою точку зрения. Разве вы не чувствуете разницы?

А, когда человек гонит откровенное фуфло, но не осознаёт этого, то стараешься как-то подтолкнуть к правильному решению.

ваша точка зрения не всегда обязана совпадает с другими, незачем её навязывать.

если вы считаете, что "я гоню фуфло", то зачем читаете этот пост и пытаетесь убедить меня в обратном, при условии расхождения наших мнений? это что, так принципиально важно для вас?

скажите пожалуйста, вы знакомы с аналогичными программами? сколько подобных программ вы посмотрели, и сочли бесполезными?

Режим запуска или блокирования? Блокировать можно средствами венды без всяких прог (даже выборочно настроить), а автостарт у неё и без программы будет работать. Так зачем режим для домохозяек в вашей проге?

не понял.

Как пользователь должен определить, что запускается не малвара?

это уже вопрос компетентости пользователя.

Когда-нибудь вы видели что-нибудь безопасное, что запускалось бы из авторана флэхи или винта?

да, неоднократно, например тот же аваст U3, ApacerCompressExplorer, и другие продукты железных вендоров. И многие сами делают авторуны для тех же портейбл программ на своей флехе.

Вы никогда не сталкивались с троянами даже на CDR дисках от производителей софта и железа?

вы не поверите, даже со зловредами в музыкальных дисках сталкивался.

п.с. если вам доставляет удовольствие процесс общения на уровне приближающегося к конфликту, мы можем продолжить спор.

Стартовое меню для portable-программ с флеш.

абсолютно согласен.

Мне кажется, в утилиту должно входить (из предложенного Вами):

1. Отключение автозапуска (в варианте, предложенном priv8v).

2. Выбор объектов сканирование (флеш, HDD).

3. Автоматический и интерактивный режим (автомат - сносим все, интерактив - спрашиваем).

4. Удаление файлов, мешающих открытию диска.

это все входит.

* возможность изменения ряда настроек операционной системы, наиболее подверженных атакам вирусов (удаление их последствий);

* раздел "Иммунизация" содержит 2 варианта настроек ОС, которые помогут предотвратить проникновение подобных вирусов в систему;

А что имеется ввиду здесь?

1. зачастую зловреды меняют настройки ОС в свою пользу, самые распространенные - отключение редактора реестра, диспетчера задач и др.

2. способы предотвращения - создание скрытых директорий на разделах, не позволяющих копироваться файлам авторун.инф, и второй способ - полное или частичное отключение автозапуска устройств.

[AXON 10]

AXON, сколько времени Вы готовы тратить на эту программу? Планируете ли ее продавать? Какое видите у нее будущее (в свете того, что в Вынь 7 автозапуска с флешек не будет)?

продавать не собираюсь. мне интересен сам процесс создания и эксплуатации "своего детища".

насчет вин7 - те, кого она будет, просто не будут пользоваться программой, но дело ведь обстоит так, что в свете угасания эры висты, люди все еще сидят на ХР. Так что, думаю время для жизни программы еще есть

Исходя из этого стоит думать, что далее делать. В принципе, можно накрутить в программу много чего. Например:

1). Анализ запускающегося приложения - выдавать ему индекс опасности в зависимости от типа устройства, размера и типа автозапускаемого файла, от того, что прописано в файле авторан.инф, его атрибутов и атрибутов файла.

была схожая мысль, хотел основываться на файле, который запускается из авторун.инф, а именно, практические все зловреды удовлетворяют следующим условиям:

1. атрибут скрытый (+системный)

2. зачастую нечитабельное имя (генерится рандомом)

конечно, эти условия не 100%, но близки к этому..

может что я пропустил?

2). Глубокие настройки - возможности выборки нескольких режимов. Например: жесткий (с хардов и флешек удаляем автораны, а с дисков просто не даем автозапускаться ничему (хотя это будет по-умолчанию т.к используем пункт 1.3 из первого моего поста). Интерактивный режим - исходя из анализа автозапускающихся приложений (см. пункт первый на две строки выше) выдаем алерт юзеру с рекомендацией.

3). Возможность отправки файла на вирустотал

...

интересная конечно мысль, но не у каждого есть инет :-(

а если бы он был, то был бы антивир, и как результат, возможно не было бы моей проги на этом компе, поскольку бы считали антивира "всевидящим"

[priv8v 960]

может что я пропустил?

1). Файл упакован/криптован

2). В файле авторан.инф может быть много мусорных комментариев

3). Файл может иметь нестандартное расширение (cmd, scr, bat и др.)

В любом случае отдельный пункт (перечисленные Вами и мной) не должен быть основанием для вынесения вердикта, а вот одновременное присутствие таких признаков должно влиять на рейтинг опасности файла.