Win 7編: 自動実行機能とAutorun.infファイルの参照を抑制し、安全性を高める

こんにちは、阿久津です。昨日、USBメモリ経由で侵入するウイルスの危険性が告知されました。この問題はMicrosoftセキュリティアドバイザリ2286198で説明されているように、ショートカットファイルが参照するアイコン表示ロジックの脆弱性を狙ったものです。同セキュリティホールは、既に更新プログラムがリリースされ、8月上旬にはWindows Update経由で配布されました(図01)。

そもそもWindows OSの自動実行は、自動的に起動する実行ファイルやアイコンファイル名が記述されているAutorun.infファイルを参照しています。この機能はWindows OS当初からサポートされており、筆者の記憶が確かなら、Windows XP SP(Service Pack)2から、USBメモリに代表されるリムーバブルストレージもサポートされるようになりました。言わずもがな同機能はWindows 7に至るまで採用されており、利便性を考えれば有用な機能です。しかし、セキュリティという観点から見れば、危険なことこの上ありません。以前からWindows OSを使っている方であれば、とっさにエントリ「NoDriveTypeAutoRun」の存在を思い出すでしょう。

今回は新たなセキュリティホールが新たに発見された場合を想定し、まずはNoDriveTypeAutoRunを用いた、すべてのデバイスを対象にした自動実行を抑制するチューニングからお届けします。

すべてのデバイスを対象にした自動実行を抑制する

1．［Win］＋［R］キーを押して「ファイル名を指定して実行」を起動し、テキストボックスに「regedit」と入力してから＜OK＞ボタンをクリックします。
2．レジストリエディターが起動したら、HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \ Policies \ Explorerキーまでたどって開きます。
3．右ペインにあるDWORD値「NoDriveTypeAutoRun」を右クリックし、メニューから＜削除＞を選択します。
4．確認をうながすダイアログが起動したら＜はい＞ボタンをクリックします。
5．次にルートから、HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows \ CurrentVersion \ Policies \ Explorerキーまでたどって開きます(ない場合は作成します)。
6．右ペインの何もないところを右クリックし、メニューから＜新規＞→＜DWORD値＞と選択します。
7．エントリ名を「NoDriveTypeAutoRun」に変更したら、ダブルクリックします。
8．ダイアログが起動したら、値のデータに「ff」と入力して＜OK＞ボタンをクリックします。
9．［F5］キーを押して変更内容をシステムに反映させてから、レジストリエディターを終了します。

これでチューニング完了です(図02～10)。

早速結果を確認してみましょう。コンピュータにUSBメモリを接続しますと、それまで表示されていた自動再生ダイアログが起動しなったはずです。ステップ08で入力したデータ値は、「ff」の場合、全種類のドライブが対象。データ値が「b5」の場合は、CD/DVDドライブやリムーバブルメディアドライブを対象に機能を抑制します(図11)。

このデータ値は下記に示した表に並ぶ値の和を設定するもので、「b5」は「0x01(不明な種類のドライブ)＋0x04(リムーバブルメディアドライブ)＋0x10(ネットワークドライブ)＋0x20(CD/DVDドライブ)＋0x80(不明な種類のドライブ)」と各設定値の和が示されたもの。本エントリを作成すべきはシステム全体に影響を及ぼす、HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows \ CurrentVersion \ Policies \ Explorerキーであり、初期状態ではカレントユーザーを対象にする、HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \ Policies \ Explorerキーに同エントリが存在します。そのため今回は情報の分散を避けるため、HKEY_CURRENT_USER～の同エントリを削除し、HKEY_LOCAL_MACHINE～へ同エントリを作成しました。

■表 NoDriveTypeAutoRunのデータ値
値	内容
0x01	不明なドライブに対する自動実行を無効にします
0x04	リムーバブルメディアドライブに対する自動実行を無効にします
0x08	固定ドライブに対する自動実行を無効にします
0x10	ネットワークドライブに対する自動実行を無効にします
0x20	CD/DVDドライブに対する自動実行を無効にします
0x40	RAMディスクに対する自動実行を無効にします
0x80	不明なドライブに対する自動実行を無効にします
0xFF	すべての種類のドライブに対する自動実行を無効にします

しかし、この手順を行なっても冒頭のセキュリティホールと直結するアイコン情報は自動的に取得されてしまいます。Autorun.infの読み込みを抑制するには、HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows NT \ CurrentVersion \ IniFileMappingキーで操作を行なわなければなりません。続いてAutorun.infの参照を無効にするチューニングをお送りしましょう(図12)。

Autorun.infの参照を無効にする

1．［Win］＋［R］キーを押して「ファイル名を指定して実行」を起動し、テキストボックスに「regedit」と入力してから＜OK＞ボタンをクリックします。
2．レジストリエディターが起動したら、HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows NT \ CurrentVersion \ IniFileMapping \ Autorun.infまでたどって開きます(ない場合は作成します)。
3．右ペインにある文字列値「(既定)」をダブルクリックします。
4．ダイアログが起動したら、値のデータに「@SYS:DoesNotExist」と入力して＜OK＞ボタンをクリックします。
5．［F5］キーを押して変更内容をシステムに反映させてから、レジストリエディターを終了します。

これでチューニング完了です(図13～16)。

早速結果を確認してみましょう。コンピュータにUSBメモリを接続しますと、それまで表示されていたアイコンが表示されなくなりました。つまり、Autorun.infが参照されないため、同ファイル内で指定しているUSBメモリ内のアイコンファイル(拡張子「.ico」)の参照も無効になるからです(図17)。

以上のチューニングで、Windows 7における自動実行機能およびAutorun.infファイルの参照が無効になるため、USBメモリをコンピュータに接続しただけでは、ウイルスに感染しなくなります。もちろんUSBメモリに割り当ててられたドライブを開くことで、Windows 7はアイコン情報を参照してしまうため、冒頭で述べたセキュリティホールが存在する場合、危険にされされることに。チューニングの有無にかかわらず、セキュリティホールを修正する更新プログラムは必ず適用してください。

それでは、また次号でお会いしましょう。

阿久津良和(Cactus)