Deshabilitar el AutoRun en Windows

Según una advertencia del US-CERT: Windows no deshabilita(ba) apropiadamente el AutoRun, por lo que es necesario seguir el siguiente artículo para hacerlo.

El Equipo de de Preparación para Emergencias de Computación de EEUU (US-CERT) a emitido un alerta técnica de ciber-seguridad para advertir que la guía de Microsoft para deshabilitar el "Autorun" en el sistema operativo Windows "no son completamente efectivas" y sostiene que esto "podría ser considerado una vulnerabilidad."

La advertencia del US-CERT viene apenas después de un ataque actual de malware/gusano que se aprovecha de las características de Windows AutoRun y AutoPlay para mejorar su propagación.

[ Vear: No hay final para la locura del AutoRun? (inglés) ]

Aquí está la debilidad del traspié de Microsoft:

*Los valores del registro Autorun y NoDriveTypeAutoRun son ambos ineficaces para deshabilitar por completo las capacidades de AutoRun en los sistemas Microsoft Windows. Fijar el registro de Autorun con el valor en 0, no impide que al conectarse nuevos dispositivos ejecuten automáticamente el código especificado en el archivo Autorun.inf. Sin embargo deshabilita los mensajes Notificación de Cambio de Medio (MCN) lo que impide que Windows detecte cuando se cambio un CD o un DVD. Según Microsoft, fijar el valor del registro NoDriveTypeAutorun con el valor 0xff "deshabilita el Autoplay en todos los tipos de dispositivos." Aun con este valor fijado, Windows podría ejecutar un código arbitrario cuando el usuario hace clic en el icono del dispositivo en el Explorador de Windows.

Esto significa que los autores de malware pueden poner un archivo Autorun.inf en un dispositivo para ejecutar código arbitrario automáticamente cuando el dispositivo se conecta a un sistema Windows. La ejecución de código también podría suceder cuando el usuario intenta navegar a la ubicación del software con el explorador de Windows, advirtió el US-CERT.

El alerta incluye instrucciones para editar el registro para deshabilitar apropiadamente el Autorun en Microsoft Windows: edite el registro de Windows agregando la siguiente clave:

REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]
@="@SYS:DoesNotExist"

ACTUALIZACIÓN: Microsoft me envió un correo señalando que su documento KB953252, publicado en Mayo de 2008, describe como corregir el problema de forzar el valor del registro NoDriveTypeAutoRun. Esto motivó una actualización de el aviso del US-CERT:

Después que la actualización es instalada, Windows obedecerá el valor del registro NoDriveTypeAutoRun. Notese que este arreglo ha sido liberado mediante Microsoft Update para los sistemas Windows Vista y Server 2008 como parte del boletín de seguridad MS08-038. Los usuarios de Windows 2000, XP y Server 2003 deben instalar manualmente la actualización. Nuestras pruebas muestran que instalando esta actualización y fijando el valor del registro NoDriveTypeAutoRun en 0xFF, queda deshabilitado el Autorun.

Traducido para blog de Segu-info por Raúl Batista
Autor: Ryan Naraine
Fuente: blogs.zdnet.com y www.us-cert.gov

Suscríbete a nuestro Boletín