Новости
Видео
Microsoft
Windows 10
Железо
Программы
Форум

Имя пользователя:
Пароль:  
Помощь | Регистрация | Забыли пароль?  | Правила  

Компьютерный форум OSzone.net » Информационная безопасность » Защита компьютерных систем » Утилиты - NoMoreAutorun - утилита для отключения автозапуска.

< Предыдущая 1 2 3 4 5 Следующая > Последняя »
Ответить
Настройки темы
Утилиты - NoMoreAutorun - утилита для отключения автозапуска.

Аватара для volk1234

Старовер


Сообщения: 1708
Благодарности: 314


Конфигурация

Профиль | Отправить PM | Цитировать

Изменения
Автор: volk1234
Дата: 24-05-2010
Вложения
Тип файла: rar nmar_10.4.17.rar
(525.8 Kb, 337 просмотров)
Любите ли вы вирусы проникающие на компьютеры на флэшках, так как их люблю я?

В общем решил я себе сделать подспорье в работе, небольшой скриптик, который отключает все возможные способы Автозапуска. Который, как известно, является наиглавнейшим после интернета способом распространения- выживания вирусов.
Проведя небольшое исследование я выяснил – для полноценной защиты необходимо отключить автозапуск со всех устройств кроме CD\DVD (с помощью параметра NoDriveTypeAutoRun ) и установить 2 обновления – KB967715 и KB971029. Обратите внимание KB967715, KB953252 и KB950582 абсолютно идентичны по функционалу и нет нужды устанавливать их на систему одновременно. Единственное – для Windows Vista подойдет только KB950582 – этот момент скрипт обрабатывает.
Также надо защитить все сменные носители от записи на них файлов autorun.inf – для предотвращения запуска вирусов с флэшки на компьютерах с включенным автозапуском.

Скачать:
rapidshare Ссылка
oszone (см. вложение)


Использование

Применим на системах Windows XP(RUS/ENG), Windows 2003 Server (RUS/ENG), Windows Vista (RUS/ENG);

В зависимости от использованного при запуске ключа утилита выполняет различные действия по отключению автозапуска.

GUI оболочка для скрипта.
Для облегчения использования скрипта начинающими пользователями участником конференции OsZone.net Drongo была сделана графическая оболочка (GUI).
Функционал GUI аналогичен работе скрипта, он формирует командную строку в зависимости от вашего выбора и запускает модифицированный вариант скрипта.

Опции GUI:

См. встроенну справку...

Возможности скрипта:

1. Работает с разделами (параметрами) реестра:

Код: Выделить весь код
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer
NoDriveTypeAutoRun=0XDF (223)
HonorAutorunSetting=0x1 
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer 
NoDriveTypeAutoRun=0XDF (223)
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf
 @=@SYS:DoesNotExist (в данной версии @=@SYS:DoesIsAutorunKaput)
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\CancelAutoplay\Files 
"*.*"=0
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2
Скрипт может
- задавать значения этих параметров,
- блокировать доступ к ним,
- разблокировать доступ и возвращать значения по умолчанию этих ключей.

2. Отключает \ запускает службу Определение оборудования оболочки (ShellHWDetection)

3. Определяет наличие в системе KB967715(KB953252, KB950582) и KB971029, при необходимости скачивает их с сайта Microsoft и устанавливает. Также есть ключ для установки этих обновлений даже если они есть в системе(принудительная установка)

4. Позволяет создать «неудаляемую» папку Autorun.inf, препятствующую записи вирусом своего файла autorun.inf – на текущем диске, на всех доступных дисках, на конкретном диске.

5. Разблокировать доступ к вышеуказанным веткам реестра (в случае закрытия разрешений на доступ к ним вирусом)

6. Запретить добавление новых USB устройств на компьютер (уже установленные будут работать)

7. Запретить использование всех носителей информации USB на компьютере

8. Запретить запись на носители информации USB на компьютере

9. Позволяет использовать ключи командной строки в заранее определенных автором комбинациях - «макросы» или сформировать свою последовательность команд из более мелких опциональных команд.

10. Сохраняет все оригинальные разрешения и значения параметров реестра в папку nmar_backup для возможности восстановления.

11. Ведет протокол работы в файл log.txt


В общем- то ничего революционного, просто полезные вещи для борьбы с вирусной заразой сведенные в одном файле. Надоело делать много разных действий руками...

Примечание:
В связи с тем, что блокируется доступ к некоторым веткам реестра, что не есть хорошо и возможны различные ошибки,
1. Я снимаю с себя любую ответственность за последствия;
2. Желательно использование утилиты на установленной и настроенной системе ( когда установлены все программы и службы, меньше вероятность, что одной из них срочно понадобится записать значение в один из защищаемых ключей);

Синтаксис:


Код: Выделить весь код
 nmar.cmd -ключ [опция]


Ключи:

-help - показывает короткую справку на английском языке;


-ms - (minimal settings) Рекомендуемый режим использования утилиты:
1. Отключает автозапуск (автовоспроизведение) на всех дисках кроме CD\DVD;
2. Устанавливает обновления KB967715(KB950582), KB971029 если они нужны;
3. Изменяет значения параметров NoDriveTypeAutorun=223, HonorAutoRunSetting=1 в разделах реестра HKLM(HKCU)\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer;

-full - Более полный режим: выполняет все действия ключа –ms, плюс очищает ветку HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2 от всех записей и защищает ее от изменений;


-nomore – Т.н. параноидальный режим (не рекомендуется на компьютерах использующих групповую политику):
1. Принудительно устанавливает обновления KB967715(KB950582), KB971029;
2. Изменяет значения параметров NoDriveTypeAutorun=223, HonorAutoRunSetting=1, *.* = "", @ = @SYS: DoesIsAutorunKaput в разделах реестра HKLM(HKCU)\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer;
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\CancelAutoplay\Files;
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf;
3. очищает ветку HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2 от всех записей и защищает ее от изменений;
4. Отключает службу Определение оборудования оболочки (ShellHWDetection);
5. Закрывает ветки реестра указанные в п.2 на запись;


-kb - Принудительно устанавливает обновления KB967715(KB950582), KB971029.


-p - защитить диск(Создать защищенную папку Autorun.inf) с которого запущен скрипт;
-pd [x:] - защитить диск x: (Создать защищенную папку Autorun.inf);
-pall - защитить диск(Создать защищенную папку Autorun.inf) на всех доступных дисках;


-unlockall – открыть доступ на уровне разрешений ко всем ранее заблокированным объектам – файлам, ключам реестра;
Может использоваться для разблокировки этих объектов заблокированных вирусами. Рекомендуется в случае
ошибок или невозможности изменить параметры реестра, доступ к файлам. Если нет заранее сохраненных файлов настроек с разрешениями для объектов – применяются настройки разрешений по умолчанию – полный доступ Администраторов и Системе.

-do [опция] – выполняет действие заданное опцией, список опций ниже;
-l [опция] - выполняет блокировку доступа к объекту заданному опцией, список опций ниже;
-un [опция] - выполняет разблокировку доступа к объекту заданному опцией, список опций ниже;




Опции ключа [-do] :

reg1 - изменяет значение параметров реестра:

1. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer;
NoDriveTypeAutorun=223;
или если было указанно другое значение NoDriveTypeAutorun=[значение] , если не указанно
применяется 223 – значение по умолчанию. Значения можно задавать как в десятичной так и
шестнадцатеричной системах счисления;

2. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer;
HonorAutoRunSetting=1;

reg2 - изменяет значение параметров реестра:

1. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\CancelAutoplay\Files;
*.* = "";
2. HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf;
@ = @SYS: DoesIsAutorunKaput;



srvoff – Останавливает и отключает службу ShellHWDetection ;
srvon– Запускает ShellHWDetection ;

mountp - очищает ветку HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2 от всех записей, информация содержащаяся в ветке сохраняется в REG- файл в папке nmar_backup для возможности восстановления.





Опции ключа [-l] :

reg1 - закрывает доступ к параметру реестра:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer;

reg2 - закрывает доступ к параметрам реестра:
1. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\CancelAutoplay\Files;
2. HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf;

usbadd – запрещает установку новых USB устройств хранения (уже установленные будут работать);
usbuse - запрещает использование всех USB устройств хранения;
usbwrite - запрещает запись на USB устройства хранения данных. Чтение с устройств доступно;
mountp - закрывает доступ к параметру реестра:
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2;




Опции ключа [-un] :

reg1 - открывает доступ и устанавливает значение ОС по умолчанию для параметра реестра:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer;

reg2 - открывает доступ и устанавливает значение ОС по умолчанию для параметров реестра:
1. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\CancelAutoplay\Files;
2. HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf;

usbadd - разрешает установку новых USB устройств хранения ;
usbuse - разрешает использование всех USB устройств хранения;
usbwrite - разрешает запись на USB устройства хранения данных;

mountp открывает доступ к параметру реестра:
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2;


Блокировка- разблокировка доступа.


Блокировка- разблокировка доступа к объектам осуществляется через установку разрешений с помощью утилиты subinacl от Microsoft. Текущие разрешения объекта перед изменениями сохраняются в папку nmar_backup для возможности восстановления.
Файлы именуются названием ключа программы + дата+ время+имя компьютера. Для восстановления информации эти файлы надо переписать в одну папку со скриптом и переименовать, удалив часть имени справа от подчеркивания (включая подчеркивание). Пример: mountp_20091129_150201_comp13.log -> mountp.log. Только в этом случае сохраненная информация о разрешениях объектов будет использоваться, если программа не находит такого файла для какого- либо объекта – она применяет разрешения по умолчанию: полный доступ группе Администраторы и группе Система.
При блокировке доступа задается разрешение группе Все на чтение. Остальные группы удаляются.
Применение ключа –unlockall без файлов с информацией о разрешениях объектов приведет к заданию у всех объектов
на которые воздействует скрипт разрешений по умолчанию (по умолчанию для скрипта, а не для ОС). Поэтому применяйте этот ключ перед другими только в случае необходимости разблокировки объектов.


Запрещение добавления\использования\записи на USB устройства хранения.


Для корректной работы ключа –l usbadd необходимо предварительно подготовить компьютер – удалить все ненужные USB устройства (а также их тома)из консоли оснастки Диспетчер оборудования, предварительно включив режим Показать скрытые устройства в меню Вид.
Для корректной работы ключей –l usbadd, –l usbuse, –un usbadd, –un usbuse рекомендуется перезагрузить компьютер после их применения.
Для корректной работы ключа –l usbwrite необходимо отключить все USB устройства хранения данных от компьютера.


Авторские права

(с) 2009-2010 volk1234 – Скрипт NoMoreAutorun
(с) 2009-2010 Drongo – GUI оболочка NoMoreAutorun
(с) 2009 amel – секция скрипта для скачивания обновлений и обработки ключей
(с) 2010 crashtuak – тихий режим командной строки в GUI
(с) Microsoft – утилита subinACL.exe
(с) http://curl.haxx.se – утилита curl.exe


Данный скрипт может распространятся в некоммерческих целях абсолютно свободно.
Это сообщение посчитали полезным следующие участники:

Отправлено: 02:16, 31-05-2009

 

Аватара для Drongo

Будем жить, Маэстро...


Сообщения: 6694
Благодарности: 1393

Профиль | Сайт | Отправить PM | Цитировать

Цитата volk1234:
Код: Выделить весь код
nmar.cmd -full
nmar.cmd -usbadd
nmar.cmd -usbuse
»
А как же тогда быть с опциями?
Цитата:
-do [опция] – выполняет действие заданное опцией, список опций ниже;
-l [опция] - выполняет блокировку доступа к объекту заданному опцией, список опций ниже;
-un [опция] - выполняет разблокировку доступа к объекту заданному опцией, список опций ниже;
Ведь у каждой опции идентичный набор ключей (usbadd, usbuse), как утилита "поймёт" с какой опцией (-do, -l, -un) используются указаные ключи -usbadd, -usbuse, mountp?

Цитата volk1234:
Жду предложений по улучшению функционала... »
Мне бы хотелось, чтобы одной строкой можно было бы использовать выбранный набор команд.

-------
Правильная постановка вопроса свидетельствует о некотором знакомстве с делом.
3нание бывает двух видов. Мы сами знаем предмет — или же знаем, где найти о нём сведения.
[Quick Killer 3.0 Final [OSZone.net]] | [Quick Killer 3.0 Final [SafeZone.cc]] | [Парсер логов Gmer] | [Парсер логов AVZ]

http://tools.oszone.net/Drongo/Userbar/SafeZone_cc.gif

Отправлено: 21:53, 30-11-2009 | #21



Для отключения данного рекламного блока вам необходимо зарегистрироваться или войти с учетной записью социальной сети.

Если же вы забыли свой пароль на форуме, то воспользуйтесь данной ссылкой для восстановления пароля.


Аватара для volk1234

Старовер


Сообщения: 1708
Благодарности: 314

Профиль | Отправить PM | Цитировать

Цитата Drongo:
Ведь у каждой опции идентичный набор ключей (usbadd, usbuse »
usbadd, usbuse есть только в виде опций для команд -l, -un - тоесть по смыслу - запретить, разрешить.
В своем предыдущем посте я был неточен.

Цитата Drongo:
Мне бы хотелось, чтобы одной строкой можно было бы использовать выбранный набор команд. »
Если придмаете грамотный алгоритм обработки в бат файле, жду с нетерпением

Вообще, а что вам мешает доработать набор своим бат-файлом, примерно такого содержания:

Код: Выделить весь код
@Echo off

nmar.cmd -do reg1
nmar.cmd -do reg2
nmar.cmd -do usbadd
nmar.cmd -do usbuse
nmar.cmd -do mountp

Exit
Ведь задача запрещения автозапуска достаточна тривиальна(и в принципе схема действий неизменна в масштабах предприятия) - ключ -full плюс еще дополнительно можно запретить добавление новых флешек. Это же не ежедневно выполняемые действия.

-------

Ю-ху!

Отправлено: 22:58, 30-11-2009 | #22


Аватара для volk1234

Старовер


Сообщения: 1708
Благодарности: 314

Профиль | Отправить PM | Цитировать

Есть еще идея добавить в ключ -unlockall
возврат в изначальное состояние
- HKLM\SYSTEM\CurrentControlSet\Services\Cdrom (эту ветку я не срипт не трогает ибо не нужна и отвечает за другое, однако изменение параметра AutoRun в этой ветке другими программами или пользователем повлияет на отображение значков CD\DVD

-------

Ю-ху!

Отправлено: 01:12, 01-12-2009 | #23


Аватара для Habetdin

​


Автор проектов


Сообщения: 3649
Благодарности: 1498

Профиль | Сайт | Отправить PM | Цитировать

Цитата volk1234:
Определяет наличие в системе KB967715(KB953252, KB950582) и KB971029, при необходимости скачивает их с сайта Microsoft и устанавливает. »
А какие именно файлы нужно скачать и "подложить" скрипту, чтобы он "работал без интернета"?

-------
Рекомендую: $25 на тест виртуального сервера (VPS) за регистрацию по ссылке

Отправлено: 01:35, 01-12-2009 | #24


Аватара для volk1234

Старовер


Сообщения: 1708
Благодарности: 314

Профиль | Отправить PM | Цитировать

Это прямые ссылки на все 3 ОС на двух языках

читать дальше »
Код: Выделить весь код
http://download.microsoft.com/download/F/9/4/F94973CB-FAE1-4B88-97F0-0FA9AAA38CDD/WindowsXP-KB967715-x86-RUS.exe
http://download.microsoft.com/download/1/B/3/1B331878-8AF9-4642-94F4-0B0B0A9DD14A/WindowsXP-KB967715-x86-ENU.exe

http://download.microsoft.com/download/C/3/3/C33FA7CF-EDC4-4BBE-ABB8-A52911A16A24/WindowsServer2003-KB967715-x86-RUS.exe
http://download.microsoft.com/download/1/A/2/1A234937-9572-408D-ACC9-3F99915CAC67/WindowsServer2003-KB967715-x86-ENU.exe

http://download.microsoft.com/download/6/e/3/6e385b3a-212c-445f-bb59-f7b54cc7c6ad/Windows6.0-KB950582-x86.msu


http://download.microsoft.com/download/F/1/C/F1CDDF43-5A46-4BFA-BCDA-48AFFF629D22/WindowsXP-KB971029-x86-ENU.exe
http://download.microsoft.com/download/7/E/A/7EAD5151-D2BD-428B-91A3-355BF03804FD/WindowsXP-KB971029-x86-RUS.exe

http://download.microsoft.com/download/5/9/6/5968949E-128C-4CB2-AA95-76BC079C16B9/WindowsServer2003-KB971029-x86-ENU.exe
http://download.microsoft.com/download/2/B/E/2BEE7E90-9DCA-46EA-883E-C0CE2E95083C/WindowsServer2003-KB971029-x86-RUS.exe

http://download.microsoft.com/download/9/4/0/9401F991-EA40-4A1B-9DB1-FC078F39F405/Windows6.0-KB971029-x86.msu


Надо их положить в одну папку со скриптом не меняя названий, например WindowsXP-KB967715-x86-RUS.exe

-------

Ю-ху!

Это сообщение посчитали полезным следующие участники:

Отправлено: 03:30, 01-12-2009 | #25


Аватара для volk1234

Старовер


Сообщения: 1708
Благодарности: 314

Профиль | Отправить PM | Цитировать

Пока удалил ссылки на бету - выложу исправленую RC1 скоро.

-------

Ю-ху!

Это сообщение посчитали полезным следующие участники:

Отправлено: 15:59, 05-12-2009 | #26


Аватара для volk1234

Старовер


Сообщения: 1708
Благодарности: 314

Профиль | Отправить PM | Цитировать

NoMoreAutorun v.9.12 b124 RC1

исправлены ошибки
* не сохранялась резервная копия ветки Mountpoints2
* неправильно работал ключ reg2- вместо правильной ветки блокировалась \ разблокировалась ветка HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
* не работал ключ -l usbadd не блокировалась установка новых USB устройств хранения данных

над GUI версией пока работаем вместе с Drongo

-------

Ю-ху!

Отправлено: 18:51, 05-12-2009 | #27


Аватара для volk1234

Старовер


Сообщения: 1708
Благодарности: 314

Профиль | Отправить PM | Цитировать

Хех, не смог удержатся - добавил до кучи все функции которые хотел:
NoMoreAutorun v.9.12 b126 RC2

+ Значение NoDriveTypeAutorun теперь можно задавать самостоятельно из командной строки
Код: Выделить весь код
nmar -do reg1 0xAA

по умолчанию NoDriveTypeAutorun=223. Значения можно задавать как в десятичной так и шеснадцатеричной системах счисления.
+ добавлены ключи -l usbwrite, -un usbwrite закрывающие\открывающие запись на USB устройства
хранения данных. Чтение с устройств доступно.
использован ключ [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies] "WriteProtect"=dword:00000001
* Группа Все теперь удаляется из ACE при выполнении команды -un

-------

Ю-ху!

Отправлено: 01:26, 06-12-2009 | #28


Новый участник


Сообщения: 13
Благодарности: 0

Профиль | Отправить PM | Цитировать

выполнял и новый ( -ms) и старый скрипт, следуя Вашему совету изменял код для автозапуска с CD/DVD, но к сожалению он не выполняется....

возможно ли не отключать его? (хотя ведь вносятся строчки в реестр которые не дают Win распознать файлы autorun.inf)

Отправлено: 16:11, 12-12-2009 | #29


Аватара для volk1234

Старовер


Сообщения: 1708
Благодарности: 314

Профиль | Отправить PM | Цитировать

Не совсем понял - что не выполгняется? Нельзяли поподробнее - что делалось и что не получилось. Какая ОС ?

-------

Ю-ху!

Отправлено: 21:07, 12-12-2009 | #30

< Предыдущая 1 2 3 4 5 Следующая > Последняя »


Компьютерный форум OSzone.net » Информационная безопасность » Защита компьютерных систем » Утилиты - NoMoreAutorun - утилита для отключения автозапуска.

Участник сейчас на форуме Участник сейчас на форуме Участник вне форума Участник вне форума Автор темы Автор темы Шапка темы Сообщение прикреплено

Похожие темы
Название темы Автор Информация о форуме Ответов Последнее сообщение
есть ли программа для отключения монитора? dima1981 Хочу все знать 4 17-12-2010 15:00
Система - Программы для отключения автозагрузки 6865 Программное обеспечение Windows 1 22-12-2009 01:29
Debian/Ubuntu - Прога для отключения тачпада! rustamx Общий по Linux 5 18-08-2009 20:48
[решено] Программа автозапуска для флешки Medic84 AutoIt 2 09-06-2009 22:21
Система - Программы для отключения питания HDD diga Программное обеспечение Windows 20 28-01-2009 00:02


« Предыдущая тема | Следующая тема »


 
Переход