AutoRunGuard

Licencja: freeware

Narzędzie konsolowe umożliwiające tworzenie reguł zachowań dla sytuacji podłączania dysku przenośnego / wkładania CD. Program może tworzyć reguły w oparciu o: parametry dysku (jego litera / SN / etykieta / system plików), obecność określonych plików/folderów lub ich atrybutów (obiekty z atrybutami ukryty + systemowy to typowy znak infekcji), sumę kontrolną MD5. Na podstawie tego AutoRunGuard może albo natychmiast wykonać określoną akcję dla dysku, albo dodać jej opcję do menu kontekstowego dysków. Przykładowe możliwe akcje: zaszczepienie przeciwko wykonywaniu infekcji, uruchamianie określonego programu (U3 LaunchPad, TrueCrypt, etc.), uruchamianie skanu antywirusowego, eksplorowanie dysków spod Windows Explorer, i wiele innych. Podstawowa instrukcja obsługi:

• Uruchamiamy plik AutoRunGuard.cmd (można plik edytować w Notatniku dodając mu swoje własne akcje)
• Zastartuje okno linii komend listujące wszystkie aktualnie dostępne dyski
• By przypisać określoną akcję dla dysku, wpisujemy jego literę i ENTER, następnie z menu wymieramy akcję wpisując wybraną literę i ENTER:
  I (inoculate) = utworzenie zabezpieczającego folderu autorun.inf na dysku (proszę przeczytać aneks w UWAGA). Pada też dodatkowe pytanie o przekopiowanie programu AutoRunGuard na dysk.
  S (scan for viruses) = wywołanie bezpośredniego skanu dysku. Program utylizuje inne wbudowane narzędzie USBVirusScan. Wymagania użycia opcji: zainstalowany główny program AV w Windows + rekonfiguracja ścieżki AV w pliku cmd AutoRunGuard.
  O (open in Windows Explorer) = otworzenie dysku

W paczce narzędzia są również kolportowane pliki *.REG umożliwiające wdrożenie alternatywnej blokady, tzn. całkowite wyłączenie odczytu plików autorun.inf poprzez klucz IniFileMapping.

UWAGA:

Funkcja immunizacyjna sticków realizowana tutaj opcją Inoculate, oraz załączona w takich programach jak Sokx Pro / Ninja Pendisk, jest niestety niewystarczająca. Utworzony tymi programami folder autorun.inf bardzo łatwo skasować. Mimo, że jest on zaatrybutowany jako systemowy i tylko do odczytu, to nie jest 100% pewna bariera dla nowych infekcji. Aktualnie są takie zagrożenia USB, które potrafią ten folder wyeliminować. By folder był w pełni niekasowalny, musi zawierać w sobie podobiekt mający "wadę nazwy" lub nazwę z obszaru zastrzeżonego skutecznie uniemożliwiające kasację. W tej materii polecam więc Flash Disinfector (realizuje wadliwość nazwy) lub wykorzystanie tego pliku BAT:

----> Prevent viruses from deleting the autorun.inf folder created on your USB flash drive
----> Successfully creating an autorun.inf folder with this batch file

iKill

Platforma: Windows 98/2000/XP/2003/Vista
Licencja: freeware

Proste narzędzie zabezpieczające umożliwiające przeskanowanie dostępnych dysków w poszukiwaniu dysków typu wymiennego. Na wykrytych USB prowadzi analizę plików autorun.inf pod kątem potencjalnych wykonywalnych, które są w ten sposób wywoływane. Włączenie opcji AutoProtect odpowiada za automatyczne usuwanie plików zlokalizowanych na dyskach. Jeśli jest ona wyłączona, pada pytanie umożliwiające podjęcie decyzji w kwestii usuwania podejrzanych plików. Wymogiem działania programu jest montaż Microsoft .NET Framework 2.0.

Panda USB Vaccine

Platforma: Windows 2000/XP/Vista
Licencja: freeware

Narzędzie ochronne pod kątem infekcji z pendrive, wprost z laboratoriów Pandy. Narzędzie realizuje dwie sekcje zadaniowe:
Computer Vaccination - Wyłączenie funkcji Autorun w Windows, a w konsekwencji zablokowanie autowykonania programów z dysku USB/CD/DVD (niezależnie od tego czy dyski te były wcześniej poddane procesowi zabezpieczającemu).
USB Vaccination - Kompletna deaktywacja autorun.inf na wybranym dysku USB. Metoda ta blokuje na stałe niegroźny plik autorun.inf zapobiegając jego odczytowi, modyfikacji, kasacji oraz generowaniu nowego. W ten sposób jest zlikwidowana możliwość samowykonywania plików z dysku via INF (natomiast sam dysk i przeglądanie / przenoszenie plików oczywiście działają jak należy). Funkcja wspiera USB preformatowane w FAT i FAT32. Proces ten jest nieodwracalny. Raz wykonane "Vaccination" nie może zostać zlikwidowane spod narzędzia. Oficjalnie jest powiedziane, że jedyny sposób odwrócenia to tylko przez format USB, w rzeczywistości można skorzystać z narzędzi Linuxa, które poradzą sobie z kasacją zdefektowanego autorun.inf. W kwestii obsługi USB z NTFS - firma ma wewnętrzną jeszcze nieopublikowaną wersję adresującą ten system plików. Trzeba poczekać...

Aktualizacja: Już jest Panda z obsługą NTFS (KLIK).

Autorun Protector

Platforma: Windows 2000/XP/Vista
Licencja: freeware

Prosta nakładka graficzna dla operacji ochronnych, umożliwiająca niewprawionym użytkownikom zabezpieczenie swoich urządzeń. Realizuje podział funkcyjny w stylu Panda USB Vaccine tzn:
PC Protection - Definitywne wyłączenie funkcji Autorun w Windows poprzez metodę klucza IniFileMapping (wyłączenie odczytu plików autorun.inf przez system). Dokładnie to samo prowadzi narzędzie Pandy. Dodatkowo jest tu funkcja "Clear MountPoints2 Registry" - czyli czyszczenie zawartości cache, o którym szczegółowo pisałam w opisie infekcji z przenośnych.
Device Protection - Umożliwia kasację już obecnych plików autorun.inf, oraz wprowadzenie blokujących autorun.inf. Tutaj jest różnica w stosunku do operacji Pandy: umożliwia generowanie falsyfikatów autorun.inf na dowolnym dysku, obsługuje dyski NTFS (to zalecany format plików). Na NTFS: te pliki autorun.inf są niekasowalne w sposób tradycyjny, ponieważ narzędzie wykorzystuje system zabezpieczeń NTFS wprowadzając dla grupy Everyone ograniczenia Odmów. Na FAT: brak takich zabezpieczeń, plik może zostać skasowany (czyli infekcja też może to zrobić), alternatywą jest więc użycie na takim systemie plików jednak narzędzia Pandy.
Narzędzie nie wymaga instalacji. Określone funkcje wymagają trybu administracyjnego.

Aktualizacja: Nowa wersja programu wzmocniła zabezpieczenia na FAT - plik jest nieusuwalny.


Inne, które znalazłam: USB Cop (metoda przez IniFileMapping + wyświetlanie contentu autorun.inf z pytaniem decyzyjnym) / Autorun Eater (nie mam pojęcia jak to działa) / USB WriteProtector (jest to tylko prosta nakładka na przełączanie w rejestrze wartości WriteProtect między 1 a 0).