skip to main |
skip to sidebar
最近兩週 DR 又稍微研究了一下隨身碟防毒的相關工具與方案，首先是 gaptx 的 usbprotector（勿跟 Wow! USB Protector 搞混），不過這工具不太 OK……然後是知名防毒軟體廠商 Panda Security 的 USB Vaccine（疫苗），這個工具就比較有趣，首先它兼具系統和隨身碟的免疫方法，系統的部份由於 DR 先前就整理過可行的免疫方法（針對 Autorun），詳情可參考此文章，因此該工具對於系統的免疫功能就暫不研究。DR 有興趣的是：它怎麼做到對於隨身碟本身的免疫？於是就安裝了 Panda USB Vaccine，然後插入一支隨身碟給它用用看。只見它在隨身碟裡放入一個隱藏的 autorun.inf - 這乍看之下跟網路上流傳的那些腦殘方法相差無幾，然而 DR 馬上發現這個檔案無法被開啟、被刪除、或者重新命名，無論是用 explorer、命令行介面還是其它工具皆無法，意指這個 autorun.inf 完全無法被 Windows 讀取，這就非常有趣了。接下來 DR 免不其然的要確認：這個狀況是否完全針對 Windows，還是其它作業系統也是如此？於是把隨身碟拿到 Linux 底下開啟，有趣的是這個 autorun.inf 在 Linux 底下要殺要剮非常容易，還可以直接打開來看裡頭有什麼，但也發現檔案本身並無任何異狀。究竟為何在不同作業系統有不同的存取狀況？又是如何辦到的？這時 DR 回想起來 Panda USB Vaccine 在安裝時有詢問是否選擇 NTFS 支援（beta），而當時是沒有勾選的，於是 DR 便把隨身碟從 FAT 格式化為 NTFS，再執行看看，果然它就沒有辦法進行免疫動作了。這顯示 Panda USB Vaccine 的免疫功能是從檔案系統層著手的，DR 在網路上的進一步搜尋也更說明了這點，雖然這並未解釋為何在不同作業系統（更精確的講是不同的檔案系統驅動）有不同狀況，並且既然 Linux 不受影響，那麼一個延伸問題是：這個方案算是合理使用，或者其實是鑽 Windows 的設計缺失？若先不討論這些技術議題，就防治評價而言，建立完全無法讀取的 autorun.inf 算是蠻有效的防禦方案，因為既然無法開啟，那麼裡頭就算塞了 Autorun 指令也無法被 Windows 執行，並且除非更動檔案系統，否則病毒也沒有能力去覆蓋它。
那、那跟 DR 自製的 Removable Malware Removal 有什麼關係？由於 r-m-removal 預設是逢隱藏 autorun.inf 必刪，而 DR 評估了一下，既然有這樣「防毒式」的 autorun.inf 存在， 那麼程式有必要加些判定讓使用者能夠分辨是否具有威脅（何況這種 autorun.inf 還砍不掉）。於是 DR 在 1.6 版加了一段簡單的開檔程式，成功開啟就刪除，而無法開啟就屬於防毒式的 autorun.inf，再回報給使用者。不過 r-m-removal v1.6 並不只是改了上述部份而已，還有以下改進：1. 移除逢隱藏 *.inf 檔案必刪的規則，現在只處理隱藏 autorun.inf，這樣比較符合現實狀況。2. 檔案掃描現在會將目錄直接排除，避免一些擁有「副檔名」的目錄被當成檔案來處理。3. 發現一些無用的程式碼順勢清理掉。基本上 v1.6 並不屬於安全性更新，而是功能更新，v1.5 並無可能導致病毒被放行的規則紕漏。任何建議歡迎提供給 DR。
http://darkranger.no-ip.org/files/dr.htm好久沒寫程式了……r-m-removal v1.3 的更新主要是針對最近 DR 發現的新品種惡意程式，這類惡意程式完全不經過 autorun（因此也就沒有任何 autorun 感染的特徵），而是將自己的執行檔偽裝成正常目錄來吸引使用者點擊。其感染模式如下：先將受感染磁碟（除了系統碟外）中的所有目錄設為隱藏，再丟入和原先目錄相同名稱的惡意檔案，惡意執行檔的外觀圖示和 Windows 目錄圖示完全相同，並且該惡意檔案在被點擊後還會「幫」使用者開啟原先的目錄以製造正常假象。r-m-removal 仍舊不負責整個系統的清除，但 v1.3 版會檢查磁碟中的隱藏目錄和可執行檔，並比較兩者名稱，若名稱相同則刪除該執行檔，這是針對目前已知的偽裝方式所做的處理。
Norton Removal Tool 是資安大廠 Symantec 所釋出的一款移除工具，用來移除惡意軟體嗎？不，是用來幹掉他們自家的軟體……至於為什麼 DR 會提到這款工具呢？故事是這樣的，話說 DR 最近接到一台灌了 Windows Vista 的筆電，症狀是「不能上網」，於是 DR 檢查了一下，首先網路硬體應該沒有問題，可以順利撥上線，但網路瀏覽器、即時通訊都處於無法順利連線的狀況 - 這就蠻符合惡意軟體的特徵了。這台筆電可以看得出來原本灌了 Symantec 的某款防毒軟體，但又被移除掉，只留下了些許可見的「程式殘渣」（找不到其它形容詞……），於是 DR 灌了小紅傘（Avira AntiVir），並且搭配其它惡意軟體掃描工具進行清理。然而整個掃描下來只有一個結論：這台筆電乾淨到爆，一丁點惡意軟體的痕跡都沒有。雖然找不到兇手，但症狀總還是要處理吧，於是 DR 就開始用 Windows 的 netsh 工具進行網路設定的復原。結果卻無效，還是不能上網 - 呃，怎能有這事呢？！DR 花很長的時間左思右想想不出個所以然：首先這台筆電就 DR 的認知來看真的是非常乾淨，並且以 Vista 預設的權限設定而言，要中毒也非易事，再者，DR 還真的沒碰過用 netsh 無法解決的惡意軟體，只好在網路上大量搜尋類似的討論，但都沒有吻合的環境與狀況。找著找著，DR 逐漸迷濛的眼睛突然在討論串中抓到一段字句，提到 Norton 防毒要先砍乾淨，對吼，這不是一開始就看到的嗎？於是 DR 飛快的把本次的標題：Norton Removal Tool 找來用，一切解決，可以上網了……此時此刻，DR 對這些防毒軟體已經無言了……只想留個筆記，供有需要的人參考。
相當知名的免費兼跨平台辦公軟體套裝 OpenOffice.org（以下簡稱 OOo）在近日釋出 3.0 RC4 中文測試版。由於 OOo 的中文正式版在英文正式版釋出後仍往往會拖延到一種驚人的境界……而且通常 RC 和正式版又相差無幾，所以 DR 建議若沒碰上什麼大問題，3.0 RC4 就可以直接取代原本的 2.x 版了。http://zh.openoffice.org/new/zh_tw/downloads.html
2008/11/22 更新：3.0 中文正式版已釋出。
有好段時間都停留在 0.8 版的 VLC 多媒體播放軟體最近悄悄的推出 0.9 版（或者應該說是 DR 後知後覺吧）。0.9 版有著許多功能的更新與修正，其中較為明顯的是介面變得漂亮了些。VLC 是 DR 在 Windows 平台上最常使用的播放軟體（事實上 VLC 是跨平台的，也有其它作業系統的版本），然而它最特別的是它不僅僅是一款播放軟體，它還另外具有媒體格式轉檔與串流輸出功能。http://www.videolan.org/
今天 DR 在外頭時接到老哥一通電話，說家裡 ADSL 可以連線，但瀏覽器等軟體卻無法順利連結。回家一看，還真的是這樣的狀況，而且一號機和二號機都有相同狀況。由於 DR 最近幾天（預計未來幾天也是）因為忙碌的關係，腦袋昏亂，一開始是忽略了 Linux 伺服器連線完全正常這個事實，等到把矛頭指向 Windows 上時，又胡思亂想的思考可能潛藏的惡意軟體。翻查了老半天，索性點開 ZoneAlarm 看看，竟然發現有大規模的連線抵擋動作，這時心想該不會是莫名其妙的瘋狂 DoS 攻擊吧？這怎麼可能？！不過點開詳細訊息一看，怪怪，擋的都是頗為正常的連線啊。於是將 ZoneAlarm 關閉，發現關閉後網路一切正常，DR 才想起有可能是昨晚 Windows 的更新（KB951748）導致 ZoneAlarm 發瘋了，而目前 DR 是將 ZoneAlarm 的安全等級從「高」設為「中」來解決這個問題，進一步的資訊可參閱 SecurityFocus 網站：
http://www.securityfocus.com/archive/1/494108幸好 DR 只有在自家的電腦上裝 ZoneAlarm，不然 DR 可能就得跑到許多人家去處理這個問題……
http://free.grisoft.com/
AVG Free 是一款提供個人非商業使用的免費防毒軟體，近日釋出 8.0 版，除了介面改良外，尚有兩項較大的改變：一是原本另外獨立發佈的 AVG Anti-Spyware Free 也直接併入到 AVG Free 8.0 版，二是在網頁瀏覽器可新增 AVG 工具列，AVG 工具列原本只包含在付費版本中。
雖然 DR 目前比較少幫人裝 AVG Free 了（目前以推「小紅傘」居多 - Avira AntiVir Personal），不過 AVG Free 仍然擁有相當不錯的掃毒率，並且資源佔用相對較少，安裝與更新也相當簡易，因此仍是一款值得考慮的免費防毒軟體。
http://darkranger.no-ip.org/files/dr.htm原先的 r-m-removal 可以偵測一般的 USB 隨身碟，但並不會去偵測隨身硬碟（也就是硬碟加上 USB 外接盒的裝置），這是因為所使用的 Windows API 在分類上並不將隨身硬碟視為可移除裝置（removable drive），而將其視為一般的固定裝置（fixed drive）。然而將隨身硬碟略過偵測是個蠻嚴重的問題，於是 DR 想了想，決定將固定裝置（也就是硬碟）列入偵測，所以現在 v1.2 版可以順利的偵測隨身硬碟。並且多加了個環境變數的判斷，讓程式略過系統磁碟（通常是 C:\）的偵測。至於為什麼還是選擇不偵測系統磁碟呢？因為 DR 認為如果系統磁碟真的中了，那麼需要的是更全盤的檢查：包括登錄檔、啟動程序、系統目錄等，不是簡單刪幾個檔案就可以解決的。網路上針對 malware 特徵做自動化砍毒的工具也不少，而 r-m-removal 的定位是作為基本的預防工具：插上隨身碟、跑一下程式然後開始使用，就那麼單純。
