专栏丨大东话安全之“隐形”的病毒

编者按：网络空间安全近年来日渐成为公众关注的焦点，中科院之声特意邀请业内专家“大东”开设“大东话安全”专栏，以《安天威胁通缉令2016扑克牌》为线索，一张扑克牌对应一个网络病毒，讲述54个不同的网络病毒和网络安全故事，以及如何进行针对性防御的建议。

一、谶曰

《哈利·波特》：隐身斗篷是波特家族代代相传的宝物，能让使用者“完全隐形”。

东哥：AutoRun 是U盘病毒代代相传的套路，能在受害电脑上“隐形“。

小白：掀起你的头盖骨，让我看看你的脸~

二、病毒通缉令

小白：这！难道就是传说中的血！滴！子！以革为囊，内藏快刀数把，控以机关，用时趁人不备，囊罩其头，拨动机关，首级立取……

大东：看不出来，咱小白还是个武侠迷啊。

小白：嘿嘿，一点点，一点点~所以大东东，这到底是啥呀？

大东：这血，欧不，AutoRun 是一种利用可移动存储介质进行传播的蠕虫分类，能够在磁盘根目录和插入的可移动存储介质的根目录下创建一个 autorun.inf 的文件，并将蠕虫本体复制过去，在双击磁盘时，自动运行 autorun.inf 指定的蠕虫本体。

小白：不明觉厉……

大东：别急，咱继续说。

三、U盘流行病毒

小白：大东东，AutoRun 到底是啥？

大东：你有没有遇到过u盘打不开的问题？就是那种，双击后提示拒绝访问，右键单击菜单的前几项都是英文。

小白：有哇，我同学也遇到过呢~

大东：这就是U盘中了 AutoRun 的症状。

小白：啊！原来是中毒了啊！

大东：不少人都跟你一样，不明白这是病毒，对此置之不理，觉得也就是麻烦一点，用U盘时得使用右键打开。但其实这就是 AutoRun 病毒，有的也叫 rose 病毒。

小白：可是，除了这点，AutoRun 好像也没找我啥麻烦。

大东：恐怕是找了你还不知道。大部分 AutoRun 病毒通过U盘、移动硬盘等存储设备传播，感染系统后会占用大量 CPU 资源，可能会引起部分操作系统崩溃，开机后又反复重启，无法进入系统。此外，它还有可能删除你盘中的 word 文档等文件。

小白：不说不知道，一说吓一跳啊！

隐身术

大东：此病毒作用机理是在各个盘的回收站中复制 autorun.exe 病毒体，同时创建 autorun.inf 自运行文件。

小白：这俩都是病毒干坏事儿用的吗？

大东：其实啊，autorun.inf 这个文件是很早就存在的。在 WinXP 以前的其他 Windows 系统，比如 Win98，2000，需要让光盘、U盘插入到机器自动运行的话，就得靠 autorun.inf。这个文件是保存在驱动器的根目录下的，是一个隐藏的系统文件，它保存着一些简单的命令，告诉系统这个新插入的光盘或硬件应该自动启动什么程序，也可以告诉系统将它的盘符图标改成某个路径下的 icon。这本身是一个常规且合理的文件和技术。

U盘里的 autorun.inf 文件

小白：原来它本身是个好东西呀~

大东：病毒作者正式利用了 autorun.inf 的自动功能，让移动设备在用户系统完全不知情的情况下，“自动”执行任何命令或应用程序。因此，通过这个 autorun.inf 文件，可以放置正常的启动程序，也可以放置任何可能的恶意内容。

小白：原来是这样啊~~

大东：有了启动方法，病毒作者肯定需要将病毒主体放进光盘或者U盘里才能让其运行的，但是堂而皇之地放在U盘里肯定会被用户发现而删除。

小白：即使不知道其是病毒，不是自己的不知名文件我也会把它删除的！

大东：所以，病毒肯定会隐藏起来存放在一般情况下看不到的地方了。

小白：怎么个手法？

大东：它有两种办法。一种是假回收站——病毒通常在U盘中建立一个“ RECYCLER ”的文件夹，然后把病毒藏在这里很深的目录中。一般人以为这就是回收站了，而事实上，真回收站的名字是“ Recycled ”，而且两者的图标是不同的。

真假回收站

小白：狡猾的病毒！

大东：另一种是假冒杀毒软件——病毒在U盘中放置一个程序，其名为“ RavMonE.exe ”，这很容易让人以为是瑞星的杀毒程序，但其实是病毒。

小白：噢~这都是病毒的套路！不过啊大东东，我咋没在我的电脑上看到这些文件咧？

大东：刚才不是说，病毒会隐藏自己嘛。要想看到隐藏的文件，也非常简单，按照下边步骤：

• 打开“我的电脑”，在菜单栏上选择“工具”，点击“文件夹选项”；

• 在出现的对话框中选择“查看”；

• 在高级设置一栏中，选中“隐藏文件和文件夹”的“显示文件和文件夹”。

这样就可以啦。

显示隐藏文件

小白：good job~

不要auto要手动

小白：诶，现在病毒这么聪明，让我们普通用户怎么活啊~~

大东：慌啥，目前的U盘病毒都是通过 autorun.inf 传播的，一般情况下，U盘不应该有 autorun.inf 文件，如果发现U盘有 autorun.inf，且不是你自己创建生成的，就删除它，并且尽快查毒。如果有貌似回收站、瑞星文件等的文件，而你又能通过对比硬盘上的回收站名称、正版的瑞星名称，同时确认该内容不是你创建生成的，就删掉它。

小白：看到U盘里的 autorun.inf 文件就得当心！

大东：有些U盘制造商可能也会利用 autorun.inf 来进行特色设计，目的是为了让用户可以使用厂商的特色程序。所以呀，你也别看到 autorun.inf 就紧张，在购买U盘时问问销售人员吧。

小白：还有这种操作！

大东：U盘使用方便，但也很容易因为插入陌生电脑而感染上病毒。我有个使用U盘的小技巧，想知道不~

小白：大东东，快说！

大东：以后你在插入U盘前，先按住 Shift 键，然后再插入U盘，按键的时间长一点。插入后，也不要双击U盘，用右键点击U盘，选择“资源管理器”来打开U盘。

小白：涨姿势了！

大东：除此之外，你还也可以通过下面的步骤来关闭自动播放设置来预防病毒的感染。

• 点“开始”→“运行”；

• 在对话框中输入“gpedit.msc”，“点击确定”；

• 在组策略“计算机配置”→“管理模板”→“系统”，双击“关闭自动播放”；

• 在“设置”中选“已启用”，“关闭自动播放：所有驱动器”，最后点击“确定”。

关闭自动播放设置

小白：回去就弄~

大东：当然，最重要的是，对外来优盘、下载的文件查杀病毒后再使用，避免访问非法网站、个人网站等危险站点。

小白：记住啦~~

四、小白内心说

小白：大东东，这个隐藏病毒听你说来，还真可怕。

大东：不可怕的病毒不是好病毒~

小白：那有什么方法预防这个 rose 病毒么？

大东：他是通过什么传播的？

小白：主要通过U盘。

大东：然后呢？怎么预防？

小白：我问你的耶。

大东：你自己想想。

小白：我知道了别到处乱插U盘就好了啊。

大东：真聪明。

小白：哈哈~

五、话说漫威

大东：话说满大人……

小白：大东东也看古装剧啊~

大东：我说的是漫威世界里的超级反派满大人，他是钢铁侠的头号死敌。

小白：哦哦，您说~

大东：他是含着金汤匙出生的富家大少爷，钱多得下辈子都花不完。而在他最风光的时刻，他选择隐居，投入到蠕虫研究中。

满大人

小白：（小声）大东东又来开脑洞了。

大东：你说啥？

小白：没没没~

大东：经过千辛万苦，满大人研制出一种利用可移动存储介质进行传播的蠕虫 AutoRun，能够在磁盘根目录和插入的可移动存储介质的根目录下创建一个 autorun.inf 的文件。

小白：还能将蠕虫本体复制过去，在用户双击磁盘时，自动运行 autorun.inf 指定的蠕虫本体。

大东：小白脑子越来越好使啦。

小白：本来就很好使~~