天啊！我的隨身碟又中毒了

2007年是USB病毒頻頻肆虐的一年，這類型病毒已不是第一次發作，但現在病毒檔名與正常程式名稱極為類似，容易令人混淆外，還與Windows作業系統生生相息，就算手動刪除病毒，它還會自我繁衍，並從網路下載最新程式，以規避防毒軟體偵測。另外，它更利用電腦插入USB裝置時，Windows即自動播放程式的功能，讓病毒重複感染在電腦與USB裝置間，如此種種的手法，都擴大USB病毒影響的範圍。

不易分析來源與感染途徑的USB病毒
目前的病毒都以區域性小規模爆發為主，讓單靠特徵碼比對的防毒軟體措手不及。研華公司的中毒事件就是典型的案例，中毒後不到一周，中毒電腦就開始以等比級數向上攀升，並且全部集中在新店分公司。

從蛛絲馬跡得知感染USB病毒
仔細觀察你的電腦是否發生以下狀況：無法開啟磁碟機、程式出現執行錯誤、特定檔案的屬性被刻意設為隱藏，或是System32資料夾有異常，這些都是有可能感染了USB病毒的異常情形。

學會2招，立即解除中毒危機
你可以參考由專家所整理的內容，建立一支自動檢查及解毒批次檔，或是使用Kavo Killer及USBCleaner這兩套工具來解毒。

防護12式，讓電腦遠離USB病毒
擅用防毒軟體、防火牆及群組原則，可以預先保護公司電腦。此外，如果打算一勞永逸，防杜所有電腦病毒感染主機運作，可以在採購新設備的過程中，一併考慮下列解決方案，例如：防寫USB隨身碟、還原卡、Thin Client、SSL VPN、NAC、病毒監控服務、Endpoint Security。不易分析來源與感染途徑的USB病毒

2007年我們一直聽到USB病毒的感染事件，雖然災情不大，但一直不斷發生，當上網搜尋「USB病毒」時，就會發現有許多人都被此病毒所困擾，然而防毒軟體不一定能偵測出來的情況下，只能自力救濟。

「為什麼防毒軟體無法偵測病毒呢？」這是我們這次採訪多家企業的想法，資訊人員每天要處理的事情很多，原本最依賴的防毒系統無法立即防護，卻要上網找尋其他解決之道，而且USB裝置的方便性又不能禁止使用，都增加中毒的機率。我們也走訪了幾家企業，發現這病毒並不是普通的難纏，例如這半年來，亞力電機、臺北市政府捷運工程局都有10多臺電腦中毒，桃園縣政府教育局、臺北市立中崙高中則分別有20多臺和40多臺電腦中毒，研華公司情況最激烈，有200多臺電腦中毒，而且幾乎都是手動逐一處理，但又重複不斷感染，是一種很惱人的病毒事件。

其實這也與近年來病毒發展情況類似，病毒不像以往都以全球大規模感染，而是區域性小規模爆發為主，這也讓單靠特徵碼比對的防毒軟體措手不及。研華公司的中毒事件就是典型的案例。2007年10月底，當初新店分公司的員工開始有幾個人中毒，資訊人員原本不以為意，認為是小事件，防毒軟體應就可以處理，也開始搜查病毒來源，結果幾天之後，中毒電腦臺數越來越多，不到一周中毒電腦開始以等比級數向上攀升，全部集中在新店分公司，在同區域的員工電腦幾乎無一倖免，感染速度非常快。更可怕的是，防毒軟體無法解決，使用者卻一直通報中毒事件。研華資訊處高級工程師林明聰回憶當時的狀況說，資訊室人員不了解的問題太多：病毒來源為何？感染途徑是什麼？中了什麼病毒？要如何抑制疫情呢？

他們先從網路上尋找答案，結果才知道是網路上一直討論的「USB病毒」。

太多電腦周邊裝置使用USB介面
要判定是否感染這類病毒其實不難，就是當我們要從「我的電腦」點選各磁碟區（本機磁碟C：）時，卻會顯示「請選擇開啟檔案的程式」。明明只是進入磁碟區，為什麼會要求啟動應用程式呢？這也是當初研華員工電腦面臨的情況之一。

USB病毒也稱為隨身碟病毒，顧名思義是從USB傳輸介面感染，近來中毒情況越來越嚴重，也是因為USB介面的相關產品越來越多，舉凡隨身碟、外接式硬碟、MP3播放器、手機、GPS定位系統、數位相機及數位攝影機等，幾乎都是利用USB介面連接電腦，而且由於Windows作業系統內建usbstor.sys USB驅動程式，只要插上USB裝置，電腦就會自動判斷然後存取檔案，特別在Windows XP之後的作業系統，能支援的USB裝置越來越多，各軟硬體廠商也多半依據標準USB介面開發系統。更重要的是，USB介面的裝置大多支援熱插拔，只要電腦具備usbstor.sys驅動程式，就能反覆插入不同電腦中存取，這便利性也讓病毒傳播更容易。

持續重複感染
支援USB介面的裝置，除了用來連接電腦外，這些產品本身也需要大量的儲存空間，因此多半內建儲存媒介，資料能存放在產品中，還能利用USB介面與電腦同步資料，確保一致性。

在Windows系統中，也將這些外接式儲存裝置視為磁碟區，讓使用者進入儲存裝置時，能以類似方式操作，減少學習門檻。

病毒也利用類似的行為感染電腦。它會在各磁區都寫入病毒，包括外接式的儲存媒體，只要系統中有一隻病毒未清除乾淨，就會自動產生相關檔案，然後再次感染電腦，而且很難找到來源，只要有感染病毒的儲存裝置接上電腦，該臺電腦就被感染，之後連接上此電腦的其他裝置，也會一併感染。研華就是這樣重複感染，結果造成大規模災害。在無法完全鎖定病毒來源，而USB介面的方便性更讓企業必須使用的情況下，就造成這類型病毒孳生。

使用者掛載共享網路磁碟，加速傳播
USB病毒通常是利用USB介面的儲存裝置相互感染，在電腦連接上儲存裝置時，就先利用autorun.inf指向病毒檔執行，由於autorun.inf又是Windows系統內建的自動播放功能參考依據，也成為帶動USB病毒大規模感染的主要因素之一。

不過除了透過USB介面的儲存裝置感染外，Windows系統的「網路磁碟機」也是另一種感染途徑。因為Windows系統也會將網路磁碟機視為「本機磁碟」，若很多使用者都將區域網路上分享的資料夾，設定成網路磁碟機時，病毒就可以大量傳播，比單純依賴USB儲存裝置感染速度還快。

因此，只要網路中存在一隻USB病毒，無論它在哪裡，馬上又會在該臺電腦上產生出所有程式，然後逐一複製到所有磁區，無論是外接式裝置或網路磁碟機，只要被Windows系統判斷成磁碟區的儲存位置，通通無一倖免。

透過網路下載，病毒會不斷自動更新
現在的病毒感染事件已不能單靠防毒軟體處理，因為病毒也具有下載器（DownLoader）功能，可利用網路自我更新程式，與防毒軟體的病毒特徵碼比更新速度。

此外，現在的病毒多以小規模爆發為主，不像以往是全球性感染，而是朝向區域性發展，防毒廠商每天都要處理來自全球各地的病毒事件，不像以往全球性病毒爆發時，防毒廠商只要針對該病毒提出解法即可，現在區域性小規模的病毒不斷發生，等用戶回報到解藥產生，都需要一段時間，然而這段空窗期就足以讓病毒再自我演化，解藥也不一定有用，USB病毒就有這種特徵。

當然防毒廠商也能製作很嚴謹的病毒碼，例如禁止類似的特徵檔案，以提高偵測率，但是相對地，誤判率也會提高，企業用戶最怕防毒軟體阻礙到正常軟體的運作，面對企業中許多應用程式，防毒廠商也很難明確判斷是否為惡意程式，趨勢科技技術行銷部資深經理戴燊說，以USB病毒的行為為例，有些屬於合法，但有些屬於非法，用病毒碼是可以偵測，但難保未來不會發生誤判，面面俱到並不容易。

病毒在不斷更新後，也可能讓防毒軟體只能偵測、卻無法清除，這可能是因為電腦感染太嚴重，無法單靠刪除特定檔案即可修復，這都會讓防毒軟體清除率降低。

等待解藥，不如先打預防針
奕瑞科技客服專員陳怡吉認為，USB病毒演變至今，除了感染過程難以掌控外，又利用Windows系統的方便性，讓病毒擴散更迅速，而且還採用注入（Injection）手法，與Windows作業系統生生不息，偽裝在正常程序中，他認為這病毒算是將病毒技術發揮到極致，很難處理得完善。

現在，研華公司已經解決之前大規模感染的問題，但是三不五時還是會發生，而且每次只能手動處理，似乎永遠不會停止。因此，預防重複感染也是企業將面臨的重要議題。

中崙高中實驗研究組長許哲偉認為，現在使用者只要看到電腦發出詢問資訊，馬上就按「是」接收，也不在乎有沒有安全問題，另一方面，對資訊人員而言，為了怕麻煩，乾脆完全禁止使用，用戶端電腦根本不會有顯示問題的資訊。

但以USB介面來說，因為方便性，不可能完全禁用，他認為最好的預防方式還是從教育使用者行為開始做起，從最基礎的資安意識中，改善電腦中毒機率，確保系統及資料安全。

從蛛絲馬跡得知感染USB病毒

每天都有許多病毒會攻擊個人電腦，如果防毒軟體能偵測，就能得知被哪種病毒感染，加上檢視使用者存取檔案的歷程，能了解病毒的來源，但USB病毒一直更新的特徵，使得防毒軟體不一定能立即偵測及清除，使用者就容易在毫無知覺下被感染，甚至無法得知感染來源為何，這些都會影響後續解決困難。

如果電腦發生異常，需要先判斷是哪種原因，才能對症下藥，因此我們要先知道哪種症狀是USB病毒感染後的情況，才能有利後續排除故障。

徵狀一：無法開啟磁碟機
USB病毒感染電腦最明顯的問題就是無法開啟磁碟，因為USB病毒會在各磁碟的根目錄寫入autorun.inf及病毒程式，只要點選磁碟機時，autorun.inf就會自動播放並啟動病毒程式。有些掃毒工具可以清除磁碟機中的病毒程式，但無法刪除autorun.inf檔案，造成autorun.inf自動播放功能無法啟動程式，導致無法啟動磁碟機。此時，Windows系統預設值會詢問用哪種程式開啟檔案。

如果電腦發生此問題，千萬不要認為掃毒工具已經處理完成，因為掃毒工具可能只刪除根目錄的可疑的程式，而未刪除系統磁碟中Windows資料夾內隱藏的USB病毒，只要有一隻病毒未清除，過一段時間，它依然會自動產生，造成電腦運作異常。

徵狀二：程式錯誤
當Windows系統有問題時，最常見的狀況就是會主動告知某程式運作異常，詢問是否要回報問題，通常使用者不會注意是哪一支異常程式，就直接點選回報或不回報的機制。

其實了解這些程式異常通報的過程，有助於處理電腦問題。以USB病毒為例，通常會在系統中寫入Kavo.exe、ntdeIect.com及ntdelect.com等程式，若異常通報內有這些字串，就可能代表已被病毒入侵。若防毒軟體也沒提示偵測訊息，最好馬上使用Windows系統內建的attrib進階查詢相關檔案的屬性，進一步確認問題來源。

徵狀三：檔案屬性為SHR
若電腦發生徵狀二的問題：錯誤程式的名稱可疑。但掃毒工具沒有任何警示，而且也都能正常啟動各磁碟機的根目錄時，你也可以用Windows系統內建的attrib指令再詳細地查詢。

通常我們只需要查詢各磁碟機的根目錄，即可得知是否感染病毒。Attrib是顯示及變更檔案屬性的指令，若在根目錄查詢到autorun.inf、kavo.exe及ntdeIect.com（ntdelect.com）等字串存在資料夾內時，而且這些檔案的屬性是SHR（System、Hidden、Read Only，系統檔、隱藏檔及唯讀檔），就代表電腦已中USB病毒，這徵狀很明顯，需要立即馬上處理。

徵狀四：植入病毒到System32資料夾
USB病毒除了在各磁碟機的根目錄寫入特定程式外，它還會在系統磁碟機中，Windows資料夾的System32底下寫入特定程式，例如kavo.exe及kavoX.dll（X通常是數字），每支程式都能自我衍生相關檔案，所以不單要清除各磁碟機的根目錄中的程式，連儲存在Windows資料夾中的程式都要處理乾淨。

我們可以利用AVZ Antiviral Toolkit掃描系統是否有異常檔案，若偵測結果有問題，會以紅色字表現，接著再依據安裝在此電腦的應用程式名稱，逐一分析是否為可疑檔案。AVZ Antiviral Toolkit並非自動的掃描工具，還是要依據經驗觀察是否為誤判情況。我們除了利用自動掃描分析，也能利用Injected DLLs Manager、File Search及Autoruns Manager等功能查詢異常檔案的位置及機碼，有助於後續刪除檔案。

學會2招，立即解除中毒危機

USB病毒的攻擊來勢洶洶，特別是企業未做任何預防措施時，它重複感染的特性，會讓資訊人員有處理不完的事件。從2007年中，以Kavo為首的USB病毒開始危害個人電腦時，網路上就開始有許多使用者在討論不同的解決方式，但大多針對病毒檔名處理，因此會有時效性問題。

如果企業打算先依據網路上的處理步驟解決，要注意解法發布的時間問題，以免處理得不完整。

我們測試了兩種自動處理的程式，但可能也是因為病毒會自我更新，還是無法完全清除，不過這些已能處理大部分問題。你可以先利用這些方式處理後，再手動搜查、刪除kavo及ntdeIect的檔案及機碼即可。

需注意的是，USB病毒會隨著explorer.exe一起運作，執行前要先停止explorer.exe，我們建議開機時以「安全模式」處理，避免病毒利用網路更新程式。另外，目前做法僅限於解決現行USB病毒，若USB病毒持續利用網路更新、演化，所有方法可能也無法解決，所以要記得建立預防機制，避免災情擴大。

第1招：建立自動檢查及解毒程式
第1種解法是臺北市政府捷運工程局技術發展處簡維德提供。

該公司也被USB病毒感染過，雖然網路上有許多解法，但步驟太多，只能單臺處理。以捷運局的規模，根本來不及應付，於是他收集網路上各種處理方法後，提出以下解決方法。

如果你的電腦也中USB病毒，可以將附件中的程式碼複製並貼上到記事本，然後轉存成.exe檔案，即可執行。

此外，如果在Windows AD環境下，也可以將此程式載入成登入程式（Logon Script），只要用戶端登入，就自動檢查。

第2招：Kavo Killer及USBCleaner
目前Kavo Killer及USBCleaner是網路上針對USB病毒開發的程式，都能免費使用，如果只是單一臺電腦中毒，也可以使用這個程式。
USBCleaner是由中國人所開發的程式，處理效果不錯，而且還能修復異常機碼、偵測USB儲存裝置及啟發式掃描功能，還有auto.exe掃毒工具，能找出許多隱藏於電腦系統中的USB病毒資料。

不過這種程式主要是偵測病毒名稱，一旦名稱改變就無法掃描，所以需要時常更新解毒程式，才能因應新種病毒的威脅。

為此，Kavo Killer的作者還開發自行解決的解毒程式，如果你知道電腦被特定類型的USB病毒攻擊，並能自行分析出程式名稱及路徑，就可以自己打造專用解毒程式。

如果企業已架設防毒系統，向防毒軟體公司要求解毒程式還是最佳的解決方式，雖然網路上提供許多解毒程式，但除了時效性問題外，也不知道這些程式是否內藏其他惡意程式，因此就算解決了USB病毒的危害，反而可能被其他有心人士所利用，使用前需小心。防護12式，讓電腦遠離USB病毒

USB病毒最惱人的行為就是重複感染，加上越來越多周邊載具都使用USB介面，一旦連接上Windows系統，就會自動識別成儲存裝置，此時，無論病毒存放在電腦或這些儲存裝置上，所有Windows系統可辨視的磁區都會被植入病毒，只要沒有清除乾淨，過一段時間，它又會發作，而且病毒特徵還會利用網路持續更新，在不斷的變種情況下，掃毒工作也更困難。

當你處理完這臺電腦的問題後，或許過沒幾天又中毒，雖然解決方法沒有很複雜，但只能手動操作，每處理一臺都很費力，因此預防再中毒，刻不容緩。

有一些方法能有效防禦USB病毒在電腦主機及USB介面儲存裝置間四處流竄，我們也收集了多種防護USB病毒到處肆虐的方法，有些方式根本不用花錢，只要在現有網路架構上增加設定即可，不過現在病毒變化太快，單靠一種方式較難完全防禦，因此各種作法要相互搭配，才能建立最完善的防護方式。

5項基本功保平安
其實要防護病毒從USB儲存裝置感染電腦，只要利用電腦群組原則（Group Policy）、防毒軟體及防火牆，就可以達到最基本的防禦方法。如果企業架構在Windows系統上，只要變更些許設定，就能防範USB病毒「自動」感染電腦的危機；若員工「手動」觸發病毒，就只能依靠防毒軟體的病毒特徵碼比對技術，就是「硬碰硬」的對戰。另外，若企業採用Windows AD建構網路環境，我們建議利用群組原則建立第一道防線，是最容易、且馬上可達成的方式。

網域群組原則
優點：能大規模禁止所有網域內電腦，執行自動播放功能
限制：欲控管的電腦必須登入Windows網域
如果企業網域是架構在Windows AD（Active Directory）中，利用群組原則編輯器，能很輕易地管控用戶端存取USB介面裝置。

群組原則是可以讓系統管理員集中管控Windows用戶端作業系統的工具，只要用戶端電腦登入Windows網域，管理人員就可以控制整個企業內所有使用者與電腦環境，加上Windows又是目前最常使用的用戶端系統，因此，利用群組原則管理用戶端電腦存取方式，是防堵USB病毒最經濟且有效的方式。

在Windows AD服務中，預設值下並沒有提供限制存USB介面裝置的設定，因此，我們需要先到http://support.microsoft.com/kb/555324/en-us下載範本檔案。使用上很容易，只要登入上述連接的網頁，複製Resolution這一段的資料到記事本中，並儲存成副檔名為.adm的檔案格式即可使用。

然後到執行網域服務的Windows Server系統上，啟動「群組原則物件編輯器」，在「電腦設定」的「系統管理範本」中，點選滑鼠右鍵使用「新增／移除範本」，匯入剛剛我們儲存成.adm檔案的資料即可，最後在「系統管理範本」中就會出現「Custom Policy Settings」設定，它所提供的範本能管控可移除式USB硬碟、光碟機及軟碟機等多種USB介面裝置。我們實際在Windows 2000 Server SP4及Windows Server 2003 SP2測試，也能順利執行，不過在Windows Server 2003中，還需要點選「檢視」的「篩選」中，取消「只顯示可以完全管理的原則設定」，才會正常顯示禁用USB裝置的設定。

當匯入範本後，預設值中，群組原則尚未設定可移除式USB硬碟的資訊，管理人員必須自行啟動才會執行，而用戶端電腦登入網域後，就會禁止執行autorun.inf，但還是可以正常存取硬碟中的資料。
此方法是利用usbstor.sys（通用型USB的驅動程式）限定用戶端電腦存取可移除式的USB硬碟裝置，包括記憶卡、隨身碟及外接硬碟等，若有用戶不想被控管，自行刪除此檔，也將無法使用USB裝置。

本機群組原則
優點：每臺電腦可以自行處理，無需加入網域
限制：需要手動自行操作，若電腦數目多，較麻煩
網域群組原則能減少管理網域內電腦的設定麻煩，但如果企業沒有架設Windows AD呢？其實我們也可從個別電腦的本機群組原則中設定，功能大同小異，只是需要每臺逐一設定。

以Windows XP專業版為例，我們只要從群組原則的系統工具中，點選「電腦設定」中「系統管理範本」的「系統」，就有「關閉自動播放」選項，只要啟動此功能，就可以停止從所有磁碟機或光碟機的自動播放功能；若要禁止USB介面的儲存裝置，就是選用套用在所有磁碟機。需要注意的是，它只能選擇停止所有磁碟機或光碟機的自動播放，不像Windows AD的群組原則，可以同時限制各種介面，然而目前從USB介面感染的病毒，多半以外接可移除式硬碟為主，因此也已經足夠。

若用戶端系統採用Windows XP家用版或Windows 2000時，因為不支援群組原則的系統工具，因此只能從更改註冊機碼下手。

在登錄編輯程式中，在HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer下，將NoDriveTypeAutoRun值改成255即可，若只想禁用USB介面的硬碟，而光碟機能正常使用自動播放功能，就要將該值設定為95。

防毒軟體
優點：可偵測、刪除或隔離電腦病毒感染主機，是最基本的防護方式
限制：只能防止已知電腦病毒，對未知病毒防護力較弱
防毒軟體通常是企業建置資訊安全的第一步，而且企業版的防毒軟體不像個人版防毒只著重在病毒的偵測率，更會考量到管理性、部署方式、報表統計及操作介面等眾多面向，除了防護個人電腦的安全外，更讓管理簡易化，理論上只要上線使用，並定期購買更新服務，就不用花費額外的資源處理。

現在的電腦病毒種類越來越多，防毒軟體為了應因許多病毒威脅，功能上從基本的防毒引擎，陸續延伸到個人防火牆及主機型入侵防禦系統（Host Intrusion Prevention System，HIPS）等，但原則上，防毒還是最基本需求，其他防禦機制是否啟用，則視個別用途而定。不過，現在防毒軟體對「毒」的定義也在轉變，從傳統的電腦病毒，延伸到間諜程式、木馬程式、垃圾郵件及網路釣魚等惡意攻擊都可算是病毒，因此各防毒軟體的病毒資料料也隨著多種惡意程式的進展同步更新。因此雖然病毒威脅增多，防毒軟體的防護功能仍持續增加中。

不過現在病毒的更新及變種速度太快，防毒軟體更新病毒特徵碼通常需要一段時間，有時根本趕不上電腦病毒變化的速度，因此單靠防毒軟體的病毒特徵碼已不敷使用。這也是近來許多電腦遭受USB病毒持續不斷、重複感染，而防毒軟體卻一籌莫展的原因。

另外，雖然現在防毒軟體強調啟發式掃描技術，採用類似行為分析模式，能偵測各種程式的處理方式，但對USB病毒的防護功能還是有限。

趨勢科技資深經理戴燊表示，USB病毒是利用autorun.inf執行病毒，這個過程原則上屬於合法行為，啟發式掃描技術可能無法判斷，但如果把autorun.inf及病毒載入電腦的各磁區時，就認為屬於異常行為，啟發式掃描技術就會發出警示，只是，此時若病毒早已植入電腦，最後還是要搭配防毒軟體的特徵碼比對能力。

賽門鐵克資深技術顧問莊添發認為，行為分析的方式仍有一定準確度，它會綜合各種合法及非法行為，最後提出一個總分，如果病毒的異常行為超過臨界值，啟發式掃描才會偵測到未知的惡意程式行為。

當然，哪種處理行為屬於合法或非法，就要看各家防毒軟體的設計方式，使用者也可以自定安全等級，甚至當把autorun.inf及病毒載入電腦的各磁區前就警示通報，不過誤判率可能提高的情況下，需有所取捨。

從防火牆阻擋更新來源
優點：避免病毒自行更新程式
限制：病毒更新來源變動時，需手動查詢、調整新的來源IP
現在病毒為了躲避防毒軟體更新病毒特徵碼的速度，也開始具有自我更新能力，類似在電腦中安裝下載器，一旦病毒版本發布更新，病毒就會自動下載執行，若防毒軟體更新特徵碼速度不夠快，根本無法比對資料，也因此無法偵測及清除病毒。

USB病毒就是有這種特性，所以如果我們能分析該病毒從哪個IP Address位址更新資料，然後阻斷更新來源，再等待防毒軟體製作解藥，較能防範疫情擴大。只是一般很難自行分析病毒的更新來源，通常要依靠資安廠商協助。

奕瑞科技客服專員陳怡吉分析過最近USB病毒的特徵，也利用工具解析出該病毒更新的IP Address位址來源，發現範圍是60.169.0.182～60.169.0.188，他建議先從防火牆封鎖，可避免病毒自我更新。根據他的經驗，60.169.0.185是最主要的更新來源，一定要阻斷連線，避免病毒更新管道。

此外，趨勢科技是利用防毒軟體。當用戶端電腦連接網路時，趨勢防毒軟體會查詢全球資料庫，確定是否為合法網站，一旦有異常，會主動通知用戶端注意。因此，就算病毒自動連線網路下載資料，防毒軟體也會察覺IP Address位址來源，防止病毒更新自身版本。

自行建立名為autorun.inf資料夾
優點：能防止病毒藉由autorun.inf載入
限制：所有磁區都要建立，只防護自動載入病毒，無法防護手動執行
USB病毒主要是利用autorun.inf將病毒植入電腦主機，或反向從遭感染的主機把病毒散播到各種USB介面的儲存裝置中。就是因為具有這種雙向傳遞的方式，病毒才能在電腦及USB儲存裝置中不斷擴散，而autorun.inf就是最主要的媒介。

這個純文字檔是讓電腦能自動播放程式的參考依據，當初它的目的是，使用者執行可移除式媒體（包括光碟、隨身碟及硬碟等）時，簡化需自行進入媒介中，手動點選程式的麻煩。但USB病毒就是利用這種方式逐一感染各個磁區。

autorun.inf本身並不是惡意程式，但惡意程式可以利用autorun.inf的內容，自動且隱密地進入電腦主機中，而且由於Windows作業系統在預設情況下，允許自動執行autorun.inf，也讓病毒感染速度更快。

感染USB病毒後，電腦內的各個磁碟區都會被植入autorun.inf及載入的電腦病毒等程式，只要有新的儲存裝置接上電腦，並被Windows系統視為磁區（例如C、D到Z等），如果磁區中沒有autorun.inf檔案，就會自動寫入autorun.inf和電腦病毒。

因此，如果能在病毒未感染儲存裝置前，預先在各磁區的根目錄中手動新增autorun.inf的資料夾，就能在連接感染的設備時，減少遭植入病毒的機會。

這作法很容易，只要在各磁區中新增名為「autorun.inf」的「資料夾」即可，並在內容屬性中設定成「唯讀」，以防止誤刪。

操作上有點費時，因為只要Windows系統判斷成磁區的分割區，我們都要在各磁碟區的根目錄建立該資料夾，包括所有USB介面的儲存裝置。

但此種作法還是有限制。例如電腦主機的各磁區都已新增autorun.inf的資料夾，而後接上有病毒的USB隨身碟時，Windows系統還是會自動執行autorun.inf，並載入相關病毒，到C磁區中的Windows系統資料夾中，該電腦依然會中毒，然而當該病毒要寫入其他磁區的根目錄時，因為這些地方都已經存在autorun.inf資料夾，而無法感染，中毒範圍僅局限在Windows系統資料夾中。

若將未感染且有autorun.inf資料夾的USB儲存裝置也適用。連接到遭感染的電腦時，因為本身已存在資料夾，也將無法載入病毒。需要注意的是，上述方式僅防範病毒利用autorun.inf自動執行的功能，若使用者不慎點選病毒檔，還是會中毒。7項進階防禦法，阻撓病毒感染不手軟
除了企業現行的網路環境可以防範感染USB病毒外，還有許多軟體硬設備可以使用，只是需要額外採購，費用較高，但這些解決方案能更徹底處理病毒的感染途徑，甚至能禁止從外接式設備處理特定應用程式。如果企業打算一勞永逸處理所有電腦病毒感染主機運作的事件，這些處理方式則是不錯的做法，若打算採購新設備，也可以考慮是否具備特定功能。

防寫USB隨身碟
特色：防止病毒自動植入USB隨身碟
防寫型的USB隨身碟能有效預防受感染的主機，將病毒再次寫入隨身碟中。

一般隨身碟只能存放資料，防寫型隨身碟則有防寫鎖，一般時候可以設定成防寫模式，當真正要儲存檔案時，再解除防寫功能，因此能避免電腦自動將病毒寫入隨身碟中。例如錸德EZdrive就有多款具有防寫鎖的隨身碟。現在隨身碟為了確保資料安全，也開始整合資料加密功能，以Authenex A-Key 4000為例，就是兼具動態密碼鎖（Token）與隨身碟的設備，當使用者登入時，會要求輸入密碼才能寫入資料，若沒有輸入密碼，就只能存取磁碟的設定區域，而該區域無法寫入資料，以避免病毒自動寫入及強化資料安全，但問題是，如果使用者不知道該電腦是否感染USB病毒，而輸入密碼、通過認證，隨身碟還是會中毒。

趨勢科技也正與某隨身碟設備合作，直接在隨身碟中嵌入防毒引擎，當存取資料時，會自動掃描檔案，防止隨身碟被植入惡意程式。

還原卡
特色：病毒只暫存在虛擬磁碟，一旦還原就消失
還原卡是保護電腦不受病毒感染的最佳方式之一，因為它會在作業系統啟動前，建立類似Pre-OS的磁區，類似將資料暫存在硬碟中，只要還原了電腦系統，就會呼叫該儲存點回復資料，與Windows的系統還原僅能保護系統設定不同，還原卡會保留需保護磁區的所有資料，因此有些還原產品會先在原本硬碟中分割獨立磁區，以存放資料。所以就算病毒植入電腦，我們只要設定開機或手動還原，就能回復成未受感染的況態，所以即使無論USB病毒重複一直感染電腦，我們還是能很輕易地回復系統。

不過面對USB病毒，這種方法還是有限制。此病毒會在各磁區都寫入病毒資料，若要利用還原卡徹底保護電腦，就要針對所有磁區，不能只保護系統磁區（C磁區），一旦病毒入侵電腦，就要還原全部磁區的資料，才能回復到安全狀態。在這種情況下，資料不能存放在電腦中，適合應用在共用電腦上。

Thin Client解決方案
特色：Thin Client本身沒有儲存裝置，但仍要確實做到伺服器主機安全
在Thin Client架構下，所有資料都是儲存在伺服器電腦中，只要設定適當權限，強制用戶端只能存取特定資料夾，就能將該病毒限制在某區域中，不至於擴大災情。

以HP Thin Client電腦為例，預設狀況下員工只能利用Thin Client存取伺服器資料，所有列印、儲存及應用程式都是由伺服器提供，就算用戶端被病毒入侵，它也僅將資料存放在記憶體中，重新啟動本機後，電腦依然能正常運作，只要做好伺服器的資安控管即可。

如果用戶端電腦需使用USB介面裝置，管理者可以開放特定電腦使用，雖然USB病毒可以利用此方式，將惡意程式植入到伺服器中，但也僅在特定資料夾內，並不會影響到其他用戶端資料，加上若企業定時備份伺服器資料，也可以回復至未受感染的狀態下。

Thin Client最大的問題是所有作業都在伺服器上，伺服器本身負擔大，而且可能需要重新部署及規畫網路系統，相較於其他解法，難度較高。

SSL VPN
特色：當用戶登入後，依然可以管理外接式儲存裝置
現在的SSL VPN不單提供遠端存取服務，更能延伸至終端防禦架構，保障傳輸過程安全外，還要確保用戶端電腦安全，在未經授權下，用戶端不能自行啟動特定應用程式及I/O介面（例如USB）。

Juniper SSL VPN的Security Virtual Workspace（SVW）就是在處理這方面的問題。通常在認證身分並建立VPN通道後，沒有其他方式可以防範人員盜取企業資源，SVW則是提供類似Windows系統的虛擬桌面，管理人員可以限制使用者只可以在此桌面中，編修及存取資料，並能使用哪些應用程式及I/O介面。為了避免病毒透過USB介面交互感染，我們能禁止將資料儲存在本機USB隨身碟中，只允許網路傳輸，杜絕USB感染途徑。

另一方面，利用SSL VPN連線時，有些解決方案還可以檢查本機電腦的安全等級（Host Check），若電腦被植入惡意程式或連接不安全設備，則禁止連線。

NAC
特色：檢查用戶端行為，一旦中毒，立即禁止連線
NAC（Network Access Control）是近來很熱門的資安設備類型，它對於受感染USB病毒的電腦連線，也有不錯的防護方式。

無論是Agent與Agentless的NAC解決方案，作法多是先檢查主機安全性，若有異常就禁止連線，或者強迫到另一網段更新系統，才能連線。員工將網芳電腦分享的資料夾，設定成網路磁碟機時，當該電腦被USB病毒感染後，網芳上的資料夾也會被植入病毒，接著導致其他人電腦依序中毒，此時USB病毒不單將USB介面的儲存裝置當成感染途徑，而是利用網芳交叉感染，疫情將更嚴重。我們則可以設定NAC政策，在電腦連線前，先分析是否被USB病毒更改機碼（例如被設定為無法顯示隱藏檔），若異常就禁止連線，限制病毒擴散速度，甚至禁止電腦使用USB隨身碟，徹底避免感染來源。

病毒監控服務
特色：24小時監控防毒記錄，第一時間警示注意
病毒監控是防毒廠商提供的委外資安服務之一，主要能監控電腦狀態，只要病毒在電腦中產生異常事件，就通知管理人員注意。

防毒軟體每天產生的記錄檔很多，一般管理者根本不會注意是否有異常訊息。雖然防毒軟體經常更新特徵碼，增加辨識率，但有時只能偵測、無法清除，記錄檔都會將處理狀況記載下來，但管理人員不會注意，病毒監控服務就是彌補此部分的資訊落差。

以趨勢科技ESO（Expert Service Offering）檢查USB病毒的過程為例，病毒會不斷更新避免被防毒軟體掃描，但防毒軟體多少還是能偵測出電腦異常，ESO服務會在企業內架構事件收集器，而趨勢科技的防禦中心也有人24小時監控這些事件。一旦事件異常就會通報企業的資訊人員，並提供進階的收集工具以正確分析電腦問題；若是被新種病毒感染，就能立即製作解藥，避免大規模擴散。這種方式對USB病毒很有效，因為病毒變化很快，單靠病毒特徵碼無法完全防護，有了持續監控的服務，就更有機會提供第一時間處理方針。

Endpoint Security
特色：整合多種資安防護系統，到達多層次防禦功效
現在的病毒變化越來越多，已不能單靠防毒軟體處理，特別像透過USB介面傳播的病毒，隨時都可能更新，防毒軟體根本來不及應付下，開始走向整合式終端安全發展。

Endpoint Security就是主機型的多層次防禦。以賽門鐵克Endpoint Protection為例，包括防火牆、入侵偵測、作業系統保護、系統禁止、Buffer Overflow保護及設備管理等5種，主要是在病毒入侵電腦的第一時刻，就做好把關動作。對於USB介面的儲存裝置而言，通常歸屬於設備管理部分。例如當連接上USB介面裝置時，只給予唯讀或禁用等權限，甚至像已知的Kavo病毒檔案名稱，還可以利用程式控制禁止執行這個檔案。另外像趨勢科技的OfficeScan，除了禁止某病毒檔案執行外，連載入USB病毒的autorun.inf都會一併刪除，減少操作麻煩。

此外，從DLP（Data Loss Prevention）技術發展的產品，也有防護USB病毒的功能。它主要是防範機密資料透過多種管道洩密，當然也包括USB介面裝置。以McAfee DLP為例，還可以僅允許某特定品牌、序號或型號的USB設備才能使用。

Endpoint Security不單能從設備管理限制存取USB裝置，其實利用HIPS也可以處理。當病毒從USB裝置感染電腦時，若行為異常時（例如自動將autorun.inf寫入各磁區），就會警示問題，或者像Cisco Security Agent直接監控機碼，當機碼變動時，就通知IT人員注意。

除了防毒廠商朝向Endpoint Security發展外，資產管理廠商的發展方向也類似。

例如LANDesk公司也有Endpoint Security管理方案，運作原理類似，都是在用戶端電腦植入代理程式，減少不正常行為造成病毒入侵的機會。

「預防勝於治療」這句話，對於USB病毒而言，更為重要。因為它的特性，處理過程經常人仰馬翻，與其等待中毒後再處理，不如現在就先打預防針，以免遭受無妄之災。

上述12招是我們整理後，能管理USB病毒擴散感染的作法，其中基本5招是能立即處理的方式，只需要更動些許設定即可完成，如果企業預算有限，可以先自行保護，第一時間就防止病毒入侵電腦。