Alguien me dijo que es posible que un virus se ejecute solo desde las memorias Flash, incluso si autorun.infno está presente o si esta función está desactivada gpedit.msc. Dijo que un virus puede ejecutarse solo en cuanto conecto una memoria flash. ¿Es correcto?

Respuesta corta

No, un archivo en una unidad no puede ejecutarse solo. Como todos los virus, necesita algún tipo de inicialización. Un archivo no se inicia mágicamente sin ningún motivo; algo tiene que hacer que se cargue de alguna manera. (Desafortunadamente, la cantidad de formas es desconcertantemente grande y continúa creciendo).

Visión general

El funcionamiento de un virus depende en gran medida del tipo de archivo en el que se encuentra el virus. Por ejemplo, los .exearchivos generalmente requieren algo para cargar realmente su código (simplemente leer su contenido no es suficiente). Se supone que los archivos de imagen o audio no son código en absoluto, por lo que no deberían "ejecutarse" en primer lugar.

Técnico

Lo que sucede a menudo en estos días es que hay dos métodos principales que ejecuta el malware:

1. Troyanos
2. Exploits

Troyanos: con los troyanos, el código de malware se inserta en archivos normales. Por ejemplo, un juego o programa tendrá un código incorrecto inyectado de modo que cuando usted (a propósito) ejecute el programa, el código incorrecto se cuela (de ahí el nombre de troyano ). Esto requiere colocar el código en un ejecutable. Nuevamente, esto requiere que el programa host se ejecute específicamente de alguna manera.

Exploits: con exploits, lo que sucede es que un archivo contiene estructuras incorrectas / inválidas que explotan una programación deficiente. Por ejemplo, un programa de visor de gráficos que no verifica el archivo de imagen puede explotarse creando un archivo de imagen con el código del sistema de tal manera que cuando se lee, sobrecarga el búfer creado para la imagen y engaña al sistema para que pase control del código del virus que se insertó más allá del búfer (los desbordamientos del búfer siguen siendo bastante populares). Este método no requiere que se ejecute específicamente un archivo con código de malware ; explota la mala programación y la verificación de errores para engañar al sistema para que "lo ejecute" simplemente abriendo / leyendo el archivo.

Solicitud

Entonces, ¿cómo se aplica esto a una unidad flash (o cualquier otro tipo de)? Si la unidad contiene troyanos (archivos ejecutables), a menos que el sistema tenga AutoPlay habilitado o tenga algún tipo de entrada de ejecución automática / inicio que apunte al archivo, entonces no, no debería ejecutarse por sí solo. Por otro lado, si hay archivos que explotan vulnerabilidades en el sistema operativo u otro programa, simplemente leer / ver el archivo podría permitir que se inicie el malware.

Prevención

Una buena manera de verificar los vectores por los cuales los troyanos pueden ejecutarse es buscar diferentes tipos de ubicaciones de ejecución automática / inicio. Autoruns es una manera fácil de verificar muchos de ellos (es aún más fácil si oculta las entradas de Windows para reducir el desorden). Una buena manera de reducir la cantidad de vulnerabilidades que pueden utilizar los exploits es mantener actualizado su sistema operativo y su programa con las últimas versiones y parches.

Esto depende de cómo esté escrito el virus y de qué vulnerabilidades existan en el sistema en el que conecta el disco, pero la respuesta es potencialmente sí.

Por ejemplo, no hace mucho tiempo, había una forma heredada de vulnerabilidad en la que Windows manejaba los .lnkarchivos, lo que significaba que solo tener un archivo creado con fines malintencionados en su disco podía ejecutar el virus incrustado en él. Esta vulnerabilidad también se solucionó hace bastante tiempo, por lo que ningún sistema actualizado debería estar en riesgo, pero muestra que hay posibles vectores de ataque que son "silenciosos" y pueden suceder, como sugiere su amigo, sin su consentimiento o conocimiento.

Mantenga su antiviral en funcionamiento y actualizado y solo conecte dispositivos de personas de su confianza.

Puede ver información sobre este método de ataque en particular en esta página de Microsoft .

No.

El virus no puede ejecutarse solo en ningún caso. Algo más necesita ejecutarlo.

Entonces, la pregunta es: ¿se puede ejecutar cuando está enchufado? La respuesta es "no" en el caso ideal, pero " posiblemente " en el caso de un defecto en Explorer (o algún otro componente de Windows). Sin embargo, tal comportamiento sería un error en Windows, no por diseño.

Sí, un virus puede propagarse simplemente insertando un dispositivo USB (incluida una unidad flash).

Esto se debe a que hay un código (llamado firmware) en el dispositivo USB que debe ejecutarse para que el dispositivo sea detectado. Este firmware puede hacer cosas como imitar un teclado (y así ejecutar un programa), imitar una tarjeta de red, etc.

Busque "BadUSB" para obtener más información.

Bueno ... espero que no actualmente. Cada vez que se lee información en un archivo de cualquier tipo, también existe la posibilidad remota de que el programa que lo lee tenga algún defecto que el virus intente aprovechar y que se ejecute directa o indirectamente. Un ejemplo anterior fue un virus jpg que aprovechó algún tipo de desbordamiento de búfer en el visor de imágenes. Es una tarea constante para las personas que fabrican software antivirus encontrar nuevos virus y proporcionar actualizaciones. Entonces, si tiene todas las actualizaciones de antivirus y parches de sistema actuales, probablemente no sea un problema hoy, pero quizás sea una teoría mañana.

En un sistema limpio, diría que un virus no puede ejecutarse solo. Pero creo que se podría escribir un programa que podría estar ejecutándose todo el tiempo, solo esperando que se inserte una unidad, luego busque un determinado archivo y ejecútelo, si está disponible. Esto es bastante improbable, ya que el programa necesitaría estar instalado para ejecutarse todo el tiempo, pero parece estar dentro del ámbito de lo posible pero no muy probable.