Flash Drive Disinfector

[Pili]

SANIOK_AV, если есть есть такая возможность по усилению отключения автозапуска, то почему бы не воспользоваться на случай если зловреды перепишут параметр NoDriveTypeAutoRun, если вас интересует, почитайте ещё здесь (http://support.microsoft.com/kb/155217/ru) и здесь (http://support.microsoft.com/?scid=kb%3Bru%3B953252&x=16&y=16 )

[SANIOK_AV]

Pili, спасибо огромное!!!
а каково Ваше мнение по поводу :

5) Через ключ MountPoints2 в реестре также существует возможность для системы обходить заданный запрет на автозапуск сьёмных носителей. Как с этим бороться?
Наилучшее решение на мой взгляд следующее (уже применил у себя):
*1. Пуск - Выполнить - regedit
*2. HKEY_CURRENT_USER\ Software\Microsoft\ Windows\CurrentVersion \Explorer\MountPoints2,
*3. Правой кнопкой мыши щёлкать и выбрать 'разрешения'
*4. Нажать 'Дополнительно' и снять галочку 'Наследовать от родительского объекта применимые к дочерным объектам разрешения, добавляя их к явно заданным в этом окне'.
*5. Появится окно. Выбираем 'Удалить'. 'Применить - ОК'.

[Pili]

SANIOK_AV, тоже можно, после применения reg файла по отключению автозапуска из ветки
HKEY_CURRENT_USER\ Software\Microsoft\ Windows\CurrentVersion \Explorer\MountPoints2 нужно удалить зловредные остатки (их можно увидеть или вручную или по логам утилит ComboFix (http://subs.geekstogo.com/ComboFix.exe), RSIT (http://images.malwareremoval.com/random/RSIT.exe)), например в логах будет так
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{a8e17e9c-299d-11dd-9512-00161796901a}]
\Shell\AutoRun\command - G:\autorun.exe
соответственно удаляем
HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{a8e17e9c-299d-11dd-9512-00161796901a}
или так, сохраняем текст как fix.reg и применяем
REGEDIT4
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{a8e17e9c-299d-11dd-9512-00161796901a}]
Я ограничение на ветку mountpoints2 не применяю, достаточно других и ограничений в системе, имхо если автозапуск отключен, флешка изп-ся обработанная флеш дезинфектором, то риска со стороны mountpoints2 (в ней чисто) нет. На раб. компьютер каждый день вставляются в среднем 5-8 флешек (из них более 50% приносят со зловредами), за всё время работы компьютера не было ни одной переустановки системы и её заражения (но ещё много других параметры безопасности настроено)

[SANIOK_AV]

Pili, ещё раз огромное Спасибо!!!

[volk1234]

Pili и другие заинтересованные лица.

Ваял я тут свой скрипт для Complete Autorun Off - с автоустановкой KB967715 если не установлен
с закрытием всех 4 ключей автозапуска, с удалением mountpoints и тд....

обнаружил такую вещь

del x:\autorun.inf /f
rd x:\autorun.inf

Запросто удаляет созданную Flash Drive Disinfector "неудаляемую" папку.
Первая команда удаляет все файлы из директории x:\autorun.inf\* вместе с хитрым lpt3
Прошу обратить на это внимание, так как вирусописатели не дремлют...
А ложное ощущение безопастности хуже чем просто незащищенная флешка...

[Pili]

volk1234, Если флешка не NTFS или вставляли её в другой компьютер (где права на папку autorun.inf возвращаются), то папка удалится, если на том же компьютере, то Flash Disinfector отнимает права на папку у всех, кроме system и указанный выше способ с удалением не сработает (неоднократно были жалобы на невозможность удаления папки, лечится возвращением прав на папку)

[Drongo]

А кто-нибудь пробовал - USB Firewall (http://www.net-studio.org/) (оффсайт) - можете что-то сказать по ней? Насколько хорошая вещь? Стоит ли её рекомендовать?
Блокирует все типы вирусов и другие программы, которые пытаются залезть на Ваш компьютер через флешку. Это приложение будет работать в фоновом режиме и оповестит вас, если имеется программа, которая пытается влезть на компьютер с флешки через режим автозапуска. Скачать можно здесь (прямая ссылка. ~560 КБ.) - USB Firewall (http://www.net-studio.org/software/USB_FW.rar).

[volk1234]

Во- первых, согласитесь, смысл защищать флэшку только для своего компьютера ?
И как правило зараза именно на чужом компьютере цепляется, где неизвестно как и что.

Во- вторых NTFS флэшку меня в теме по авторану отговорили делать.

Конечно, защита FD лучше чем, ничего...

[Pili]

Во- первых, согласитесь, смысл защищать флэшку только для своего компьютера ? »
Конечно лучше, чем ничего :)
К мне каждый день приносят по 5-10 флешек, обрабатываю их FD, жена носит флешку в школу, обработана FD, раньше чего только на флешке не было, сейчас зловреды создаются тоже (в т.ч. и от кидо всякие vmx, антивирус не все находит), но на флешке ещё ни разу не появился файл autorun.inf :)
Тоже самое делает утилита USB and AutoRun Vaccine (http://research.pandasecurity.com/archive/Panda-USB-and-AutoRun-Vaccine.aspx), только после FD она не может создать файл autorun.inf

А ложное ощущение безопастности хуже чем просто незащищенная флешка... »
Конечно, защита FD лучше чем, ничего... »
С этим вы все таки определитесь, хотя бы для себя

[volk1234]

Drongo
Зачем велосипед изобретать:

Как отключить использование USB-устройств хранения данных (http://support.microsoft.com/kb/823732/)

Pili
С этим вы все таки определитесь, хотя бы для себя

Согласитесь, здесь мы не мои пристрастия изучаем, я написал тот что узнал, вдруг вы не знаете(или читатели этой ветки)
ИМХО - не стоит всецело полагатся на это средство, но как временная профилактика в период антивирусного лечения
в крупной организации - вполне пойдет...
====
замечу я тоже пользуюсь защитой по типу FD, еще не один вирус не прробрался. Просто я заранее предупредил о
возможной уязвимости этого метода. Так сказать бюлетень по безопасности :)

[Drongo]

Зачем велосипед изобретать »Да вот как раз и хотел узнать мнение по именно этому "велосипеду", а не альтернативе. :) Так же можно отвечать и по антивирусам: "этот отстой - сноси его - ставь другой". Возможно я неправильно понял, но по приведённой ссылке отключаются устройства использующие USB, а не автозапуск. Верно?

[Pili]

Проверил, на флешке Fat32 (для NTFS надо предварительно ещё вернуть права на папку)
del G:\autorun.inf /f
Файл lpt3.this folder was created by flash_disinfector из папки удалился
rd G:\autorun.inf
Access is denied

Атрибуты папки тоже надо снимать для удаления
attrib -r -s -h G:\autorun.inf
И после этого
rd G:\autorun.inf

в крупной организации »
Лучше везде отключить автозапуск групповой политикой

[okshef]

volk1234, ИМХО, после применения описанного в статье метода незнающий пользователь не сможет установить флэшку как устройство, а это уже черезчур. Речь же не идет о полном запрете использования USB-устройств, а о возможности отслеживать самозаписывающиеся файлы. FlashDisinsector + TotalCom-r прекрасно с этим справляютсяпо приведённой ссылке отключаются устройства использующие USB, а не автозапуск. Верно? »
Верно. Для предотвращения беременности - всех кастрировать

[volk1234]

Drongo , okshef

если говорить именно об этой программе, то она и есть велосипед...
Она эффективна только если установлена. То есть ее надо спецально установить. И еще не отключить ее из автозагрузки случайно.

Лучше отключить автозапуск. Я лично прямо в дистрибутив интегрировал твики реестра убирающие автозапуск.

Pili
я сегодня еще раз прроверю FD на прочность и отпишусь.
==========================================
результат:
Создаю на всех дисках с помощью FD папки autorun.inf.
Затем выполняю скрипт:

For %%a in (C D E F G H I J K L M N O P Q R S T U V W X Y Z) do (
If Exist %%a:\autorun.inf (
del %%a:\autorun.inf /f /q
)
)

После выполнения папки пусты. Теперь их можно просто удалить. По крайней мере в проводнике...

[Pili]

volk1234, Вы знаете, если говорить о специальном удалении, то я и антивирус касперскго могу выгрузить и удалить не прибегая к средствам самого антивируса или установки/удаления программ и сказать в том же духе
А ложное ощущение безопастности хуже чем просто незащищенная флешка... »
Конечно, защита FD лучше чем, ничего... »

"А ложное ощущение безопасности хуже, чем просто без антивируса" и далее "Конечно, защита антивирусом лучше чем, ничего", мягко говоря, здесь не о чем говорить.

Если вы любите эксперименты, попробуйте ещё удалить файл autorun.inf, созданный утилитой USB and AutoRun Vaccine (http://research.pandasecurity.com/archive/Panda-USB-and-AutoRun-Vaccine.aspx) от Panda

[volk1234]

Какие вы агрессивные.
Отключить защиту касперского вирус "вручную" не сможет.
А вот убить службу может.
Папки FD преподносятся как неудаляемые. Вот я и написал - что все таки удаляемые...(про форматирование не надо говорить)

[Drongo]

Она эффективна только если установлена. »Это я и хотел услышать.

[Pili]

Папки FD преподносятся как неудаляемые. Вот я и написал - что все таки удаляемые.. »
См. пост 4 этой темы
удалить легко - снять атрибуты, стать владельцем папки (посл. не всегда требуется) и удалить, только зачем? :) Пропадает весь смысл использования утилиты :) »

[volk1234]

Drongo
Вот вам пример (http://forum.oszone.net/thread-141480.html) "не велосипеда" :)
Хотя может и наоборот, это я изобретал велосипед...
Плюс моего варианта - он будет работать пока не переустановят систему