Компьютерра, 2008 № 43 (759) - [33]

Как вы яхту назовете…

Принесли мне как-то на проверку флэшку от известного производителя Noname с надписью "8 Gb". Владелец сначала рассказывал, как ему несказанно повезло купить ее за полцены, а потом сетовал на ошибки записи. Дескать, при копировании файлов на первой минуте все хорошо, а затем куда-то свободное место девается и больше 2 Гбайт записать не удается. Сперва я подумал о некорректном форматировании раздела, но потом выяснил, что реальная емкость как раз и составляет 2 Гбайт. Просто флэшку научили прикидываться восьмигигабайтной.

Взгляните на следующий скриншот: начиная с 25% емкости скорость резко возрастает, потому что реального обращения к памяти не происходит. Если такую флэшку попытаться заполнить под завязку, а затем удалить все файлы, она покажет свое истинное лицо (2 из 8 Гбайт свободно).

Все хорошее быстро заканчивается

Portable-софт (не требующий установки) прочно вошел в нашу жизнь. Любую программу можно самому превратить в portable-вариант или даже скачать готовое решение у производителя. Казалось бы, флэшка - идеальный вариант в подобном случае. Это и вправду удобно, да вот беда: количество циклов перезаписи у твердотельной памяти сравнительно малое - от 104 до 106. У большинства флэшек типичное значение равно ста тысячам, после чего ячейки станут функционально аналогичны сбойным секторам винчестера. Чтобы равномернее распределять нагрузку между отдельными участками памяти, контроллер флэшки переписывает наиболее часто изменяющиеся логические области (например, таблицу размещения файлов FAT) в разные физические. Использование portable-браузеров, почтовых программ и клиентов ICQ непосредственно с флэшки приводит к тому, что сотни малых файлов то и дело перезаписываются, неумолимо ускоряя физическое старение памяти. Поэтому всем любителям portable-софта (к коим причисляю и себя) напоминаю о необходимости делать бэкап почаще. При небольшом количестве данных годится простой вариант копирования файлов на жесткий диск. Если же на вашей флэшке тысячи мелких файлов, то удобнее (и в разы быстрее) сделать посекторное копирование всего раздела - например, с помощью Flash Memory Toolkit Pro.

Побочный эффект массовости

Популярность флэшек подарила вторую жизнь файловым и загрузочным вирусам, ранее облюбовавшим дискеты. Дело в том, что Windows XP Home в настройках по умолчанию использует функцию автозапуска для сменных носителей и выполняет содержимое файла autorun.inf.

На зараженном USB-flash-диске создается файл автозапуска и скрытая папка (чаще всего маскирующаяся под "Корзину" | Recycler). В этой папке размещается вредоносный код одним или несколькими файлами. Как правило, это троян (в качестве боевой начинки) и дроппер (для доставки трояна к цели в обход антивирусов).

Достаточно вставить такую флэшку в USB-порт, и компьютер под управлением Windows XP Home инфицируется. Для Pro-версии и Vista автоматическое выполнение команд из файла autorun.inf запрещено. Сначала появляется окно выбора действия - и выполнение автозапуска лишь одно из них. Это небольшое отличие вряд ли поможет, поскольку существуют способы обмана пользователя - например, подмена стандартных пунктов ("открыть", "Проводник", "найти") на вызов дроппера или замена иконки диска.

Кардинальное решение проблемы под XP и Вистой одинаковое: необходимо отказаться от медвежьей услуги автоматической обработки сменных носителей.

В WinXP Pro и Vista (за исключением Home Basic и Home Premium) это можно сделать путем редактирования локальной политики gpedit.msc: Computer configuration/Administrative templates/System/Turn off autoplay.

В не имеющих gpedit.msc версиях XP и Vista следует напрямую отредактировать соответствующие ключи реестра (см. ниже).

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom]

"AutoRun"=dword:00000000

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\

policies\Explorer\NoDriveTypeAutoRun] "NoDriveTypeAutoRun"=dword:000000b5

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\

Policies\Explorer]

"NoDriveTypeAutoRun"=dword:000000b5

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion

Explorer\AutoplayHandlers\CancelAutoplay\Files]

''*.*''=''''

Здесь 000000b5 - это сумма параметров (в шестнадцатеричном виде). Значения 80(h) и 1 отключают автозапуск на приводах неизвестных типов (можно указать оба для гарантии, хуже не будет); 20(h) - с оптических приводов; 10 - для сетевых дисков; 4 - для съемных устройств. Вместо 000000b5 можно указать 0xFF - тогда отключится автозапуск со всех носителей.

Вдобавок стоит удалить ключ HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2, в котором хранится информация об устройствах, подключенных ранее в режиме автозапуска.

Код троянов и дропперов меняется довольно часто, и если пользователь пренебрегает антивирусными обновлениями, он рискует вдвойне, потому что эвристика здесь практически бессильна.

ЖЕЛЕЗНЫЙ ПОТОК: Железный поток

Автор: Артем Захаров

Бессмертная классика:Cooler Master ATCS 840