Autorun, taşınabilir disklerin bilgisayara takıldığında istenilen programı veya programları otomatik olarak çalıştırması için kullanılan bir uygulamadır. Autorun özelliği CD, DVD ve USB diskler gibi bütün taşınabilir disklerde bulunmaktadır. Autorun özelliği işlevinden dolayı çok ciddi güvenlik açıklıklarına sebep olmaktadır.

Trojan ve worm gibi zararlı yazılımlar bu özelliği kullanarak son kullanıcıya farkettirmeden çok hızlı bir şekilde yayılmaktadır. Autorun ile yayılma özelliğinin oldukça kolay olması ve son kullanıcının farkındalığını en aza indirmesi dolayısıyla, bu yöntemi kullanan zararlı yazılımların sayısında son yıllarda ciddi bir artış görülmektedir.

Bu konuda Bilgi Güvenliği sitemizde "USB Disklerde AutoRun ile Gelen Tehlike " adlı bir makale yayınlanmış ve bir çözüm önerisinden bahsedilmişti. Microsoft tarafından da önerilen bu çözüm önerisinin bazı Windows işletim sistemlerinde yetersiz olduğu belirlenmiştir. Bu makalede Autorun özelliğinin Microsoft Windows işletim sistemlerinde tam olarak nasıl kapatılacağına dair yöntemler anlatılmaktadır.

Öncelikle çok karıştırılan Autorun ve Autoplay arasındaki farka değinelim. Bu iki özellik isimleri itibariyle benzer işlevlere sahipmiş gibi görünse de aslında birbirlerinden farklıdır. Autorun özelliği, taşınabilir disklerin bilgisayara takıldığında istenilen programı veya programları otomatik olarak çalıştırması için kullanılır. Örneğin, USB disk takıldığında bir kurulum dosyasının otomatik olarak çalışması isteniyorsa Autorun özelliği kullanılır.

Autoplay özelliği ise, taşınabilir disk bilgisayara takıldığında bir ortam dosyasının nasıl çalıştırılacağına kullanıcının karar vermesini sağlar. Örneğin, taşınabilir diskte bir mp3 dosyası olsun. Autoplay özelliği sayesinde kullanıcı bu mp3 dosyasının winamp programıyla veya windows media player programıyla çalıştırılacağına karar verebilir.

Autorun özelliğinin çalışması için Autorun.inf dosyası kullanılmaktadır. Bu dosya ile Autorun özelliği kullanılarak taşınabilir disk takıldığında neler yapılacağı komutlarla belirlenmektedir. Örnek bir Autorun dosyası aşağıdaki gibidir

[autorun]

open = program.exe

Bu komutlar kullanılarak taşınabilir diskte bulunan program.exe dosyası otomatik olarak çalıştırılabilmektedir. 

Autorun Özelliğinin Beraberinde Getirdiği Riskler

Autorun özelliği, taşınabilir disk içerisine kopyalanan zararlı yazılımların, taşınabilir diskin takıldığı bilgisayara, kullanıcıya farkettirmeden kurulmasına sebep olur. Zararlı yazılımın bulaştığı bilgisayara başka bir taşınabilir disk takılması durumunda zararlı yazılım kendini bu diske de kopyalamaktadır. Zararlı yazılımlar bu şekilde hızlı bir şekilde yayılmaktadır.

Zararlı yazılım sisteme sızdığında, internet üzerinden bir bilgisayara bağlanarak, bulaştığı bilgisayarın zombi haline gelmesini sağlayabilir. Kurulan zararlı yazılım bir keylogger olabilir ve kişisel bilgilerin çalınmasına sebep olabilir. Bunun gibi pek çok zararlı işlemi gerçekleştirebilir.

Autorun Özelliği Nasıl Kapatılır?

Windows işletim sistemlerinde Autorun özelliğini kapatmak için pek çok yol bulunmaktadır. Ancak bazı çözümler diğerlerine göre daha etkilidir. Şimdi Autorun özelliğini kapatma yollarına bir göz atalım:

SYS:DoesNotExist Yöntemi ile Autorun.inf Dosyalarının Çalışmasının Engellenmesi

Autorun.inf dosyalarının çalışmasını engellemek için en kolay ve en etkili yöntemdir. Bu yöntemde, kütük anahtarı (registry key) yazılarak genel bir politika oluşturulur ve autorun.inf dosyalarının çalışması engellenir. Bu yöntemi uygulamak için aşağıdaki adımlar izlenir:

1. Notepad açılarak yeni bir dosya oluşturulur. Dosyanın içerisine aşağıdaki satırlar eklenir. Köşeli parantez arasındaki kısmın tek bir satırda olmasına dikkat edilmelidir.

REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]
@="@SYS:DoesNotExist"

2. Dosya NoAutoRun.reg ismiyle kaydedilir. Dosya uzantısının reg olmasına dikkat edilmelidir.

3. Oluşturulan NoAutoRun.reg dosyası üzerinde sağ tıklanır ve birleştir (merge) seçilir. Uyarı mesajları kabul edildiğinde kayıt kaydedilmiş olacaktır.

4. Bilgisayar yeniden başlatıldığında kütük kaydı etkin hale gelir ve autorun.inf dosyalarının çalışmamasını sağlar.

Bu yöntem bütün Windows işletim sistemlerinde çalışmaktadır. 

Grup İlkesi Yöntemi

Grup İlkesi’nde yer alan Otomatik kullan’ı kapat özelliği etkin hale getirilerek Autorun özelliği devre dışı bırakılabilir. Bu yöntemi uygulamak için Windows 2000, Windows 2003 ve Windows XP’de aşağıdaki adımlar izlenmelidir:

1. Başlat menüsünden Çalıştır tıklanır.

2. Gpedit.msc yazılır ve Tamam tıklanır.

3. Bilgisayar Yapılandırması -> Yönetim Şablonları -> Sistem tıklanır.

4. Pencerenin sağ kısmında yer alan Otomatik kullan’ı kapat ayarı etkin hale getirilir ve All drives seçilir. OK tıklanarak ayar kaydedilir. (Windows 2000 işletim sisteminde Otomatik kullan’ı kapat ayarı yerine Otomatik kullan’ı devre dışı bırak ayarı yer almaktadır.)

Grup ilkesi ayarı Windows Vista işletim sisteminde ise şu şekilde yapılır:

1. Başlat düğmesine tıklanır. Aramaya Başla kutusuna Gpedit.msc yazılır ve ENTER tuşuna basılır.

2. Açılan pencerede Bilgisayar Yapılandırması -> Yönetim Şablonları -> Windows Bileşenleri -> Otomatik Kullan İlkeleri ayarına tıklanır.

3. Ayrıntılar bölümünde yer alan Otomatik Kullan’ı Kapat ayarına çift tıklanır.

4. Etkin seçeneği işaretlenir ve Tüm sürücüler seçeneği seçilir.

5. Bilgisayar yeniden başladığında yapılan ayar etkili olacaktır.

Bu adımlar aşağıda belirtilen kütük anahtarının değerini 0xFF olarak ayarlamaktadır: HK_LOCAL_MACHINE\SOFTWARE\MICROSOFT\Windows\CurrentVersion\Policies\Explorer\NoDriveTypeAutoRun. Windows XP Home Edition, Windows Vista Home Premium ve Windows Vista Home işletim sistemi sürümlerinde ilgili grup ilkesi ayarları bulunmamaktadır. Bu işletim sistemlerinde kütük anahtarları kullanılarak aynı işlem gerçekleştirilebilir:

1. Başlat menüsünde Çalıştır kısmına regedit yazılır ve ENTER tuşuna basılır.

2. HKEY_LOCAL_MACHINE -> SYSTEM -> CurrentControlSet -> Services -> CDROM ayarlarına tıklanır.

3. Autorun’a çift tıklanır.

4. 1 değeri 0 olarak değiştirilir. Ayar kaydedilir.

5. HKEY_CURRENT_USER -> Software -> Microsoft -> Windows -> CurrentVersion -> Policies -> Explorer ayarlarına tıklanır.

6. NoDriveTypeAutoRun çift tıklanır. Açılan pencerede yer alan değer 0xFF olarak değiştirilir. Ayarlar kaydedilir ve bilgisayar yeniden başlatılır.

Yukarıda bahsedilen bu iki yöntemin, aşağıda belirtilen Windows işletim sistemlerinde etkin olarak çalışmadığı tespit edilmiştir.

• Microsoft Windows 2000

• Windows XP Service Pack 2

• Windows Server 2003 Service Pack 1

• Windows Server 2003 Service Pack 2

• Windows Vista

Bu yöntemlerin düzgün bir şekilde çalışması için aşağıda belirtilen güncelleştirmelerin yüklenmesi gerekir:

• Windows XP Güncelleştirmesi (KB950582)

http://www.microsoft.com/downloads/details.aspx?displaylang=tr&FamilyID=cc4fb38c-579b-40f7-89c4-1721d7b8daa5

• Itanium tabanlı sistemler için Windows Server 2003 Güncelleştirmesi (KB950582)

http://www.microsoft.com/downloads/details.aspx?FamilyId=5795F63E-1FD9-4A13-9650-1015E14B6D11

• Windows Server 2003 x64 Edition Güncelleştirmesi (KB950582)

http://www.microsoft.com/downloads/details.aspx?FamilyId=E8507286-CDF8-4BCB-AFC5-9734FE772C53

• Windows Server 2003 Güncelleştirmesi (KB950582)

http://www.microsoft.com/downloads/details.aspx?displaylang=tr&FamilyID=705305e5-7060-4236-b5d2-40ca63a967fb

• Windows XP x64 Edition Güncelleştirmesi (KB950582)

http://www.microsoft.com/downloads/details.aspx?FamilyId=21A0124C-6F50-4281-923E-E2B28068147A

• Windows 2000 Güncelleştirmesi (KB950582)

http://www.microsoft.com/downloads/details.aspx?displaylang=tr&FamilyID=c192edcf-ca3d-44e3-8ecc-49c5f4da5405

• Windows Vista Güncelleştirmesi (KB950582)

http://www.microsoft.com/turkiye/technet/security/Bulletin/2008/MS08-038.mspx

Yukarıda belirtilen KB950582 güncelleştirmesi Windows XP SP3 ve Windows Vista SP1 sürümlerinde yüklü olarak gelmektedir. Bu sürümlerde KB950582 güncelleştirmesinin yüklenmesine gerek yoktur.

MountPoint2 Yöntemi

Taşınabilir disk bilgisayara ilk takıldığında, bilgisayar taşınabilir diskte autorun.inf dosyası olup olmadığını kontrol eder. Tespit ettiği değerleri MountPoint2 kütük anahtarına kaydeder. Bu anahtar bilgisayara takılmış bütün cihazlara ait bilgileri tutmaktadır.

MountPoint2 anahtarının erişim izinleri değştirilerek autorun.inf dosyasının çalışması engellenebilir. Bu durum bilgisayar taşınabilir diski daha önceden tanımış olsa da geçerlidir. MountPoint2 kütük anahtarına ait izinleri değiştirmek için şu adımlar uygulanır:

1. Başlat menüsünden Çalıştır tıklanır.

2. Regedit yazılarak kütük açılır.

3. Aşağıda belirtilen kütük anahtarı açılır.

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2

4. Mountpoints2 üzerine sağ tıklanır ve İzin (Permission) tıklanır.

5. Gelişmiş tıklanır. Açılan pencerede “inherit from parent the permission entries that apply to child objects. Include these with entries explicitly defined here” yazan kısımda yer alan tik kaldırılır.

6. Uyarı penceresinde sırasıyla Kaldır, Evet ve Tamam tıklanır.

Bu yöntem autorun özelliğini engellemekle birlikte, işletim sistemi üzerinde başka etkileri olup olmadığı bilinmediğinden tavsiye edilmemektedir. Ancak bu ayar oldukça etkilidir. Bilgisayarı yeniden başlatmaya gerek yoktur. Ayar geri alındığında ise Autorun özelliği çalışmaya devam etmektedir. Yukarıda gösterilen ayarı geri almak için “inherit from parent the permission entries that apply to child objects. Include these with entries explicitly defined here” yazan kısma yeniden tik konulmalı ve ayar kaydedilmelidir.

Shift Tuşu Yöntemi

Autorun.inf dosyasının çalışmasını engellemek için en basit yol, bilgisayara taşınabilir disk takıldığında kullanıcının shift tuşuna basmasıdır. Bu yöntemin dejavantajı, taşınabilir disk her takıldığında kullanıcının shift tuşuna basmayı unutma ihtimalidir.

Eğer bilgisayar, taşınabilir diski önceden tanımışsa bu yöntem geçersiz olmaktadır. Yani daha önce bilgisayara takılan taşınabilir disk shift tuşuna basılı tutularak tekrar bilgisayara takıldığında, autorun özelliği çalışmaktadır. 

Autorun Özelliğinin Çalışıp Çalışmadığını Test Etme

Şimdi bilgisayarımızda autorun özelliğinin çalışıp çalışmadığını test edelim. Autorun özelliğinin çalışıp çalışmadığını test etmek için herhangi bir USB diskin kök klasörüne autorun.inf dosyası ve autoruntest.cmd adlı bir komut dosyası oluşturuyoruz.

yazılır ve dosyalar kaydedilir. Daha sonra USB disk bilgisayardan çıkarılır ve yeniden takılır. USB disk bilgisayara takıldığında veya USB disk üzerine çift tıklandığında "Batch dosyasi calisti. Bilgisayarda autorun ozelligi acik" yazısı görülürse autorun özelliği çalışıyor demektir. Aksi durumda autorun özelliği çalışmamaktadır. 

Windows XP SP3 İşletim Sisteminde Test Sonuçları

Windows XP SP3 işletim sisteminde bu yazıda belirtilen yöntemler test edilmiş ve aşağıdaki sonuçlara ulaşılmıştır.

Tablo 1. Test Sonuçları

Bu sonuçlara göre, Shift Key yönteminde USB diskin ilk defa takılması durumu hariç diğer bütün yöntemler Windows XP SP3 işletim sisteminde autorun özelliğinin kapatılmasında etkili bir sonuç vermektedir.

Referanslar

[1] http://www.bilgiguvenligi.gov.tr/teknik-yazilar-kategorisi/usb-disklerde-autorun-ile-gelen-tehlike.html

[2] http://support.microsoft.com/kb/953252  

[3] http://autorun.moonvalley.com/enable.htm

[4] http://antivirus.about.com/od/securitytips/ht/autorun.htm

[5] http://www.publicsafety.gc.ca/prg/em/ccirc/2008/tr08-004-eng.aspx

[6] http://antivirus.about.com/od/securitytips/ht/vista_autorun.htm

[7] http://support.microsoft.com/kb/155217

[8] http://isc.sans.org/diary.html?storyid=5695&rss

	1. 20-02-2009 08:59
	Okyay bey; çok güzel ve açıklayıcı bir doküman, hemen kendim grup ilkesini uyguladım ve diğer arkadaşlarımada tavsiyede bulundum. önemli bir konu özellikle çok sayıda makina parkı olan ağlarda kullanılmalı, tekrar teşekkürler. Bildir

Kemal Nalçacı

	2. 06-02-2009 13:30
	Başlat --> Çalıştır'a tıklayın. regedit yazıp enter'a basın. Açılan pencerede aşağıdaki ayara gelin:  HKEY_LOCAL_MACHINE -> SOFTWARE -> Microsoft -> Windows NT -> CurrentVersion -> IniFileMapping  Bu ayar içerisinde listenin en başında bulunan Autorun.inf dosyasına sağ tıklayarak silin. Kolay gelsin. Bildir

Oktay Şahin

	3. 05-02-2009 18:02
	1. yani SYS:DoesNotExist Yöntemi ile yapılan değişiklik nasıl geri alınır? Yöntemi denedim şimdi de geri almak istiyorum. Teşekkürler(xp) Bildir

kerem yavuz

	4. 27-01-2009 08:42
	Tabi yayınlayabilirsiniz. Bu sitede yer alan bütün yazıları kaynak göstermek kaydıyla yayınlayabilirsiniz. Önemli olan yazıların mümkün olduğunca çok kişiye ulaşması.  Evet belirttiğiniz gibi grup ilkesi yöntemi de ilk yöntem de domain yapısına sahip büyük ağlarda kolaylıkla uygulanabiliyor. Hazır Conficker virüsü de hızla yayılmaya devam ederken autorun özelliğinin engellenmesi kaçınılmaz hale geldi diye düşünüyorum. Aşağıdaki linklerde bu virüsle ilgili ayrıntılı bilgiler mevcut:  http://www.ca.com/securityadvisor/virusinfo/virus.aspx?id=75911  http://vil.nai.com/vil/content/v_153464.htm  http://www.ntvmsnbc.com/news/472726.asp Bildir

Oktay Şahin

	5. 26-01-2009 23:24
	Grup ilkesi büyük ağlar için mükemmel bir yöntem. zaten hali hazırda bu yöntem medya yardımıyla ortama yüklenmeye çalışan tüm otomatik çalıştırma komutlarınıda engelliyor. Yani bir işletim sistemi CD'si yada herhangi bir yükleme CD'side aynı şekilde çalıştırılamıyor.Sadece USB disklerde değil tüm otomatik çalıştırmalarıda engelleyebiliyorus.Umarım bu makaleyi herkes okur OKTAY bey izninizle kendi sistemde de yayınlamak istiyorum. Tabiki kaynakları ve yazarı göstereceğim. Bildir

onur karamanlı

	6. 26-01-2009 13:17
	Bu arada tekrar belirteyim. İlk yöntem (SYS:DoesNotExist) autorun.inf dosyalarının çalışmasını anında engelliyor. Grup ilkesiyle uğraşmadan ilk yöntemin uygulanmasını tavsiye ediyoruz. Bildir

Oktay Şahin

	7. 26-01-2009 13:11
	Evet gerçekten en ufak sorunlarda bile kullanıcılar internette buldukları çalıştırılabilir dosyaları veya scriptleri kullanıyorlar bilinçsizce. Aslında bu scriptlerin çoğunluğu zararlı kodlar içeriyor.Her sorunun kod gerektirmeyen makul çözümleri var bu yazıda belirtildiği gibi. Kullanıcıların mümkün olduğunca exe dosyalardan veya scriptlerden uzak durması gerekiyor.  Yorumunuz için teşekkürler. Bildir

Oktay Şahin

	8. 23-01-2009 16:03
	Oktay bey; güzel ve açıklayıcı bir çalışma olmuş. Çok teşekkürler. Türkiye'de bu .inf dosyalarını çeşitli yöntemlerle kapatan hatta sizin anlattıklarınız aynen yerine getiren JS komutlarıyla oluşturulmuş küçük kod parçalarıyla bile yapanlar vardı. Fakat hiç kimse çıkıpta olayı bu şekilde anlatmadı. Tekrar teşekkürler. Bildir

onur karamanlı

Sadece kayıtlı kullanıcılar yorum yazabilir.
Lütfen sisteme giriş yapın veya kayıt olun.