auto.exe

定义

auto.exe 指 Windows 平台上一个可执行文件的名称，在反病毒语境中特指使用该文件名的木马程序家族。国内文献常将其统称为 AUTO 病毒，或称为落雪病毒、落雪木马^[4][1]。按功能划分，它属于木马下载器，即自身并不直接实现窃取功能，而是负责从网络获取并安装其他恶意程序^[2]。

该程序通常与其生成的 autorun.inf 配置文件成对出现，分布在除系统盘以外的各个磁盘分区根目录，并带有隐藏属性，因此在不开启显示隐藏文件的系统中不易被察觉^[5]。有分析将其归属为早期另一种自动运行类程序 rose 的变种^[4]。

原理

其运行依赖 Windows 对 autorun.inf 的解析机制。autorun.inf 最初用于 Windows 95 时期的软件自动安装，后被扩展为光盘、磁盘插入时自动播放的配置入口；程序把 open、shellexecute 等字段指向 auto.exe，系统在用户双击盘符时就按配置调用该文件，从而实现随介质接入而反复触发^[6][7]。

进入系统后，程序会在系统目录下释放文件名由 8 位随机字母与数字组成的 exe 与 dll 文件，将二者注册为随机命名的系统服务，并借由 winlogon 把 dll 注入其他进程，以此获得随开机启动和长期驻留的能力^[2]。部分变种还写入注册表 Run 键或修改文件关联，使用户打开 html 等文件时再次激活病毒^[1]。

完成驻留后，程序联网下载其他木马并更新自身。由于每次变种下载的内容不同，其行为没有固定特征，单一特征码难以覆盖^[2]。有样本通过隐藏目录下的文本文件记录下载地址，以此获取新版本^[3]。

发展历程

该程序在 2006 年前后进入活跃期，曾有统计记录其变种数量与感染规模，并有安全厂商在当年发布过对应的清除工具^[1]。此后变种持续出现，形成了以 auto.exe 加 autorun.inf 为固定组合的多代版本^[1]。

2007 年至 2008 年间，多家安全媒体记录了该家族的再度变种与扩散情况，指出其在近半年内多次大范围感染，释放的文件名与注册的服务名各不相同^[8]。公开发布的分析资料多以样本为例，列出其释放的系统目录文件与注册表启动项，用于说明查杀思路^[2]。

应用

该程序本身不具备正当用途，其在文献中的「应用」主要表现为两类研究场景。一类是恶意代码分析：分析者通过进程表、服务项与注册表日志还原其驻留路径，例如依据 explorer 进程中插入的随机 dll 识别感染^[8]。另一类是移动存储安全研究：它以 U 盘、MP3、移动硬盘等可移动介质为主要扩散渠道，成为讨论自动运行类传播机制时的典型样本^[2][6]。

与它同名的还有无恶意的普通工具程序，例如某些命令行自动化软件也把可执行文件命名为 auto.exe，其功能是按配置文件在不同终端窗口中批量执行命令^[9]。这说明文件名本身并不构成判定依据，实际性质需结合文件位置、数字签名与行为判断。

局限

从攻击实现看，这一家族高度依赖 Windows 的自动运行配置和用户双击操作，在关闭自动播放或禁用 autorun.inf 解析的环境中，其触发链条会被切断^[6]。它没有稳定的专有查杀特征，每次变种释放的随机文件名与服务名都会变化，因此基于固定文件名的识别方式容易失效^[2]。

从防护实现看，这类程序对抗安全软件的方式主要是终止进程与篡改系统时间，而这依赖于目标安全软件对系统时间的信任，具备时间校验或自我保护机制的产品可以削弱此类干扰^[8][3]。此外，公开资料中的多数描述来自当时的样本观察，不同变种之间行为差异较大，不能据此推断该家族存在统一的技术规格^[2]。

参见

• autorun.inf —— 与该文件名成对出现、负责触发自动运行的配置文件。

• 木马下载器 —— 该程序在恶意代码分类中所属的功能类型。

• U盘病毒 —— 以可移动存储介质为主要传播渠道的一类程序。

• 蠕虫病毒 —— 部分安全厂商对自动运行类样本采用的归类名称。

• Windows 注册表 —— 该程序实现开机自启动时修改的系统配置数据库。

• 进程注入 —— 该程序借 winlogon 将动态链接库插入其他进程所用手段。