アナログ
RSS  

この前のAutoRunワーム対策は不十分だったらしい2009/01/24 00:22

この前のというのは、USBウイルスのことなのですが、対策が十分でなかったそうです。

追記:Windows の自動実行機能を無効にする方法の方が参考になると思います。

WindowsのAutoRunワーム拡散問題、US-CERTが対策方法含め新たな警告 | パソコン | マイコミジャーナル
Windowsではautorun.infの情報をキャッシュする仕組みがあり、過去に1度でも接続されたデバイスの情報を記録しているという。そのためキャッシュが残った状態でAutoRunを無効にしても、依然としてAutoRunを経由したワームの拡散が発生する危険性があると説明する。その場合、下記のレジストリキーを完全に削除して対策を行う必要がある。ただし、レジストリキーの削除でAutoRun機能そのものが削除されることになるので、実行にあたっては注意してほしい。
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2

HKEY_CURRENT_USERということは、コンソールでログオンするユーザ全部にやらないといけないのか……これは大変かも。
グループポリシーでなんとかならないものかな。

私はインストール時に無効にしてるって以前書いたけど、それでもインストールで使ったデバイスがAutorun有効でキャッシュされてた。これは危ないですね。 ちゃちゃっとやるため、削除用のファイルを作っちゃいましょう。
REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]
@="@SYS:DoesNotExist"

[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2]
これをメモ帳にコピペしてmntp.regのように~.regにリネームして、右クリックの結合して(ログオンするユーザ全てに適用する必要があります)再起動でいいはず。
再起動するとMountPoints2が作られてるので、Autorunを無効にする設定は必要なのだろうと思います。
(勘違いしてたようで orz よく読んだらAutorun.infをレジストリで無効にした上でということだった。という訳で上のレジストリに追記しました)


Windows 7でも「autorun.inf」悪用ワームのアイコン偽装に注意
具体的には、「Install or run program(プログラムのインストール/実行)」というカテゴリにあるアイコンが、「Open folder to view files(フォルダを開いてファイルを表示)」となっており、ユーザーはフォルダを開いたつもりでもワームが実行するとしている。

まあ実体は、Vista R2な訳ですし。
Autorunに関しては95>XP>Vistaでどんどん脆弱になっていってる訳でありますしw


参考
US-CERT Technical Cyber Security Alert TA09-020A -- Microsoft Windows Does Not Disable AutoRun Properly
US-CERT Vulnerability Note VU#889747 の日本語訳 - 葉っぱ日記
Vulnerability Analysis Blog: The Dangers of Windows AutoRunの日本語訳 - 葉っぱ日記

関連
USBウイルスが流行りらしい
デジカメプリント注文機にウイルス、メモリーカード経由で感染

コメント

コメントをどうぞ

※メールアドレスとURLの入力は必須ではありません。 入力されたメールアドレスは記事に反映されず、ブログの管理者のみが参照できます。

※投稿には管理者が設定した質問に答える必要があります。

名前:
メールアドレス:
URL:
次の質問に答えてください:
スパムがウザイので合い言葉を入れるようにしました。山と言えば川だろJK


コメント:

トラックバック

このエントリのトラックバックURL: http://puppet.asablo.jp/blog/2009/01/24/4076892/tb

※なお、送られたトラックバックはブログの管理者が確認するまで公開されません。