U盘病毒的分析、清除与防范

admin管理员组

文章数量:1536107

2024年5月6日发(作者：)

・

１６８・　信息产业　

Ｕ盘病毒的分析、清除与防范　

乔明秋赵振洲　

（北京政法职业学院，北京１０００００）　

摘要：ｕ盘病毒是一类典型的常见病毒，通过Ａｕｔｏｒｕｎ．ｉｎｆ文件进行传播。本文结合实际案例，分析ｕ盘病毒的传播原理，总结几种　

清除方法，并提出ｕ盘病毒防治技术实现方法。　

关键词：Ｕ盘病毒；自动播放；防范　

表１　

由于Ｕ盘具有体积小巧、存储速度快、携带方便等特点，日渐得　

第几位　数值　设备用设备名称含义　

到广泛应用，与此同时，通过ｕ盘传播病毒亦呈现蔓延之势。在病毒　

设备名称　

如下数　

的传播途径中，ｕ盘传播已经是重点传播途径之一。　

值表示　

１　Ｕ盘病毒的分析　

ＤＲＩＶＥ

ＵＮＫＮＯＷＮ　０　１　Ｏ１Ｈ　不能识别的类型设备　

１．１　Ｕ盘病毒的传播机制　

ＤＲＩＶＥＮＯ

ＲＯＯＴ

ＤＩＲ　１　０　０２Ｈ　没有根目录的驱动器　

Ｕ盘病毒的传播利用了ｕ盘的自动播放功能，光盘、Ｕ盘插入　

１　０４Ｈ　可移动驱动器　

到电脑后能够自动运行，而这项功能是通过磁盘根目录下的一个叫　

ＤＲＩＶＥ

ＲＥＭＯＶＡＢＬＥ　２　

ＤＲＩＶＥ

Ｆ１ＸＥＤ　３　０　０８Ｈ　固定的驱动器　

Ａｕｔｏｒｕｎ．ｉｎｆ的文件实现的。　

４　１　ＩＯＨ　网络驱动器　

Ａｕｔｏｒｕｎ．ｉｎｆ文件是一个必须存放在驱动器根目录下的有一定格　

ＤＲＩＶＥ

ＲＥＭＯＴＥ　

ＤＲＩＶＥ

ＣＤＲＯＭ　５　０　２０Ｈ　光驱　

式并且文件名为“Ａｕｔｏｒｕｎ．ｉｎｆ＇’的文本文件。当我们双击计算机某个　

ＤＲＩＶＥ

ＲＡＮＤＩＳＫ　６　０　４０Ｈ　ＲＡＭ磁盘　

分区或者对某个分区选择右键弹出菜单的打开项的时候，系统将搜　

保留　７　１　８０Ｈ　耒指定的驱动器类型　

索该分区根目录下是否存在Ａｕｔｏｒｕｎ．ｉｎｆ文件，如果存在则根据Ａｕ—　

ｔｏｒｕｎ．ｉｎｆ文件中的内容执行相应的操作。Ｕ盘病毒正是利用这个特　

（１）在桌面新建ＷｉｎＲＡＲ压缩文件并打开，在ＷｉｎＲＡＲ的目录　

点，使Ａｕｔｏｒｕｎ．ｉｎｆ文件与病毒程序关联，当用户双击打开Ｕ盘时，自　

框中依次选择电脑的其他分区。如果发现有病毒体、Ａｕｔｏｒｕｎ．ｉｎｆ以　

动执行相关的病毒文件。　

及其其他可疑文件，应选中后按ｓｈｉｔ键将其彻底删除。因为此时虽　ｆ

Ａｕｔｏｒｕｎ．ｉｎｆ文件由一个或多个“节”组成，每个“节”必须以节名　

然系统盘是没有病毒，但其他盘上有。在这种情况下，无论是双击磁　

作为开始的一行，节名必须用中括号“口”括起来，节名之下则为本节　

盘，还是通过右健菜单中的“打开”或“资源管理器”，都会触发病毒，　

中的命令。Ａｕｔｏｒｕｎ．ｉｎｆ一共支持三个节，分别为［ＡｕｔｏＲｕｎ］、［ＡｕｔｏＲｕｎ．　

进而再次感染系统盘。所以，通过在桌面新建ＷｉｎＲＡＲ压缩文件来　

ａｌｐｈａ］、［Ｄｅｖｉｃｅｉｎｓｔａｌ１］，其中只有［ＡｕｔｏＲｕｎ］是必须存在的。　

清除其他盘的病毒。一方面不会再次触发病毒，而且由于在Ｗｉｎ—　

为了对Ａｕｔｏｒｕｎ．ｉｎｆ文件有更加透彻的理解，我们制作如下实　

ＲＡＲ目录框中可以看到所有文件，对病毒的清除也比较彻底。　

例：演示在双击ｕ盘符后并不是打开优ｕ，而是运行指定的程序（这　

（２）如果文件夹的属性被病毒恶意隐藏了，就通过命令行进入　

—

—

里是记事本程序），从而研究掌握优盘传播病毒的传播原理和预防　

各盘根目录，执行：ａｔｔｒｉｂ—ｓ—ｒ—ｈ／ｓ／ｄ　．｛．其含义为将此盘上　

方法。　

的所有文件都清除其系统、隐藏及只读属性，使其变成正常文件。　

文档如下：　

２．２借助命令清除　

ｆ１）在运行中输入ｃｍｄ；　

（２）进入盘符（比如Ｄ盘），用ｄｉｒ命令加参数ａ即ｄｉｒ／ａ，　

Ｓｈｅｌｌ＼ｏｐｅｎ＝打开（＆０）　

这时可以看见Ａｕｔｏｒｕｎ．ｉｎｆ文件和其他可疑文件（如ＳＸＳ．Ｅｘｅ）。　

Ｓｈｅｌｌ￣ｏｐｅｎ＼ｃｏｍｍａｎｄ＝ｎｏｔｅｐａｄ．ｅｘｅ　

（３）输人ａｔｔｒｉｂ—Ｓ—ｈ—ｒ　Ａｕｔｏｒｕｎ．ｉｎｆ和ａｔｔｉｆｂ—Ｓ—ｈ—ｒ　

Ｓｈｅｌｌ＼ｏｐｅｎ＼ｄｅｆａｕｌｔ＝１　

ＳＸＳ．ｅｘｅ去掉隐藏、系统等属性　，然后用ｄｅｌ命令删除上述文件，　

Ｓｈｅｌｌ＼ｅｘｐｌｏｒｅ＝资源管理器（＆ｘ）　

如ｄｅｌ　Ａｕｔｏｍｎ．ｉｎｆ回车，ｄｅｌ　ＳＸＳ．ｅｘｅ回车。重新启动电脑，盘符就可　

Ｓｈｅｌｌ＼ｅｘｐｌｏｒｅ＼ｃｏｍｍａｎｄ＝ｎｏｔｅｐａｄ．ｅｘｅ　

以双击打开，原来盘符点右键出现的ＡＵＴＯ菜单就不见了。　

这里如果将ｎｏｔｅｐａｄ．ｅｘｅ换成是某一个病毒程序，就会在用户不　

２．３借助工具清除　

知情的情况下，双击盘符时使系统中毒。　

在病毒清除的过程中，可以借助病毒分析工具，可能会起到事　

１．２　Ｕ盘病毒发作阶段　

半功倍的效果。如冰刃、狙剑等病毒分析工具都非常适合清除Ｕ盘　

ｕ盘病毒的发作可以归纳为两个阶段：　

病毒。　

第一个阶段：感染病毒。如果一台计算机感染了病毒，并且这个　

３【Ｊ盘病毒的防范　

病毒可以通过Ｕ盘传播，那么病毒进程就会随时检测是否有ＵＳＢ　

３．１简易方法　

存储设备接入。一旦检测到，它会立即将Ａｕｔｏｒｕｎ．ｉｎｆ文件和病毒文　

使用在“我的电脑”的地址栏中输入欲打开的盘符如Ｄ：然后按　

件写入到Ｕ盘。　

回车键这种方法打开目标磁盘。使用这种方法打开驱动器并不会运　

第二个阶段：传播病毒。当携带病毒的Ｕ盘接入到其它电脑之　

行驱动下面Ａｕｔｏｒｕｎ．ｉｎｆ文件中指定的程序，也就可以有效地防止优　

后，便通过Ａｕｔｏｒｕｎ．ｉｎｆ文件文件运行指定的病毒，从而侵入到了该　

盘病毒的传播。打开之后将Ａｕｔｏｒｕｎ．ｉｎｆ文件以及文件内容中［Ａｕ—　

电脑中。　

ｔｏＲｕｎ］项下的“ｏｐｅｎ＝”、“ｓｈｅｌｌｅｘｅｃｕｔｅ＝”、“ｓｈｅｌｌｋａｕｔｏ＼ｃｏｍｍａｎｄ＝”所指向　

２　Ｕ盘病毒的清除　

的程序分别删除。　

当用户发现ｕ盘双击打不开，只有选右键才能打开、盘符图标　

３．２关闭系统自动播放功能　

被更改、右键点击盘符之后快捷菜单中第一个选项不是正常的“打　

我们可以通过禁止Ｗｉｎｄｏｗｓ系统自动运行的方法来提前预防　

开”而是变成了“Ａｕｔｏ”、系统时间被更改导致杀毒软件过期或者在　

Ｕ盘病毒，在这里给出禁止Ｗｉｎｄｏｗｓ系统自动运行的两种方法：　

“文件夹选项”中显示所有隐藏文件的操作失效。这样基本就能确定　

方法一：通过修改组策略关闭系统自动播放功能　

已经感染了Ｕ盘病毒，　轻则会导致系统资源被占用，电脑运行变　

“开始”／“运行”命令，在弹出的系统运行文本框中，输入字符串　

慢，重则导致系统崩溃、重要资料泄密、数据丢失等严重后果。　

命令“ｇｐｅｄｉｔ．ｍｓｃ”，单击“确定”按钮后，打开对应系统的组策略控制　

２．１基本清除方法　

台窗口；其次在该控制台窗Ｉ＝１的左侧显示区域，逐一点选“本地计算　

在没有病毒分析工具的情况下，可以采取如下办法：　

Ｏｐｅｎ＝ｎｏｔｅｐａｄ．ｅｘｅ　

［ＡｕｔｏＲｕｎ】　

作者简介：乔明秋（１９８２一），女，硕士研究生，主要研究领域为信息安全。　

信息产业　・１６９・　

机策略”／“计算机配置”，“管理模板”／“系统”分支选项，在对应“系　果病毒在创建它的Ａｕｔｏｒｕｎ．ｉｎｆ文件之前首先检测根目录下是否存　

统”分支选项的右侧显示区域中，找到“关闭自动播放”选项。在弹出　

在Ａｕｔｏｒｕｎ．ｉｎｆ文件夹，如果存在则删除它，然后再创建Ａｕｔｏｒｕ　ｎ．ｉｎｆ　

的对话窗口中，单击“设置”选项卡，选中“已启用”复选钮，然　

文件，这样我们的工作就徒劳了。　

后在“关闭自动播放”框中单击“所有驱动器”，单击“确定”按钮，，　其实预防工作失效的根本原因就是病毒删除了我们预先建立　

最后关闭“组策略”窗口。　的Ａｕｔｏｒｕｎ．ｉｎｆ文件夹，只要能够阻止病毒删除这个文件夹就达到目　

方法二：通过修改注册表关闭系统自动播放功能打开注册表编　的了。要达到这一目标，需要在该文件夹内创建一个特殊的子文件　

辑器，展开［ＨＫＥＹ＿ＣＵＲＲＥＮＴ＿ＵＳＥＲ￣ＳｏｆｉｗａｒｅｈＭｉｃｍｓｏｉｆ＼Ｗｉｎｄｏｗｓ＼Ｃｕｒ－　

夹，即在ｗｉｎｄｏｗｓ环境下不能进行正常操作。文件或者文件夹起名　

ｒｅｎｔＶｅｒｓｉｏｎＷｏｌｉｃｉｅｓ￣Ｅｘｐｌｏｅｒ］主键下，在右窗格中找到“ＮｏＤｒｉｖｅＴｙ—　

字的时候，名字里如果包含有非法字符，如．．＼／／：　？”＜＞Ｉ．　

ｐｅＡｕｔｏＲｕｎ”，就是这个键决定了是否执行ＣＤＲＯＭ或硬盘的Ａｕ—　则ｗｉｎｄｏｗｓ无法识别，也不会对它进行删除和改名操作。这样的文　

ｔｏＲｕｎ功能。　

件夹无法在ｗｉｎｄｏｗｓ环境下直接创建，但在命令提示符下是可以　

ＮｏＤｒｉｖｅＴｙｐｅＡｕｔｏＲｕｎ这个键决定了是否执行Ａｕｔｏｒｕｎ功能。其　

的，所以我们在Ａｕｔｏｒｕｎ．ｉｎｆ文件夹里建立了一个任意文件名的无　

中每一位代表一个设备，不同设备用表１数值表示。　效文件夹，所谓无效文件夹也就是在文件名后面添加了三个点再加　

双击“ＮｏＤｒｉｖｅＴｙｐｅＡｕｔｏＲｕｎ”，在弹出窗口中可以看到“ＮｏＤｒｉｖ—　

一

个斜杠，这样这个文件夹就成了无效文件夹。格式如下：　

ｅＴｙｐｅＡｕｔｏＲｕｎ”默认键值为９５，其中“９５”是十六进制值，它是所有　

Ｍｄ　Ａｕｔｏｒｕｎ．ｉｎｆ　

被禁止自动运行设备的和。将“９５”转为二进制就是１００１０１０１，其中　

Ｃｄ　Ａｕｔｏｒｕｎ．ｉｒＩｆ　

每位代表一个设备，Ｗｉｎｄｏｗｓ中不同设备会用如图所示数值表示，在　

Ｍｄ　ｎｏｄｅｌ…＼　

上面所列的表中值为“Ｏ”表示设备运行，值为“１”表示该设备不运　建立无法删除的文件夹在ｗｉｎｄｏｗｓ下是无法完成的，必须在命　

行（默认情况下，Ｗｉｎｄｏｗｓ禁止８０ｈ、ｌＯｈ、０４ｈ、Ｏｌｈ这些设备自动运　令行下完成。如果想删除该文件夹可以在控制台使用　Ｈ：ｋＡｕ—　

行，这些数值累加正好是十六进制的９５ｈ，所以ＮｏＤｒｉｖｅＴｙｐｅＡｕ—　ｔｏｒｕｎ．ｉｎｆ／ｓ／ｑ命令删除，这里Ｈ是盘符。　

ｔｏＲｕｎ默认键值为９５）。如果要禁止硬盘和移动硬盘自动运行，需　

结束语　

将第２位、第３位置１，其余位置０，得到如下值：００００１１００，然后将　通过对常见病毒及病毒的感染原理的分析，本文有针对性地总　

这个值转换为十六进制ＯＣ。将这个值添加到注册表的”ＮｏＤｒｉｖｅＴｙ—　

结了多种可行的防御和清除ｕ盘病毒的方法。这不仅有助于我们　

ｐｅＡｕｔｏＲｕｎ“键下即可。　

学习经验的增长，而且更有助于减少广大用户的损失。　

３．３禁止创建Ａｕｔｏｒｕｎ．ｉ　保护自己的ｕ盘或磁盘）　

参考文献　

既然病毒主要利用了Ａｕｔｏｒｕｎ．ｉｎｆ文件实现的自动运行功能。那　【ｌ】王倍昌．走进计算机病毒【Ｍ】　匕京：人民邮电出版社，２０１０．　

么只要想办法不让病毒创建Ａｕｔｏｒｕｎ．ｉｎｆ文件就可以有效地阻止病　

【２】贺惠萍，荣彦，张兰．ａｕｔｏｒｕｎ．ｉｎｆ病毒的原理及防范ｆＪ］．电脑知识与　

毒的这种传播行为了。　

技术，２０１　１，７：２７—２８．　

在根目录下建立一个文件夹，名字就叫Ａｕｔｏｒｕｎ．ｉｎｆ。由于　［３］徐玮．Ｕ盘病毒的分析与防治，科技信息，２０１０，１５：３７—３８．　

Ｗｉｎｄｏｗｓ规定在同一目录中，同名的文件和文件夹不能共存，这样　

［４】刘宁，赵建华．移动ｕ盘病毒工作原理、清除与防范［Ｊ］．长春大学学　

病毒就无法创建Ａｕｔｏｒｕｎ．ｉｎｆ文件，即使双击盘符也不会运行病毒。　

报，２００９，４：３９—４１．　

这样就可以起到主动防范的作用。　

［５】杨志强，毕超群，徐长庚．Ａｕｔｏｒｕｎ病毒原理分析及设计与实现［Ｊ］．　

上述方法是在不删除Ａｕｔｏｒｕｎ．ｉｎｆ文件夹的前提下才能起效，如　

信息技术，２０１０，８：１００—１０２．　

（上接１９４页）　要使用不同的频道。为及时处理试验时发现　

件。　

的电路故障，应要求电务段把试验时发现的问题写在纸条上，控制　

２．９其它　

台要专门安排一人负责把问题及时传递到技术负责人手中。　

施工完毕后施工人员必须对自己的施工内容进行核对，这一点　

２．６做好与电务、车务、工务等相关配合单位的沟通、配合、交底　很重要，配错一根线就是一个故障，施工中一分钟能解决的问题，技　

在制订开通方案时一定要做好与电务、车务、工务、铁通等相关　

术员查找故障可能需要十分钟甚至更长时间。　

配合单位的沟通和交底，通过事前沟通和交底不仅可以让电务、车　技术员审图、调查、摸底、试验要彻底，要以开通时无故障可处　

务、工务等单位了解我们的施工内容、顺序、困难和要求，可以争取　

理或只有极少的微不足道的故障为开通技术准备目标。　

他们的支持和帮助，同时也让他们更好的做好开通配合准备，有利　２．１０容易导致开通晚点的主要因素　

于开通顺利进行。　

２．１０．１设计出现严重错误，特别是电路原理出现错误，或设计出　

２．７应急预案　

现重大漏项而施工单位审核图纸时又未发现。　

在制订开通施工组织设计时一定要制订相应的应急预案，一但　２．１０．２施工调查不仔细，准备工作不充分，导致开通时或接配线　

开通时出现紧急情况可立即启动应急预案，保障开通施工正常进　

出现大量错误，或电源混电。　

行。应急预案包括：应急领导小组，应急人员、材料设备、车辆等内　

结束语　

容。　

以上浅谈了一下保证既有线施工信号设备安全正点开通需要　

应急材料要准备充分，由技术人员提报应急材料计划，领导审　做的主要工作以及可能导致开通晚点的主要因素，在实际施工中按　

批。应急车辆要车况良好，专车专用。　

照各项要求做也取得很好的效果，但现场施工情况是千变万化的，　

２．８对相关配合单位要求　

需要根据实际情况做相应的准备，这样才能确保每次开通安全正　

在开通准备会时要对相关单位提出合理的配合要求，相关配合　

点。　

单位主要是：电务段、车务段、工务段、机务段、供电段、铁通、设计、　

有关厂家等。　

对电务段的要求主要是开通配合试验要及时。　

对车务段的要求主要是封锁施工时尽量清空站内股道及减少　

站内调车作业；及时给关门点，关门点下达后钉闭加锁道岔及时开　

锁，关门点内保证站内股道及区间空闲。　

对有关厂家的要求主要是人员及时到位，配备足够的备品、备　

本文标签： 病毒文件运行开通文件夹