AutoRun 機制與病毒傳播鏈：徹底封鎖自動播放

AutoRun (自動播放) 從 Windows 95 時代的 CD 自動播放演變為 AutoRun (自動執行)，成為 USB 病毒傳播主力通道。微軟透過 KB971029 更新修改預設行為，本文說明原理、更新部署與手動停用方法。

威脅模型：USB 病毒傳播鏈

1. 受感染電腦 → 病毒掃描可移動磁碟 → 寫入 autorun.inf + 複製病毒本體 (virus.exe)
2. autorun.inf 內容：[AutoRun] open=virus.exe icon=virus.exe label=USB Drive
3. 受害者插入 USB → Windows 解析 autorun.inf → 依 open= 自動執行病毒
4. 病毒在新宿主繁殖，循環擴散

微軟修正演進

階段	版本/更新	行為變更
XP RTM - SP2	預設	所有磁碟機類型皆自動執行 autorun.inf 的 open= 程式
XP SP3 / Vista RTM	預設	僅光碟機 (DRIVE_CDROM) 自動執行，可移動磁碟顯示選單不自動執行
KB971029 (2009/02)	更新	XP/Vista 推送更新：可移動磁碟不再自動執行，僅顯示選單；光碟機維持自動播放
Win7 RTM	預設	同上，且預設關閉所有類型自動執行，僅顯示選單
Win8+	預設	完全移除 AutoRun 自動執行邏輯，僅保留 AutoPlay 選單

部署 KB971029 更新

自動更新 (推薦)

Windows Update → 高優先順序更新 → KB971029 → 安裝。無需使用者干預。

手動下載 (離線/批次部署)

• XP x86: WindowsXP-KB971029-x86-CHT.exe
• Vista x86: Windows6.0-KB971029-x86.msu
• Vista x64: Windows6.0-KB971029-x64.msu

群組原則徹底停用 (企業/進階)

gpedit.msc → 電腦設定/使用者設定 → 系統管理範本 → Windows 元件 → 自動播放原則 → 「關閉自動播放」→ 啟用 → 「所有磁碟機」。
對應登錄表：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveTypeAutoRun = 0xFF (255，全部磁碟機)

登錄表手動停用 (Home 版/無 gpedit)

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoDriveTypeAutoRun"=dword:000000ff

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoDriveTypeAutoRun"=dword:000000ff

值 0xFF (255) 代表所有磁碟機類型 (DRIVE_UNKNOWN + DRIVE_REMOVABLE + DRIVE_FIXED + DRIVE_REMOTE + DRIVE_CDROM + DRIVE_RAMDISK)。

驗證與副作用

• 插入 USB → 不再自動執行程式，僅彈出 AutoPlay 選單 (或無反應)
• 副作用： 合法自動安裝程式 (如相機軟體、廠商工具) 失效，需手動執行 setup.exe
• 光碟機自動播放行為不受影響 (若需關閉，設 NoDriveTypeAutoRun = 0xDF 排除 CDROM)

進階防護：PNF 修補 / 疫苗工具

• Panda USB Vaccine：在 USB 寫入唯讀 autorun.inf 資料夾，物理阻擋病毒寫入
• Bitdefender USB Immunizer：同理建立免疫
• 手動免疫：在 USB 根目錄建立 autorun.inf 資料夾 (非檔案)，設定唯讀/隱藏/系統屬性：
  mkdir autorun.inf
attrib +r +h +s autorun.inf
echo. > autorun.inf\lpt1 (建立保留裝置名稱檔案防刪除)