Автозапуск

Автозапуск и дополнительная функция Автозапуск компонентами Microsoft Windows операционная система, определяющая, какие действия должна выполнять система при подключении диска.

Автозапуск был введен в Windows 95 для упрощения установки приложений для нетехнических пользователей и снижения затрат звонков в службу поддержки программного обеспечения. Когда сконфигурированный набор CD-ROM вставляется в привод CD-ROM, Windows обнаруживает поступление и проверяет содержимое на наличие специального файла, содержащего инструкций. Для компакт-диска, обычно используется программное обеспечение, инструкции запускают установку программного обеспечения с компакт-диска на жесткий диск. Чтобы максимизировать вероятность успешной установки, AutoRun также работает при доступе к диску («двойной щелчок ») в Проводнике Windows (или «Мой компьютер»).

До появления Windows XP термины AutoRun и AutoPlay использовались взаимозаменяемо, разработчики часто использовали первый термин, а конечные пользователи - второй. Эта тенденция отражена в параметрах политики Windows с именем AutoPlay, которые приводят к записи реестра Windows с именем AutoRun, и в файле autorun.inf, который вызывает добавление «AutoPlay» к дискам контекстные меню. Терминология не имеет большого значения до появления Windows XP и помогает пользователям выбирать соответствующие действия при обнаружении новых носителей и устройств. Эта новая функция была названа AutoPlay, и было создано различие между этими двумя терминами.

AutoRun, функция проводника Windows (на самом деле shell32 dll ), представленная в Windows 95, позволяет использовать мультимедиа и устройства для запуска программ с помощью команды, указанной в файле с именем autorun.inf, хранящемся в корневом каталоге носителя.

В основном используемые приложения на установочных компакт-дисках, вызываемые приложения обычно являются установщиками приложений. В файле autorun.inf также можно указать значок, который будет визуально представительным устройством в проводнике вместе с другими расширенными функциями.

Термины AutoRun и AutoPlay, как правило, взаимозаменяемы, когда они к инициирующему действию, которое обнаруживает и начинает читать из обнаруженных томов. На блок-схема в статье об AutoPlay показано, как AutoRun позиционируется как слой между AutoPlay и службой Shell Hardware Detection, и может помочь в терминологии. Однако, чтобы избежать путаницы, в этой статье используется термин AutoRun, когда идет о инициирующем действии.

• 1 Автозапуск
• 2 Активация автозапуска
  • 2.1 Запуск и уведомление
  • 2.2 Изменение поведения
    • 2.2.1 Перед автозапуском
    • 2.2.2 Введение в автозапуск
• 3 Настройки
  • 3.1 Типы дисков
  • 3.2 Терминология реестра
  • 3.3 Изменение реестра реестра
  • 3.4 Порядок оценки
  • 3.5 NoDriveypeAutoRun
  • 3.6 NoDriveAutoRun
• 4 Групповая политика
  • 4.1 Windows Server 2003, Windows XP и Windows 2000
  • 4.2 Windows Vista, Windows Server 2008
  • 4.3 Windows 7, Windows Server 2008 R2
• 5 Изменение поведения автозапуска
  • 5.1 Нажатие клавиш Shift
  • 5.2 Уведомление об автоматической вставке
  • 5.3 Редактирование групповой политики
  • 5.4 Файлы реестра
  • 5.5 Сопоставление файлов инициализации
• 6 Проблемы и безопасность
  • 6.1 Ошибка отключения автозапуска
  • 6.2 Другие проблемы
  • 6.3 Векторы атак
  • 6.4 Атаки смягчение последствий
• 7 См. также
• 8 Ссылки
• 9 Внешние ссылки

AutoPlay - это функция, представленная в Windows XP, которая содержит съемные носители и устройства, и на основе такого содержимого, как, музыкальные или видеофайлы, запускает соответствующее приложение для воспроизведения изображения или отображения содержимого. Если возможно, настройки в файле autorun.inf могут быть добавлены к параметрам, представленным пользователем.

Автозапуск основан на наборе приложений-обработчиков, зарегистрирован в системе автозапуска. Каждый тип мультимедиа (изображения, музыка, видео) может иметь набор зарегистрированных обработчиков, которые имеют дело с воспроизведением или отображением этого типа мультимедиа.

Каждое аппаратное устройство может выполнить действие по умолчанию, происходящее при обнаружении определенного типа носителя, или диалоговое окно AutoPlay может предложить пользователю, какое действие следует предпринять.

Последовательность автозапуска начинается с обнаружения нового устройства или нового носителя. Последовательная передача сторонней оболочки Windows Explorer представляет наибольший интерес. После проверки параметров параметров узнать список, чтобы, может ли AutoRun продолжаться, может произойти синтаксический анализ необязательного autorun.inf и будут предприняты все необходимые действия.

Начальная последовательность обрабатывается практически одинаково во всех версиях Windows, начиная с Windows 95. Однако способ чтения и обработки файла autorun.inf, а также уровень интеграции AutoRun с AutoPlay значительно изменились со временем, когда автозапуск был введен в Windows XP, до настоящего момента в Windows 7. В Windows 10 Microsoft добавила возможность включения автозапуска в свои настройки. Не могут включить его, но также могут включить внешние устройства для автовоспроизведения.

Инициирование и уведомление

Когда устройство с AutoRun-совместимыми драйверами происходит новый носитель, событие «Уведомление об изменении носителя». Затем ОС Windows ОС уведомила заинтересованные приложения о том, что произошло изменение устройства. Используемый метод устройства может меняться в зависимости от типа устройства.

Если измененное устройство представляет собой том (например, компакт-диск) или порт (например, последовательный порт), Windows передает уведомление WM_DEVICECHANGEво все окна верхнего уровня. Windows называет это «базовым» уведомлением. Окно верхнего уровня является потомком рабочего стола.

Однако, если измененное устройство не относится к одному из этих типов, приложение может использовать функцию RegisterDeviceNotificationдля регистрации для получения уведомлений устройства.

Статья на веб-сайте CodeProject «Обнаружение вставки и / или удаление оборудования» с пояснениями из блога Дорана Холана носит особенно технический характер. интерес здесь.

Устройство без тома - это те устройства, которые не имеют как буквы дисков в «Моем компьютере». Они не обрабатываются каким-либо частями AutoRun - любые действия, предпринимаемые для этих, выполняются либо программными устройствами конкретного устройства, либо AutoPlay. См. Автозапуск # Устройство, не являющиеся дисками.

Когда Explorer получает уведомление об изменении тома, он выполняет ряд действий:

1. Проверяет, был ли отключен автозапуск через реестр. Если автозапуск отключен для этого диска или типа диска, Explorer не будет продолжать работу. В этой области было ошибок.
2. Проверяет, что содержит дополнительный каталог вставленного носителя файл autorun.inf, который может быть прочитан. См. ниже..
3. Отправляет сообщение QueryCancelAutoPlayв окно переднего плана. Приложение, которое зарегистрировало свою заинтересованность в получении сообщения с помощью RegisterWindowMessage, может ответить на это сообщение, чтобы остановить автозапуск (и, следовательно, автозапуск) на этом этапе. Любое приложение, будь то переднее или нет, также может быть уведомлено с помощью интерфейса IQueryCancelAutoPlayCOM, доступного в Windows XP и более поздних версийх.
4. Изменяет , дважды щелкните и поведение контекстного меню. Когда пользователь дважды щелкает значок диска в проводнике или щелкает правой кнопкой мыши, чтобы открыть контекстное меню, происходящее полностью программируется настройками в файле autorun.inf.
5. Добавляет управляемый значок autorun.inf и текст описания к значку привода.
6. Проверяет, удерживает ли клавиша ⇧ Shift . Если это так, то Windows Vista (и более поздние версии Windows) вызовет диалоговое окно AutoPlay независимо от настроек, групп наоборот. Предыдущие версии Windows не продолжат этот процесс.
7. Наконец, если эта точка была достигнута, либо:
   • не предпринимает никаких дальнейших действий.
   • выполняет задачу «Автозапуск» », приложение, необязательно указанное в ключах откройтеshellexecuteв разделе [автозапуск в autorun.inf.
   • запускает автозапуск.

   Выбор зависит от используемой версии Windows, инструкций из autorun.inf, если они доступны, и типа обнаруженного носителя.

Изменение поведения

До автозапуска

В версиих Windows до Windows XP будет читаться файл autorun.inf на любом типе диска и следовать его инструкциям. Задача AutoRun, если она указана, выполнить без вмешательства пользователя. Сюда входят DRIVE_REMOVABLE, DRIVE_FIXED и DRIVE_REMOTE типы дисков.

AutoRun будет работать с сетевыми дисками (тип диска DRIVE_REMOTE), которые сопоставлены с буквой диска. AutoRun также будет работать с дискодами гибких дисков, снабженными драйверами, совместимыми с автозапуском.

Параметры по умолчанию в версиих Windows до Windows XP (см. NoDriveTypeAutoRun), отключение удаленных и съемных дисков из Инициирование автозапуска, по умолчанию оставаясь активными фиксированными типами дисководов и дисководы CDROM.

Введение в AutoPlay

Создание AutoPlay в Windows XP выполнение последнего этапа (этап 7 выше) для некоторых типов дисков изменилось с выполнением приложения на вызов AutoPlay. Начиная с Windows Vista, система AutoPlay интегрирована во все аспекты обработки мультимедиа, и автоматическое выполнение задачи AutoRun отсутствует.

Параметры реестра по умолчанию установить съемные диски к тем, которые инициировали автозапуск. В Windows XP и более поздних версиях, за исключением Windows Server 2003, для автозапуска не активны только типы дисков Неизвестный и Удаленный.

Обработка файла autorun.inf очень сильно меняется между каждой версией Windows. Подробности можно найти в статье autorun.inf. Текущая обработка в Windows 7 такова, что только диски DRIVE_CDROM могут указывать задачу автозапуска, поведение двойного щелчка или контекстные меню.

Автозапуск обращается к значениям реестра Windows, чтобы решить, следует ли инициировать действия для любого конкретного диска или типа диска. Эти значения можно изменить с помощью нескольких методов, один из которых использует групповую политику.

. Основными снабженными именами реестра являются NoDriveTypeAutoRunи NoDriveAutoRun. Они существуют как для компьютеров, так и для пользователей, их положение и приоритет в реестре более подробно ниже.

Типы дисков

Типы дисков различаются по имени типа следующим образом:

Терминология реестра

Реестр Windows - это иерархическая база данных, в которой хранятся параметры конфигурации и параметры операционной системы. Терминология несколько вводит в заблуждение, поэтому здесь она кратко изложена.

Ключ реестра похож на папку, в которой, помимо параметров, каждый ключ может содержать подключи, которые, в свою очередь, могут содержать подключи, и так далее.

Значение реестра состоит из пары имя-данные. В документации Microsoft термин «запись» обычно используется как эквивалентный термин. Он также использует «значение» для «данных», когда очевидно, что имеется в виду. Чтобы избежать путаницы, в этой статье всегда используется термин «запись», когда речь идет о паре имя-данные.

Два реестра ключей, которые очень часто регистрируются, это HKEY_LOCAL_MACHINE, который содержит настройки для каждой машины, и HKEY_CURRENT_USER, который содержит для текущего пользователя, вошедшего в систему. Почти всегда они обозначаются сокращенно как HKLMи HKCUсоответственно. У машины может быть много пользователей; их настройки хранятся в HKEY_USERS, HKCUфактически просто ссылка на соответствующее место в HKEY_USERS.

Изменение настроек реестра

Настройки реестра могут быть изменены напрямую с помощью инструмента GUI regeditили утилиты командной строки reg.exe. Настройки также можно использовать в текстовый файл с расширением.reg. Например, «mychanges.reg». При двойном щелчке по файлу параметры файла вводятся в реестр, если разрешение разрешения.

Их можно изменить косвенно с помощью групповой политики, применить локально к компьютеру с GPEdit.mscили к домену с gpmc.msc.

Это может быть необходимо для выхода из системы или перезагрузки компьютера, чтобы изменения в реестре вступили в силу.

Порядок оценки

Записи NoDriveAutoRunи NoDriveTypeAutoRunмогут существовать в двух местах: в настройках для каждого пользователя (в HKEY_CURRENT_USER) и в -установка машины (под HKEY_LOCAL_MACHINE). Если запись отображается под HKEY_LOCAL_MACHINE, то любая соответствующая запись под HKEY_CURRENT_USER полностью игнорируется. Значения данных никоим образом не объединяются.

При принятии решения об активации автозапуска использовалась запись реестра NoDriveAutoRunи NoDriveTypeAutoRun. Если любое значение указывает на то, что диск должен быть отключен, автозапуск для этого диска отключен.

Таким образом в следующем примере:

значение данных, принятое для NoDriveAutoRun, равно 0x08, диск D и значение данных, принятое для NoDriveTypeAutoRun, равно 0x95, отключение съемных и сетевых дисков. Запись для каждого пользователя NoDriveAutoRunникогда не используется.

NoDriveTypeAutoRun

Эта запись реестра отключает или включает функцию автозапуска на всех дисках типа типа. Он отражает настройку групповой политики автозапуска. Допустимые данные рассматриваются от 0x00 до 0xFF в шестнадцатеричном формате. Если запись отсутствует, значение данных по умолчанию - 0x95 или 0x91 в зависимости от используемой версии Windows. Запись, присутствующая в HKLM, переопределяет любую запись, присутствующую в HKCU.

Входные данные представляют собой растровое значение, где бит, установленный в 1, отключает автозапуск на определенном типе диска. Битовые настройки для каждого типа привода показаны:

Обратите внимание, что бит номер 1 не используется и что тип «Неизвестный» представлен дважды. Установка всех битов в 1 даст шестнадцатеричное значение 0xFF, десятичное 255 и отключит автозапуск на всех типах дисков.

Значение по умолчанию для этой записи зависит от используемой версии Windows:

NoDriveAutoRun

Эта запись регистрирует или включает функцию автозапуска на отдельных дисках. Он не связан с групповой политикой и не существует по умолчанию. Значение данных принимается равным 0, если запись отсутствует. Запись, присутствующая в HKLM, имеющая приоритет над любой записью, присутствующей в HKCU.

Данные представляют собой 32-битное (DWORD) битовое значение, младшие 26 битов которого используются для представления каждой из 26 букв дисков от A до Z. Таким образом, допустимый диапазон данных составляет от 0x0 до 0x03FFFFFF. Наименьший значащий бит (правый бит) представляет диск A, а 26-й бит справа представляет диск Z.

Бит, установленный в 1, отключает автозапуск на определенном диске. Например, если значение данных установлено на 0x8 (1000 двоичных), автозапуск отключен на диске D.

Единственные параметры групповой политики, доступные для автозапуска, войти в регистр NoDriveTypeAutoRun. Доступно для каждой машины, либо для каждого пользователя, любое расположение записей в HKLM или HKCU. Как описано выше, настройка политики для каждой машины приведет к игнорированию настройки политики для каждого пользователя.

Когда политика включена, групповая политика добавит запись NoDriveTypeAutoRunв реестр. Если для политики установлено значение «Отключено» или «Не настроено», групповая политика удаляет эту запись из реестра для политики компьютера (в HKLM) и устанавливает для нее значение по умолчанию для политики пользователя (в HKCU). После этого могут вступить в силу системные настройки по умолчанию, как описано в разделе NoDriveTypeAutoRun.

Имена политик, расположение и возможные настройки незначительно различаются в зависимости от версии Windows. Список настроек относительно короткий и всегда дополняет системные настройки по умолчанию. Таким образом, в Windows 2000 включение политики «Отключить автозапуск» и установка для нее «Приводы компакт-дисков» отключает автозапуск (в отличие от автозапуска) для приводов CD-ROM и DVD, съемных приводов, сетевых дисков и приводов неизвестного происхождения. тип.

Этот параметр нельзя использовать для включения автозапуска на дисках, на которых он отключен по умолчанию, или для отключения автозапуска для дисков, не указанных в списке. Чтобы отключить или включить какие-либо определенные диски или типы дисков, реестр необходимо отредактироватьвручную.

Windows Server 2003, Windows XP и Windows 2000

Расположение политик для каждого компьютера:

Групповая политика \ Конфигурация компьютера \ Административные шаблоны \ Система

Для каждого пользователя расположение политик:

Групповая политика \ Конфигурация пользователя \ Административные шаблоны \ Система

Соответствующая политика - «Отключить автозапуск». В Windows 2000 политика называется «Отключить автозапуск».

После включения ее можно установить на «Все приводы» или «Приводы компакт-дисков». Последний параметр описываемых приведенных типов приводов, описанный выше.

Windows Vista, Windows Server 2008

Расположение политик для каждого компьютера:

Конфигурация компьютера \ Административные шаблоны \ Компоненты Windows \ Политики автозапуска

Расположение политик для каждого пользователя::

Конфигурация пользователя \ Административные шаблоны \ Компоненты Windows \ Политики автозапуска

Соответствующей политикой является «Отключить автозапуск», и ее можно установить для CD-ROM, DVD-ROM и съемных дисков или всех дисков.

Две связанные политики были добавлены в Vista и Server 2008:

.

Поведение по умолчанию для автозапуска

HKLM \ Software \ Microsoft \ Windows \ CurrentVersion \ Policies \ Explorer. HKCU \ Software \ Microsoft \ Windows \ CurrentVersion \ Policies \ Explorer
Имя записи	Тип данных	Диапазон	По умолчанию
NoAutoRun	REG_DWORD

Задает поведение по умолчанию для автозапуска команды, найденные в файлех autorun.inf.

До Windows Vista, когда носитель, предоставляющий autorun.inf, выполняющий задачу AutoRun, был: вставлен, выполнить по умолчанию было автоматическое выполнение программы без вмешательства пользователя. : В Windows Vista по умолчанию запускается автозапуск и задача автозапуска представлена ​​как: одна из опций диалогового окна. Это также происходит, когда эта политика не настроена или: отключена.

Если эта политика включена, поведение можно изменить на:

• полностью отключить команды autorun.inf или
• Автоматически выполнять команду autorun.inf, как в предыдущих версиях Windows.

Не устанавливайте флажок всегда делать это

HKLM \ Software \ Microsoft \ Windows \ CurrentVersion \ Policies \ Explorer. HKCU \ Software \ Microsoft \ Windows \ CurrentVersion \ Policies \ Explorer
Имя записи	Тип данных	Диапазон	По умолчанию
DontSetAutoplayCheckbox	REG_DWORD

Если эта политика Включено, флажок «Всегда делать это...» в диалоговом окне автозапуска не будет установлен: по умолчанию, когда отображается диалоговое окно.

Windows 7, Windows Server 2008 R2

В этих версиях Windows, возможность файла autorun.inf создать задачу автозапуска, имеет поведение двойного щелчка или контекстные меню ограничена дисками типа DRIVE_CDROM. Нет никаких параметров политики. Расположение и настройки политик соответствуют указанным выше Windows Vista, Windows Server 2008 с добавлением:

Отключить автозапуск для устройств без тома

HKLM \ Software \ Policies \ Microsoft \ Windows \ Explorer. HKCU \ Software \ Policies \ Microsoft \ Windows \ Explorer
Имя записи	Тип данных	Диапазон	По умолчанию
NoAutoplayfornonVolume

Если эта политика включена, AutoPlay будет отключено для устройств без громкости.

Нажатие клавиши Shift

Если удерживается клавиша ⇧ Shiftв конкретный момент выполнения Windows Vista вызывает диалоговое окно AutoPlay независимо от любых настроек AutoPlay, которые противоречат этому. Предыдущие версии Windows не выполняли задачу автозапуска. Используется левая клавиша Shift, так как удерживание правой клавиши Shift в течение восьми секунд вызывает клавиши FilterKeys.

Это может быть значительным количество времени, прежде чем оно вступит в силу. Время, необходимое в первую очередь, зависит от времени на распознавание нового оборудования и времени, необходимого для раскрутки CD-ROM. Полагаться на этот метод небезопасно.

Уведомление об автоматической вставке

Определенные события Уведомление об изменении носителя «Уведомление об изменении носителя» - это общий термин; для приводов CD-ROM конкретный термин - «Уведомление об автоматической вставке».

Для приводов CD-ROM изменить значения записи реестра на 0 отключит автоматическое уведомление о вставке только для приводов CD-ROM. Потребуется перезагрузка Windows.

В Windows 95/98 / ME этот параметр можно изменить в Диспетчере устройств, доступном из системы на панели управления.

Хотя запись в реестре называется «Автозапуск», она подавляет только сообщение MCN. Сообщение MCN вызывает запуск автозапуска, также дает указание оболочке Explorer обновить свои представления и содержимое.

Таким образом, только как побочный эффект, это отключает автозапуск для приводов CD-ROM. Однако теперь Explorer не обновляет свой вид при вставке нового компакт-диска; он будет показывать содержимое предыдущего компакт-диска, пока не будет нажата F5или пока не будет выбран пункт «Просмотр / обновление» в меню «Проводник». Это может привести к серьезной путанице для пользователей.

По этой причине никакой альтернативы об изменении носителя не следует отключать, если нет абсолютно альтернативы; Автозапуск можно отключить для отдельных дисков с помощью групповой политики или реестра.

Эта запись используется для подавления сообщения MCN для конкретного типа Привод компакт- дисков, в первую очередь чейнджеры компакт-дисков. Данные представлены набором информационных устройств, которые соответствуют системам самими устройствами.

Значение по умолчанию для этой записи состоит из продуктов, определенных при тестировании Microsoft как поддерживающие автозапуск. Эту запись не следует внимательно по умолчанию.

Редактирование групповой политики

Автозапуск может быть подавлен на определенных дисках и типах дисков с помощью методов, описанных в разделе Групповая политика. Однако редактор групповой политики недоступен в домашних версиях Windows XP и не предоставляет каких-либо детальных средств выбора дисков.

Однако групповая политика будет приемлемым методом отключения автозапуска для всего домена Windows.

Файлы реестра

Можно создать файл реестра, который при запуске вносит в реестр желаемые изменения.

Редактор реестра Windows версии 5.00 [HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows \ CurrentVersion \ policy \ Explorer] «NoDriveTypeAutoRun» = dword: 000000ff

В приведенном выше примере автозапуск был отключен для всех дисков и для всех пользователей. Этот пример запускает от имени администратора, и для того, чтобы вступили в силу, перезагрузка.

Сопоставление файлов инициализации

Windows Vista и более поздние версии Windows имеют параметр политики «Поведение по умолчанию для автозапуска», который может быть настроен на запрет чтения файла autorun.inf на любом объеме. Это позволяет избежать определенных сценариев, в которых вредоносное ПО использует функциональность autorun.inf для заражения машины. Предыдущие версии Windows не имели этого файла политики, использование сопоставления инициализации файлов эффективным решением.

Файл конфигурации автозапуска является стандартным файлом INI Windows , соответствующие вызовы API используются Windows при его получении. Эти вызовы API могут быть перенаправлены с помощью метода сопоставления файлов INI. Следующий файл реестра иллюстрирует обходной путь, где все настройки автозапуска берутся исключительно из раздела реестра HKEY_LOCAL_MACHINE \ Software \ DoesNotExist:

Редактор реестра Windows 5.00 [HKEY_LOCAL_MACHINE \ ПРОГРАММНОЕ ОБЕСПЕЧЕНИЕ \ Microsoft \ Windows NT \ CurrentVersion \ IniFileMapping \ Autorun.inf] @ = "@ SYS: DoesNotExist"

этот ключ не существует, файл autorun.inf не содержит информации о настройках. Важно отметить, что это относится к любому autorun.inf в любом месте и на любом диске.

любой параметр политики, либо обходной путь отключают автозапуск, установка программного обеспечения с автозапуска компакт-диска или DVD, очевидно, больше не будет автоматической. Потребуется просмотреть файл autorun.inf на компакт-диске, а затем запустить соответствующую программу установки.

Microsoft признала, что «поскольку может быть выполнен без ведома или согласия пользователя, пользователи могут захотеть эту функцию из соображений безопасности». и выпустили «Fixit» для отключения автозапуска для пользователей, которым неудобно редактировать реестр.

Ошибка отключения автозапуска

От Windows 2000 до Windows Server 2008, записи реестра, относящиеся к автозапуску, не обрабатываются должным образом, что приводит к уязвимости системы безопасности. Windows 95 и Windows 98 не пострадали.

автозапуск отключен, Windows не должна выполнять последовательность активации дальше, чем проверка реестра. Однако он анализирует любой найденный файл autorun.inf и делает все, кроме последнего действия, чтобы вызвать автозапуск или запустить приложение.

Это оставляет пользователя уязвимым для атак со стороны уязвимых, которые используют autorun.inf для изменения поведения двойного щелчка и контекстного меню. Двойной щелчок по значку диска заразит машину. Щелчок правой кнопкой мыши и выбор параметров «Исследовать» или «Открыть» в контекстном меню не является обходным решением, поскольку эти элементы меню могут быть задействованы через систему autorun.inf.

Эта ошибка была исправлена ​​в ряде обновлений безопасности, подробно описанных в статье 967715 базы знаний Microsoft.

Другие проблемы

• Если добавить компьютер в Активный Домен каталога, значение NoDriveTypeAutoRunможно сбросить до значения по умолчанию. Это связано с тем, что настройки групповой политики в домене вступают в силу. Это не ошибка.
• Некоторые программы могут намеренно попробовать настройки AutoRun Registry. Известно, что ранние версии программного обеспечения для записи компакт-дисков, например Roxio, изменяли таким образом.
• Если в групповой политике "Ограничить доступ к CD-ROM только локально зарегистрированным пользователям" параметр безопасности в разделе:

  Конфигурация компьютера \ Параметры Windows \ Параметры безопасности \ Стандартные политики \ Параметры безопасности

  включен (включен), тогда автозапуск может не работать.

  Установщики Windows также будут работать неправильно из-за доступа «Локальная система» к CD-ROM будет отклонен.

  Этот параметр групповой политики соответствует записи реестра:

  HKLM \ Software \ Microsoft \ Windows NT \ CurrentVersion \ Winlogon
  Имя записи	Тип данных	Диапазон	По умолчанию
  allocatecdroms	REG_SZ	0 или 1	0

  и должен быть установлен на 0.
• RealPlayer 10 мешает работе автозапуска до такой степени, что может выглядеть так, как будто автозапуск или автозапуск вообще не работают.

Векторы атакует

Функциональность автозапуска некоторое время использовалась как вектор отрицательного ПО. До Windows Vista действие по умолчанию с типом привода CD-ROM заключалось в выполнении всех инструкций autorun.inf без подсказок и предупреждений. Это делает несанкционированные компакт-диск одним из преступников заражения.

К ​​той же категории относится CD-ROM со смешанным содержимым. Аудио компакт-диск, который, по мнению пользователя, вообще не будет содержать программного обеспечения, может содержать раздел данных с autorun.inf. Некоторые компании, такие как Sony BMG, использовали этот вектор для установки вредоносного ПО, защита защиты от копирования звуковых дорожек.

U3 флеш-накопители, эмулируя устройство CD-ROM, также может заставить Windows выполнять команды из autorun.inf, найденного на эмулируемом CD-ROM.

Такие устройства, как Huawei E220 HSDPA-модем, корректно используют этот метод автоматической установки драйверов для самого модема. Однако воткнуть флешку из неизвестного источника - неразумный ход. USB Switchblade и аналогичные инструменты сделали атаки на флэш-накопители U3 тривиальными. Учитывая простоту написания атак на основе сценария, антивирусное программное обеспечение может оказаться неэффективным в предотвращении кражи данных и паролей.

С помощью стандартного флеш-накопителя можно использовать атаки социальной инженерии, чтобы побудить пользователя нажать на соответствующий элемент в диалоговом окне AutoPlay. Заманчиво Действие строка перспективных бесплатных игр или порнографии бы заманить многих пользователей в ловушку. В любой момент двойной щелчок по значку диска приведет к автоматическому использованию autorun.inf, в ловушку которой могут попасть более опытные пользователи.

Любой пользователь может настроить автозапуск, чтобы принимать за него различные решения; при установке соответствующего флажка в диалоговом окне «Автозапуск» запуск вредоносного ПО на флэш-накопителе происходит автоматически и автоматически.

Вредоносная программа AutoRun была расширена для использования жестких дисков, фоторамок и других цифровых устройств. Осторожность при обращении с внешними устройствами является приоритетом безопасности. Распространенность заражения вредоносным ПО с помощью AutoRun и USB-флеш-памяти был задокументирован в исследовании Microsoft 2011 года, в котором анализировались данные из более чем 600 миллионов систем по всему миру в первой половине 2011 года. USB-накопителями, использующими функцию показания автозапуска в Microsoft Windows, были вызваны 26 процентов всех заражений системы Windows. Этот вывод согласуется с другими статистическими данными, такими как ежемесячный отчет антивирусной компании ESET о наиболее часто обнаруживаемых вредоносных программах, в которых используется autorun.inf занесено в первую десятку угроз в 2011 году.

Защита от атак

В дополнение к основным мерам безопасности, которое включает в себя

• следование принципу наименьших прав за счет отказа от обычного использования с правами администратора и применения
• все соответствующие исправления и обновления безопасности,

подверженность этим атакам можно минимизировать за счет использования параметров групповой политики и реестра. Следующие политики безопасности являются кратким изложением политик, описанных в этой статье:

• Отключить автозапуск (но см. ошибку отключения автозапуска)
• Использовать групповую политику «Поведение по умолчанию для автозапуска» в Vista (см. выше) для отключения команд autorun.inf
• используйте сопоставление файлов инициализации, чтобы обнулить разделы autorun.inf
• В Windows 7 приложения могут указывать только приводы CD и DVD Как задача AutoRun в файле autorun.inf. Windows XP и более поздние версии могут быть исправлены, чтобы вести себя так же, как и с обновлением был KB971029. добавлен в официальный канал Центра обновления Windows. Поведение задачи автозапуска Windows 7 теперь становится значением по умолчанию для всех текущих версий ОС Windows.

Кроме того, Microsoft рекомендовала следующие действия, в основном во время Conficker атаки червя:

• Предотвратить вызов autorun.inf из общих сетевых ресурсов:
  1. Удаление любого существующего файла autorun.inf из m в корне подключенного сетевого диска
  2. Отказ в правах на создание в корне подключенного сетевого диска
• Предотвратите USB-устройств с помощью:
  • настроек USB в Системный BIOS
  • Соответствующие параметры реестра, как опис в статье базы знаний 823732
  • Настройка USB-устройств только для чтения для предотвращения распространения неизвестных червей (и кражи конфиденциальных данных)

• AutoPlay
• autorun.inf

• Справочник по автозапуску и автозапуску, Microsoft, MSDN Library
• Черви карты памяти, блог Ника Брауна
• Autorun Protector, автономное программное обеспечение, предотвращающее автозапуск компьютерных червей и защитное устройство от заражения из других источников.
• Справочное руководство по автозапуску Дэна МакКлоя
• Прыжки с острова на страже безопасности: инфекционное очарование поставщика Swag, журнал TechNet
• Рисунок 4: пример кода querycancelautoplay, Microsoft Systems Journal, сентябрь 1998 г.
• Мастер восстановления AutoP l ay, Центр загрузок Microsoft
• Тест ваша защита от вредоносных USB-накопителей, блог Computerworld, 24 января 2009 г.
• Лучший способ отключить автозапуск для защиты от зараженных USB-накопителей, блог Computerworld, 30 января 2009 г.
• Как сделать Удалите AutoRun Virus
• Microsoft PowerToys, Microsoft, Tweak UI
• Online Information Resource в функциях автозапуска / автозапуска Microsoft Windows
• AutoRunConf простой инструмент настройки параметров автозапуска.
• Как включить / отключить автозапуск для диска (с помощью реестра)
• Отключить автозапуск включить / выключить функцию автозапуска / автозапуска в Windows
• Создать меню автозапуска Создать свой собственный автозапуск Меню