# Форум на русском языке  > Чаво  >  Борьба с автозапуском новыми методами

## XP user

Автозапуск часто не причина заражения, а один из мощных способов через которых зловред *выживает*, так как ему регистрироваться в системе не надо через 'классические' ключи в реестре. Так как у большинство юзеров автозапуск включён (удобно же), успех - гарантирован. Как отключить этот механизм?

*1 + 2* - классический подход - отключить через политики Windows.
*3, 4, 5* - закрытие дыр в 1+2.

1) HKEY_LOCAL_MACHINE\System\CurrentControlSet\Servic  es\Cdrom
Установить значение параметра AutoRun равным *0* и перезагрузиться.

2) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr  entVersion\policies\Explorer
'NoDriveTypeAutoRun' (dword) Значение *ff* (шестнадцатеричная) или *255* (десятичная)
Настройки в HKEY_CURRENT_USER таким образом игнорируются, но можно и там такой ключ создать если вы хотите для убедительности.

3) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf
Дать строковому параметру (типа REG_SZ) со *значением* (не названием!)


```
@SYS:DoesNotExist
```

Таким образом Windows думает, что autorun.inf нет вообще на компе и злостные команды для запуска зловредов в файле autorun.inf не выполняются.

[P.S.: 
@ = Данный символ блокирует чтение файла .INI, если запрашиваемые данные не найдены в системном реестре.
SYS: = Данный префикс обозначает раздел 'HKEY_LOCAL_MACHINE\Software', текст после этого префикса соответствует данному ключу.]

4) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr  entVersion\Explorer\AutoplayHandlers\CancelAutopla  y\Files
Создать строковый параметр типа REG_SZ с *названием* 

```
*.*
```

 (так как здесь указываются ТЕКСТОВЫЕ ПАРАМЕТРЫ ФАЙЛОВ, КОТОРЫЕ *НЕ ДОЛЖНЫ* 'АВТО-ЗАПУСКАТЬСЯ', мы поставим *.* - это значит 'любой').

5) Через ключ MountPoints2 в реестре также существует возможность для системы обходить заданный запрет на автозапуск сьёмных носителей. Как с этим бороться? Полностью удалить ВСЕ ключи MountPoints2 которые вы находите в реестре (там могут уже быть заданы параметры по автозапуску для сьёмных устройств, которые система уже знает). Перезагрузить компьютер. Ключи заново создаются, но уже чистыми. Задать вашему монитору реестра, чтобы он следил за новыми, чистыми ключами MountPoints2, которые будут в результате, и желательно, чтобы он БЛОКИРОВАЛ бы доступ туда по умолчанию. Также стоит мониторить все другие вышеназванные ключи - это очень серьёзный проактивный подход к данной проблеме.

Paul

----------

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

----------


## XP user

> Для ленивых REG файл по пунктам 1,2,3,4


У вас пункт 4 в рег файле так выглядит:


```
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\CancelAutoplay\Files]
@="*.*"
```

Но я имел в виду это:


```
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\CancelAutoplay\Files]
"*.*"=""
```

Нам требуется не значение уже существующего параметра, а совсем новый параметр без дополнительного значения - см. картинку.



в отличие от другого параметра (DoesNotExist), где мы действительно задаём значение для уже существующее параметра:



Paul

----------


## zerocorporated

Для ленивых REG файл по пунктам 1,2,3,4 исправленный

----------


## Marielito07

А про какой монитор идет речь, про тот что у антивируса? Это по поводу MountPoints

----------


## drongo

Marielito07, Идёт речь про активный мониторинг реестра- у некоторых антивирусов он есть, а у других его нет. То есть, y тех у кого есть-> можно  указать программе защиты следить за этим ключом и блокировать/разрешать доступ.

----------


## Sawyer

Работают ли эти настройки для Windows Vista?
1 пункт выполнил, по 2 не смог найти Explorer в policies(его там просто нет)

----------


## Martinz

Аналогично не смог найти Explorer в policies (HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Cur  rentVersion\policies\Explorer) но у меня WinXP.. Может там не HKEY_LOCAL_MACHINE а HKEY_CURRENT_USER? там и Explorer и NoDriveTypeAutoRun =/

----------


## pig

Создать.

----------


## Hanson

странность какаято происходит, вчера делал как тут написано было, комп не перезагружал чтобы проверить, выключил и ушел домой , сегодня с компом странности какието:
lotusNotesDomino кричит что у меня инвалидная языковая спецыфикация и грузиться с дефолтным языком(анлийским)
в панели быстрого запуска перестала работать кнопка "свернуть все окна"
тоал командер тоже забыл руский и все настройки что я делал, и в упор нихочет их принимать

----------


## PavelA

@Hanson Это из другой оперы. У меня пару дней назад влетело обновление системы, которое сломало нон-юникодные программы. Способ вылечить нашел.
При необходимости кину ссылку в ЛС.

----------


## Hanson

ко всему перечисленому прибавилось еще
незапускаются setup.exe под разными предлогами
какието инсталеры запускаются, но установка до конца недоходит, а просто завершается (((

----------


## PavelA

Вот в этом ключике посмотри:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options

Кажется, я читал что это исключения.

----------


## Virtual

> ко всему перечисленому прибавилось еще
> незапускаются setup.exe под разными предлогами
> какието инсталеры запускаются, но установка до конца недоходит, а просто завершается (((


а вот это думаю уже знакомо многим
проблема в длинных путях с да с пробелами да с кирилицей в переменных окружения tmp temp!
мой компьютер-свойства-дополнительно-переменные среды
в переменных среды пользователя удалить строчки касательно tmp, temp
заработают системные пути (%SystemRoot%\TEMP)

PS данная проблема известна с вин2к и первый признак: инсталшиелд доходит до 99% думает... иии вылетает молча  :Smiley:

----------


## Liveofan

Для ленивых скриптик убивающий авторан, по выше описанной технологии

----------


## Hanson

*Liveofan,PavelA*
спасибо за советы,
но проблему решил переустановкой винды, всеравно это давно надо сделать было, просто нехотелось, а так повод нашелся,

----------


## Brainiacs

Доброго времени!

*Пару вопросов:*

*1.* Если человек работает с банк-клиентами, и у него flash'ки для авторизации или usb-дисковод для дискет, 
я так понимаю это как-то повлияет на работу с банк-клиентами???

*2.* А может, кто-нибуть выложить скриптик возврата настроек 
в прежнее состояние (чтобы autorun работал)???

*With Best Regards
Brainiacs*

----------


## Alex_Goodwin

Для авторизации автозапуск не нужен. Софт сам ищет ключ на флешке.

----------


## Snejoker

> *2.* А может, кто-нибуть выложить скриптик возврата настроек 
> в прежнее состояние (чтобы autorun работал)???


Актуально и для меня.

----------


## NRA

> Актуально и для меня.


К сожалению, это актуально для многих:

1. перед любыми манипуляциями с реестром
а) делать бэкап (экспорт всех/нужных ветвей == ~55 МБ и можно сжать ZiP/RAR == ~1 МБ) или
б) сделать Точку восстановления

2. посмотреть исходный текст мкрипта и восстановить дефолтные/нужные значения
(можно глянуть и под другим аккаунтом/на другом компьютере)

3. думать головой и, в случае необходимости, - пользоваться поисковиками

----------

