Qualcuno mi ha detto che è possibile che un virus si esegua da memorie Flash anche se autorun.infnon è presente o questa funzione è disabilitata usando gpedit.msc. Ha detto che un virus può funzionare da solo non appena inserisco una memoria flash. È corretto?

Risposta breve

No, un file su un'unità non può semplicemente eseguirsi da solo. Come tutti i virus, ha bisogno di una sorta di inizializzazione. Un file non si avvia magicamente per nessun motivo; qualcosa deve causarne il caricamento in qualche modo. (Purtroppo il numero di modi è sconcertante e continua a crescere.)

Panoramica

La modalità di esecuzione di un virus dipende in gran parte dal tipo di file in cui si trova il virus. Ad esempio, i .exefile in genere richiedono qualcosa per caricare effettivamente il loro codice (semplicemente leggere il loro contenuto non è sufficiente). I file di immagini o audio non dovrebbero essere affatto codice, quindi non dovrebbero essere "in esecuzione" in primo luogo.

Tecnico

Quello che succede spesso in questi giorni è che ci sono due metodi principali che il malware esegue:

1. Trojan
2. gesta

Trojan: con i trojan, il codice malware viene inserito in file normali. Ad esempio, in un gioco o in un programma verrà iniettato del codice errato in modo tale che quando si esegue (volutamente) il programma, il codice errato si insinua (da qui il nome trojan ). Ciò richiede l'inserimento del codice in un eseguibile. Ancora una volta, ciò richiede che il programma host sia eseguito in qualche modo in modo specifico.

Exploit: con gli exploit, ciò che accade è che un file contiene strutture errate / non valide che sfruttano una programmazione scadente. Ad esempio, un programma di visualizzazione grafica che non controlla il file di immagine può essere sfruttato creando un file di immagine con codice di sistema in modo tale che quando viene letto, sovraccarica il buffer creato per l'immagine e induce il sistema a passare controllo del codice virus che è stato inserito oltre il buffer (gli overflow del buffer sono ancora abbastanza diffusi). Questo metodo non richiede l' esecuzione specifica di un file con codice malware ; sfrutta la cattiva programmazione e il controllo degli errori per indurre il sistema a "eseguirlo" semplicemente aprendo / leggendo il file.

Applicazione

Quindi, come si applica a un'unità flash (o qualsiasi altro tipo di) unità? Se l'unità contiene trojan (file eseguibili), a meno che il sistema non abbia AutoPlay abilitato o abbia una sorta di voce di avvio / avvio che punta al file, allora no, non dovrebbe funzionare da solo. D'altra parte, se ci sono file che sfruttano le vulnerabilità nel sistema operativo o in altri programmi, la semplice lettura / visualizzazione del file potrebbe consentire l'avvio del malware.

Prevenzione

Un buon modo per verificare la presenza di vettori con cui i trojan possono essere eseguiti è verificare la presenza di diversi tipi di posizioni di avvio automatico / avvio. Autoruns è un modo semplice per controllarne molti (è ancora più semplice se si nascondono le voci di Windows per ridurre il disordine). Un buon modo per ridurre il numero di vulnerabilità che gli exploit possono utilizzare è mantenere il sistema operativo e il programma aggiornati con le ultime versioni e patch.

Ciò dipende da come viene scritto il virus e da quali vulnerabilità esistono nel sistema in cui si collega l'unità, ma la risposta è potenzialmente sì.

Ad esempio, non molto tempo fa c'era la vulnerabilità ereditata dal modo in cui Windows gestiva i .lnkfile, il che significava che avere un file creato in modo pericoloso sull'unità poteva eseguire il virus incorporato al suo interno. Questa vulnerabilità è stata anche risolta un po 'di tempo fa, quindi nessun sistema aggiornato dovrebbe essere a rischio, ma mostra che ci sono potenziali vettori di attacco che sono "silenziosi" e possono accadere, come suggerisce il tuo amico, senza il tuo consenso o consapevolezza.

Mantieni il tuo antivirale attivo e aggiornato e collega i dispositivi solo da persone di cui ti fidi.

Puoi vedere informazioni su questo particolare metodo di attacco in questa pagina di Microsoft .

No.

Il virus non può essere eseguito per sé in qualsiasi caso. Qualcosa altro ha bisogno per eseguirlo.

Quindi ora la domanda è: può essere eseguito quando è collegato? La risposta è "no" nel caso ideale, ma " probabilmente " nel caso di un difetto in Explorer (o in qualche altro componente di Windows). Tuttavia, un tale comportamento sarebbe un bug in Windows, non in base alla progettazione.

Sì, un virus può propagarsi semplicemente inserendo un dispositivo USB (inclusa un'unità flash).

Questo perché sul dispositivo USB è presente un codice (chiamato firmware) che deve essere eseguito affinché il dispositivo venga rilevato. Questo firmware può fare cose come imitare una tastiera (e quindi eseguire un programma), imitare una scheda di rete, ecc.

Cerca "BadUSB" per ulteriori informazioni.

Beh ... speriamo non al momento. Ogni volta che vengono lette informazioni in un file di qualsiasi tipo, c'è anche la remota possibilità che il programma leggendolo abbia qualche difetto che il virus tenta di sfruttare e di eseguire direttamente o indirettamente. Un esempio precedente era un virus jpg che sfruttava una sorta di sovraccarico del buffer nel visualizzatore di immagini. È un compito costante per le persone che producono software antivirus trovare nuovi virus e fornire aggiornamenti. Quindi se hai tutti gli aggiornamenti antivirus e le patch di sistema attuali, probabilmente non è un problema oggi, ma un teortico forse domani.

Su un sistema pulito, direi che un virus non può funzionare da solo. Ma penso che potrebbe essere scritto un programma che potrebbe essere sempre in esecuzione, aspettando solo che venga inserita un'unità, quindi cerca un determinato file ed eseguilo, se disponibile. Questo è abbastanza improbabile, poiché il programma dovrebbe essere installato per funzionare continuamente, ma sembra essere nel regno del possibile ma non molto probabile.