W ostatnim czasie coraz większą popularność zdobywają szkodliwe programy, zawierające w sobie element pełniący funkcję szkodnika, który dla swojego działania wykorzystuje różnego typu nośniki np. pamięć flash. W artykule omówimy tę odmianę szkodników i sposoby walki z nimi.

Typowa dla tych robaków jest możliwość rozprzestrzeniania się poprzez wymienne nośniki z wykorzystaniem skryptów autostartu autorun.inf. W chwili obecnej Kaspersky Lab wykrywa codziennie do 100 nowych modyfikacji robaków Autorun dla systemów operacyjnych Windows. Tempo opracowywania nowych wersji robaka z rodziny Worm.Win32.Autorun przedstawiono na wykresie:


W sierpniu 2008 roku można było zauważyć niewielki wzrost liczby wykrytych przez Kaspersky Anti-Virus przedstawicieli tej rodziny - 361 wykrytych w porównaniu z 210 w lipcu.

Jednak to nic w porównaniu z przewidywaną ilością robaków we wrześniu 2008 roku, kiedy tylko w ciągu pierwszych trzech dni dodano 239 sygnatur.

Na szczęście, istnieje możliwość zabezpieczenia komputera przed natarciem całej armii robaków Autorun. Funkcjonowanie tych szkodników jest możliwe dopiero w przypadku, jeśli w założeniach lokalnej polityki bezpieczeństwa dozwolony jest autostart z wymiennych nośników.

Pliki ze skryptami znajdują się w głównych katalogach dysków wymiennych. Po zainstalowaniu nowego nośnika, otwierane są z pomocą Windowsa. Aby zmniejszyć szansę ich odnalezienia, dla pliku "Autorun.inf" i katalogu, w którym znajduje się szkodliwy plik, ustalane są atrybuty "ukryty" i/lub "systemowy". Również plikom i katalogom mogą zostać nadane nazwy imitujące foldery systemowe:

Recycler
System restrore
ScanDiskLog

• wszystkie parametry pozwalają na przedstawienie dowolnej ścieżki do plików lokalnych (ścieżka nie jest ściśle związana z uruchomionym dyskiem) i wykorzystanie wykrycia zmiennych środowiska;
• skrypt autostartu pozwala na ukazanie dowolnej ścieżki, którą można uruchomić poprzez Win32API ShelluteEx, a także zrealizować przejście na dowolny adres URI w Internecie;
• istnieje również możliwość zastąpienia w menu kontekstowym "otwórz" ikoną dysku wymiennego;
• większość produktów antywirusowych nie jest zdolnych do przeprowadzenia analiz zachowawczych odnośnie plików tego typu, ponieważ nie są wykonawcze dla systemu operacyjnego. Analiza sygnatur jest nieefektywna przy bardzo małych zmianach w kodzie.

Niedociągnięć jest sporo. Wystarczająco dużo, aby szkodliwy kod mógł się rozprzestrzeniać w postaci argumentów w parametrach startu dla odczytującego go programu. Wiadomo, że wśród standardowo wystepujących w Windows (bez uwzględniania DOS, który jest często blokowany przez ochronne oprogramowanie lub przez samego użytkownika) przeznaczonym do tego celu jest cmd.exe


W ten sposób, możliwości wprowadzenia zawirusowanego kodu z pomocą skryptu autostartu bezpośrednio zależą od możliwości decydującego procesora Windows.

Metody walki z zagrożeniami tego typu i ich wady: