TWI421725B - 惡意自動執行程序的阻絕方法以及相關的可攜式裝置 - Google Patents

Description

惡意自動執行程序的阻絕方法以及相關的可攜式裝置

本發明係有關一種可攜式裝置的惡意自動執行程序的阻絕方法以及可攜式裝置，尤指一種在可攜式裝置與主機建立連線時即將安全的指向檔及執行檔覆蓋/更新於可攜式裝置的指向檔及執行檔的方法以及應用此方法的可攜式裝置。

通常個人電腦的作業系統都會提供Autorun自動執行的功能，早期皆廣泛應用在光碟機上，當CD光碟片置入光碟機後，作業系統的Autorun自動執行功能便會自動播放CD光碟片。近年來可攜式裝置如隨身碟、外接式硬碟、數位多媒體裝置也大量出現，作為個人電腦可外接的裝置，當然作業系統提供的Autorun自動執行功能也隨之應用在這些可攜式裝置上，亦即當可攜式裝置與主機系統連接，如USB連接埠、IEEE 1394連接埠、甚至透過各種無線傳輸技術連結時，Autorun自動執行功能便可直接讀取可攜式裝置中的自動執行指向檔(如最常見的Autorun.inf)，並執行其中所指向的一個可執行檔，以自動執行可攜式裝置預先設計好的程式或自動執行功能，例如：開啟可攜式裝置的多功能操作介面、執行安裝程式等。

也由於作業系統提供的自動執行功能，可攜式裝置的自動執行指向檔以及所指向的可執行檔逐漸成為病毒程式、木馬程式等惡意軟體散播感染的有利途徑。這些隨身碟病毒或惡意程式亦包含一個可執行檔(即病毒檔案，通常具有exe、.com或.bat等副檔名)，以及一個自動執行指向檔(Autorun.inf)。隨身碟病毒或惡意程式會直接竄改或覆蓋可攜式裝置裡面原有的自動執行指向檔，以將內含指向的檔案由指向可攜式裝置本身預先設計好的可執行檔變更為指向該病毒檔案。當作業系統的自動執行功能在啟用狀態，且受感染的可攜式裝置連接上個人電腦後，自動執行功能便直接執行可攜式裝置內受竄改或覆蓋的自動執行指向檔所指向的病毒檔案，而病毒檔案便可藉此傳播到該個人電腦上。

目前有多種針對隨身碟惡意程式所提供的防堵策略，然而這些防堵策略都有其限制，因此，如何利用最簡單有效的方式，在可攜式裝置中設計一種可因應作業系統的自動執行功能，而對上述隨身碟病毒或惡意程式加以防堵的方法，以防止可攜式裝置的病毒程式因可攜式裝置連接主機自動執行而感染主機，是一個有待解決的問題。

本發明提供一種可攜式裝置的惡意自動執行程序的阻絕方法，於一可攜式裝置中包含一隱藏區域以及一使用區域，該隱藏區域儲存有一安全檔案，該使用區域儲存有一使用檔案，該方法包含下列步驟：於該可攜式裝置連接於一主機系統的一連接埠時，該主機系統偵測到該連接埠的電壓變化以發出一連線需求訊號；該可攜式裝置於接收到該連線需求訊號時，將儲存於該隱藏區域的該安全檔案複製至該使用區域以更新該使用檔案；同時該可攜式裝置傳回一確認訊號給該主機系統，以建立後續主機系統與該可攜式裝置的連線。其中該主機系統之自動執行功能係於該可攜式裝置與該主機系統建立連線後讀取該使用檔案的內容以執行該可攜式裝置之一執行檔，其中該執行檔為該主機系統所定義之可執行檔。

本發明另提供一種可阻絕惡意自動執行程序的可攜式裝置，用來連接於一主機系統的一連接埠，該可攜式裝置包含有一使用區域、一隱藏區域以及一控制單元。該使用區域儲存有一使用檔案，該隱藏區域儲存有一安全檔案。該控制單元用來於該可攜式裝置連接於該連接埠時，且接收到該主機系統偵測到該連接埠的電壓變化所發出的一連線需求訊號時，將儲存於該隱藏區域的該安全檔案複製至該使用區域以更新該使用檔案。

本發明利用在一可攜式裝置(如USB隨身碟、外接硬碟或IEEE 1394介面的外接式硬碟、具有無線傳輸介面的裝置等外接式儲存裝置)連接於個人電腦、筆記型電腦等主機系統的連接埠以建立連線的信號交換(handshaking)過程中，將儲存於安全區域的執行指向檔以及可執行檔複製於可攜式裝置的根目錄下，以有效阻絕病毒、木馬的惡意程式利用作業系統的自動執行功能而感染主機系統。

請參考第1圖以及第2圖，第1圖為本發明所揭露的阻絕方法100的流程示意圖，第2圖為可攜式裝置10連接於一主機系統20的示意圖。可攜式裝置10包含一控制單元22，例如USB隨身碟的控制邏輯(Control Logic,Controller)，以及儲存資料儲存單元以及韌體，其中在本發明中，於儲存資料的區域(即第2圖中的使用區域24)之外，另設置一隱藏區域23，以存放安全乾淨的執行指向檔以及可執行檔。而隱藏區域23可如第3圖所示，由控制單元22於儲存單元25中規劃一隱藏區域23，而儲存單元25其他區塊則為可攜式裝置10可使用的儲存空間(即使用區域24)，亦可如第4圖所示，儲存單元25由控制單元22規劃作為儲存空間(使用區域24)，而隱藏區域23(其所包含的執行指向檔以及可執行檔)則直接寫入韌體26。由於隱藏區域23由可攜式裝置10的韌體26控制且無法被韌體26以外的程式修改，如此一來，不論是第3圖或第4圖的實施方式，本發明的方法100以及應用的可攜式裝置10皆可確保在隱藏區域23裡面的執行指向檔以及可執行檔是安全不受病毒或惡意程式感染。請參考第5圖，其中，隱藏區域23儲存有一安全檔案(包含一第一執行檔231以及一第一指向檔232，而第一指向檔232內包含有執行第一執行檔231的資訊)，而使用區域24則儲存有一使用檔案(包含一第二執行檔241以及一第二指向檔242，而第二指向檔242內包含有執行第二執行檔241的資訊)，主機系統20的自動執行功能即是在讀取使用區域24的第二指向檔242，再依據第二指向檔242內所指向的第二執行檔241執行第二執行檔241，以達到自動執行的功能。至於受到病毒程式或木馬等惡意程式感染的隨身碟，其第二指向檔242則是遭到修改或替換，使其內原本指向第二執行檔241的內容轉為指向為病毒程式或木馬程式。

接著描述阻絕方法100的步驟如下：步驟102：將可攜式裝置10連接於主機系統20的一連接埠21，主機系統20偵測到連接埠21的電壓變化(或其他連接介面的初始訊號)時，對所有連接埠發出一連線需求訊號(如USB identify的Handshake訊號)。此連線需求訊號是在可攜式裝置10初連接於連接埠21時，第一個傳給可攜式裝置10的訊號，所以本來已經在使用的外接裝置不會對此連線需求訊號作出反應。

步驟104：由可攜式裝置10的控制單元22依據一設定旗標決定是否啟動安全檔案複製程序。換言之，阻絕方法100亦可在可攜式裝置10經設定而不自動啟動安全檔案複製程序(即下述的步驟106)，以保留更彈性的應用。例如利用可攜式裝置10一外部的切換開關，於切換到關閉安全檔案複製程序時，控制單元22則不執行步驟106，以一般的程序建立裝置10與主機系統20間的連線，並完成後續的自動執行功能。此外，該設定旗標亦可為變更使用區域24中的執行指向檔的檔名變化、或是於使用區域24中新增一個供辨識的檔案...等。

步驟106：可攜式裝置10於接收到該主機系統20發出的該連線需求訊號時，由控制單元22將儲存於隱藏區域23的安全檔案(包含第一執行檔231以及第一指向檔232)複製至使用區域24，以更新使用區域24的使用檔案。請參考第5圖，第5圖顯示隱藏區域23以及使用區域24內的檔案，在可攜式裝置10於接收到該連線需求訊號時的檔案變化。在第5圖中，步驟106即將隱藏區域23的第一執行檔231複製至使用區域24內，而將第一指向檔232複製至使用區域24內以覆蓋原使用區域24內的第二指向檔242(或實質上為更新第二指向檔242的內容)，而更新後的第二指向檔242(為第一指向檔232的內容)則指向執行使用區域24內的第一執行檔231。

若原先儲存於可攜式裝置10的使用區域24內的第二指向檔242以及第二執行檔241為遭到感染的病毒程式或木馬程式等惡意程式，則在經過步驟106後，惡意程式原先欲利用主機系統20自動執行功能所讀取的第二指向檔242已於步驟106中被「還原」為指向第一執行檔231的一乾淨指向檔，因此可避免主機系統20自動執行惡意程式的第二執行檔241而造成病毒或木馬等惡意程式的傳播。

由於步驟106係在可攜式裝置10與主機系統20尚在建立連線的信號交換(handshaking)程序中進行，因此可提早一步將安全乾淨的指向檔以及執行程式複製至使用區域24內。

步驟108：接著可攜式裝置10的控制單元22傳回一確認訊號給主機系統20，以建立主機系統20與可攜式裝置10的連線。其中在此步驟中，可攜式裝置10會根據本身速度等級(例如以USB裝置來說，具有USB super/high/full/low speed等不同的速度等級)回傳不同的訊號，以及告知可攜式裝置10的裝置類別。而主機系統20接收到可攜式裝置10回傳的訊號後，再傳送連接埠21本身的速度等級訊號，可攜式裝置10再據以改變本身的速度傳輸模式，使主機系統20的傳輸埠21與可攜式裝置10依據兩個傳輸速度中較低的速度等級，建立一相同速度等級的傳輸連線。

接著在建立連線的信號交換(handshaking)過程中，可視不同的設備需求，由主機系統20分配可攜式裝置10的輸出入位址、安裝相關的驅動程式或分配主機系統20的部分記憶區域給此可攜式裝置10，如此則完成可攜式裝置10連接於主機系統20的程序，可攜式裝置10進入就位(ready)的狀態。

此外，前述步驟108的信號交換的程序可在步驟106進行安全檔案複製程序中同時進行(如第6圖另一實施例的阻絕方法200中的步驟206)，或如第1圖的阻絕方法100所示，待步驟106的安全檔案複製程序完成(即將第一指向檔232以及第一執行檔231完全複製至使用區域24後)再進行。換言之，只要在步驟110所描述的可攜式裝置10與主機系統20完成連線進入就位狀態之前(亦即作業系統執行自動執行功能之前)，完成步驟106的安全檔案複製程序即可。

步驟110：主機系統20於可攜式裝置10進入就位狀態後，執行自動執行功能。換言之，主機系統20的作業系統開始搜尋可攜式裝置10儲存於使用區域24的根目錄下的指向檔(於第5圖中則為已更新後的第二指向檔232)，在實際的範例中，其可為視窗作業系統下所規範的Autorun.inf檔案，其內包含有「open=執行檔」的指令。如前所述，由於此時更新後的第二指向檔232實際上指向使用區域24中的第一執行檔231(安全乾淨的檔案)，因此可避免主機系統20自動執行惡意程式的第二執行檔241而造成病毒或木馬等惡意程式的傳播。

另外要說明的是，用來取代惡意程式執行的第一執行檔231亦可依據不同的需求有不同的執行內容。例如在本發明的實施例中，第一執行檔231在由作業系統的自動執行功能啟動後，可跳出一對話視窗，並列出可攜式裝置10中所有可執行的執行檔，以供使用者判斷是否有惡意的執行程式，並加以刪除。另外於步驟104中決定是否啟動安全檔案複製程序的設定旗標亦可由此對話視窗中供使用者設定，並在下一次可攜式裝置10再度連接上主機系統20時依據設定的結果執行。

本發明所揭露的方法以及應用此方法的可攜式裝置利用在可攜式裝置連接於主機系統的連接埠並接收到主機系統發出的初始連線需求訊號時，即將儲存於安全區域的安全檔案(包含執行指向檔以及可執行檔)複製於可攜式裝置的根目錄下，當可攜式裝置與主機系統完成連線預備好，主機系統執行自動執行功能時，即可搜尋安全的執行指向檔並執行安全的執行檔，以有效阻絕病毒、木馬的惡意程式利用作業系統的自動執行功能而感染主機系統的問題。

以上所述僅為本發明之較佳實施例，凡依本發明申請專利範圍所做之均等變化與修飾，皆應屬本發明之涵蓋範圍。

100．．．阻絕方法

102～110．．．步驟

10．．．可攜式裝置

20．．．主機系統

21．．．連接埠

22．．．控制單元

23．．．隱藏區域

24．．．使用區域

25．．．儲存單元

26．．．韌體

231．．．第一執行檔

232．．．第一指向檔

241．．．第二執行檔

242．．．第二指向檔

第1圖為本發明應用於可攜式裝置的惡意自動執行程序的阻絕方法的流程示意圖。

第2圖為可攜式裝置與一主機系統連接的方塊示意圖。

第3圖以及第4圖為可攜式裝置內隱藏區域與使用區域的不同實施例的示意圖。

第5圖為應用本發明的阻絕方法以將隱藏區域的安全檔案複製至使用區域的示意圖。

第6圖為本發明所揭露的阻絕方法另一實施例的流程示意圖。

100．．．阻絕方法

102~110．．．步驟

Claims (18)

1. 一種可攜式裝置的惡意自動執行程序的阻絕方法，於一可攜式裝置中包含一控制單元、一隱藏區域以及一使用區域，該隱藏區域儲存有一安全檔案，該使用區域儲存有一使用檔案，該方法包含下列步驟：於該可攜式裝置連接於一主機系統的一連接埠時，該主機系統偵測到該連接埠的電壓變化以發出一連線需求訊號；該可攜式裝置於接收到該連線需求訊號時，透過該控制單元將儲存於該隱藏區域之該安全檔案複製至該使用區域，以更新該使用檔案；以及該可攜式裝置傳回一確認訊號給該主機系統，以建立該主機系統與該可攜式裝置的連線，並且該主機系統利用更新後之該使用檔案執行一自動執行功能；其中，該自動執行功能係指當該可攜式裝置與該主機系統建立連線後，該主機系統讀取並執行更新後之該使用檔案中之一執行檔，其中該執行檔為該主機系統所定義之可執行檔。
2. 如請求項1所述的方法，另包含步驟：該可攜式裝置依據一設定旗標決定是否於接收到該連線需求訊號時，將儲存於該隱藏區域的該安全檔案複製至該使用區域。
3. 如請求項1所述的方法，其中該主機系統係對所有外接裝置連接埠發出該連線需求訊號。
4. 如請求項1所述的方法，其中該可攜式裝置係於與該主機系統完成建立連線前將該安全檔案複製至該使用區域以更新該使用檔案。
5. 如請求項1所述的方法，其中該可攜式裝置係於該主機系統執行自動執行功能前將該安全檔案複製至該使用區域以更新該使用檔案。
6. 如請求項1所述的方法，其中該可攜式裝置將儲存於該隱藏區域的該安全檔案複製至該使用區域以更新該使用檔案包含步驟：將該安全檔案中之一第一指向檔複製至該使用區域以更新該使用檔案之一第二指向檔；以及將該安全檔案中之一第一執行檔複製至該使用區域；其中該第一指向檔以及該更新後之該第二指向檔包含執行該第一執行檔以及複製至該使用區域中之該第一執行檔的資訊，該主機系統之該自動執行功能係讀取更新後之該第二指向檔的內容，以執行複製至該使用區域中之該第一執行檔。
7. 如請求項6所述的方法，其中執行該可攜式裝置之該第一執行檔包含啟動一對話視窗、於一對話視窗中列出該可攜式裝置所有可執行的執行檔、或於一對話視窗中提供一設定旗標以決定是否於接收到該連線需求訊號時，將儲存於該隱藏區域的該安全檔案複製至該使用區域。
8. 如請求項1所述的方法，其中該可攜式裝置係於將儲存於該隱藏區域的該安全檔案複製至該使用區域以完成更新該使用檔案後，再傳回該確認訊號給該主機系統。
9. 如請求項1所述的方法，其中該可攜式裝置係於將儲存於該隱藏區域的該安全檔案複製至該使用區域以更新該使用檔案時，同時傳回該確認訊號給該主機系統。
10. 一種可攜式裝置，用來連接於一主機系統之一連接埠，該可攜式裝置包含有：一使用區域，儲存有一使用檔案；一隱藏區域，儲存有一安全檔案；以及一控制單元，係耦接該使用區域與該隱藏區域，當該可攜式裝置連接於該連接埠時，該主機系統偵測到該連接埠之電壓變化而發出一連線需求訊號至該控制單元，且當該控制單元接收該連線需求訊號時，將儲存於該隱藏區域之該安全檔案複製至該使用區域以更新該使用檔案。
11. 如請求項10所述的可攜式裝置，其中該控制單元另用來傳回一確認訊號給該主機系統，以建立該主機系統與該可攜式裝置的連線；其中，該主機系統之自動執行功能係指當該可攜式裝置與該主機系統建立連線後，該主機系統讀取並執行更新後之該使用檔案中之一執行檔，其中該執行檔為該主機系統所定義之可執行檔。
12. 如請求項10所述的可攜式裝置，其中該連接埠係為USB連接埠、IEEE 1394連接埠或符合無線傳輸規格的連接埠，該可攜式裝置係為具有相對應連接埠的可攜式裝置。
13. 如請求項10所述的可攜式裝置，包含一儲存單元，該使用區域係設置於該儲存單元內，該隱藏區域係設置於該儲存單元中異於該使用區域的一區塊內。
14. 如請求項10所述的可攜式裝置，包含一儲存單元，該使用區域係設置於該儲存單元內，該隱藏區域係設置於該可攜式裝置的韌體內。
15. 如請求項10所述的可攜式裝置，其中該安全檔案包含一第一指向檔以及一第一執行檔，該第一指向檔包含執行該第一執行檔以及複製至該使用區域中之該第一執行檔的資訊。
16. 如請求項15所述的可攜式裝置，其中該使用檔案包含一第二指向檔以及一第二執行檔，該第二指向檔包含執行該第二執行檔的資訊。
17. 如請求項16所述的可攜式裝置，其中複製至該使用區域並被該第一指向檔更新後之該第二指向檔包含執行複製至該使用區域中之該第一執行檔的資訊，該主機系統之自動執行功能係讀取更新後之該第二指向檔的內容，以執行複製至該使用區域中之該第一執行檔。
18. 如請求項17所述的可攜式裝置，其中該第一執行檔的內容包含啟動一對話視窗、於一對話視窗中列出該可攜式裝置所有可執行的執行檔、或於一對話視窗中提供一設定旗標以決定是否於接收到該連線需求訊號時，將儲存於該隱藏區域的該安全檔案複製至該使用區域。