AutoRun

Cuando un dispositivo con controladores compatibles con AutoRun recibe un nuevo medio, se produce un evento de "Notificación de cambio de medio". El sistema operativo Windows notifica entonces a las aplicaciones interesadas que se ha producido un cambio en el dispositivo. El método de notificación utilizado puede variar según el tipo de dispositivo.

Si el dispositivo modificado es un volumen (como un CD) o un puerto (como un puerto serie), Windows envía una WM_DEVICECHANGEnotificación a todas las ventanas de nivel superior. ^{[ 2 ] [ 3 ]} Windows denomina a esto una notificación "básica". Una ventana de nivel superior es aquella que desciende del escritorio.

Sin embargo, si el dispositivo cambiado no es de uno de estos tipos, una aplicación puede usar la función RegisterDeviceNotification^{[ 4 ]} para registrarse y recibir notificaciones del dispositivo.

Un artículo del sitio web de CodeProject, "Detección de inserción y/o extracción de hardware" , con aclaraciones de un blog de Doran Holan, resulta de particular interés técnico en este caso.

Los dispositivos que no son unidades de disco son aquellos que no aparecen como letras de unidad en "Mi PC". AutoRun no los gestiona; cualquier acción que se realice sobre estos dispositivos la lleva a cabo el software específico del dispositivo o AutoPlay. Consulte AutoPlay#Dispositivos que no son unidades de disco .

Cuando Explorer recibe una notificación de un cambio de volumen , realiza una serie de acciones: ^{[ 5 ] [ 6 ]}

1. Comprueba si la función de ejecución automática está desactivada en el Registro. Si la ejecución automática está desactivada para esa unidad o tipo de unidad, el Explorador no continúa. Se han detectado errores en esta área.
2. Comprueba que el directorio raíz del medio insertado contenga un archivo autorun.inf, que podría leerse. Véase más abajo .
3. Envía un QueryCancelAutoPlaymensaje a la ventana en primer plano. Una aplicación que haya registrado su interés en recibir este mensaje RegisterWindowMessagepuede responder para detener la ejecución automática (y, por lo tanto, la reproducción automática) en este punto. Cualquier aplicación, en primer plano o no, también puede recibir notificaciones mediante la interfaz IQueryCancelAutoPlayCOM ^{[ 7 ]} disponible en Windows XP y versiones posteriores.
4. Modifica el comportamiento de los clics dobles y los menús contextuales. Cuando un usuario hace doble clic en el icono de la unidad en el Explorador de archivos o hace clic con el botón derecho para abrir un menú contextual, lo que sucede es totalmente programable mediante la configuración del archivo autorun.inf.
5. Agrega un icono controlable mediante autorun.inf y un texto descriptivo al icono de la unidad.
6. Comprueba si se mantiene pulsada la tecla. Si es así, Windows Vista (y versiones posteriores de Windows) abrirá el cuadro de diálogo de reproducción automática, independientemente de la configuración. ^{[ 8 ]} Las versiones anteriores de Windows no continuarán con el proceso. ^{[ 6 ]}⇧ Shift
7. Finalmente, si se ha llegado a este punto, se puede:
   • No toma ninguna otra medida.
   • ejecuta la "tarea AutoRun", la aplicación especificada opcionalmente en las claves openo en la sección [ autorun ] de un archivo autorun.inf .shellexecute
   • Invoca la reproducción automática.

   La opción que se elija dependerá de la versión de Windows que se esté utilizando, de las instrucciones del archivo autorun.inf (si está disponible) y del tipo de medio detectado.

Los tipos de unidades se distinguen por el nombre del tipo de la siguiente manera: ^{[ 10 ]}

El Registro de Windows es una base de datos jerárquica que almacena la configuración y las opciones del sistema operativo. La terminología puede resultar algo confusa, por lo que se resume brevemente aquí.

Una clave del Registro es similar a una carpeta que, además de valores, cada clave puede contener subclaves que a su vez pueden contener subclaves, y así sucesivamente.

Un valor del Registro consta de un par nombre-dato. La documentación de Microsoft suele usar el término «entrada» como equivalente. También usa «valor» en lugar de «dato» cuando resulta obvio a qué se refiere. Para evitar confusiones, en este artículo siempre se utiliza el término «entrada» al referirse al par nombre-dato.

Dos claves del Registro a las que se hace referencia con mucha frecuencia son HKEY_LOCAL_MACHINEla que contiene la configuración por máquina y HKEY_CURRENT_USERla que contiene la configuración para el usuario que ha iniciado sesión actualmente. Estas casi siempre se abrevian como HKLMy HKCUrespectivamente. Puede haber muchos usuarios de una máquina; su configuración se almacena en HKEY_USERS, HKCUque en realidad es solo un enlace al lugar apropiado en HKEY_USERS.

La configuración del Registro se puede cambiar directamente mediante la regeditherramienta gráfica o la reg.exeutilidad de línea de comandos. También se puede guardar en un archivo de texto [ ^{11 ] con} la extensión .reg. Por ejemplo, " mychanges.reg". Al hacer doble clic en el archivo, la configuración se guarda en el Registro, siempre que los permisos lo permitan.

Se pueden modificar indirectamente mediante la Directiva de grupo, aplicada localmente a un único equipo GPEdit.msco a un dominio gpmc.msc.

Puede que sea necesario cerrar la sesión o reiniciar el ordenador para que los cambios realizados en el Registro surtan efecto.

Las entradas NoDriveAutoRundel NoDriveTypeAutoRunRegistro pueden existir en dos ubicaciones: la configuración por usuario (en HKEY_CURRENT_USER) y la configuración por máquina (en HKEY_LOCAL_MACHINE). Si una entrada aparece en HKEY_LOCAL_MACHINE, cualquier entrada correspondiente en HKEY_CURRENT_USER se ignora por completo. Los valores de datos no se combinan de ninguna manera.

Al decidir si se activa la función AutoRun, se consultan ambas entradas del Registro. Si alguno de los valores indica que se debe deshabilitar una unidad, entonces se deshabilita AutoRun para esa unidad NoDriveAutoRun.NoDriveTypeAutoRun

Así, en el siguiente ejemplo:

El valor de datos tomado para NoDriveAutoRunes 0x08, lo que desactiva la unidad D, y el valor de datos tomado para NoDriveTypeAutoRunes 0x95, lo que desactiva las unidades extraíbles y de red. La entrada por usuario NoDriveAutoRunnunca se utiliza.

Esta entrada del Registro desactiva o activa la función de AutoRun en todas las unidades del tipo especificado. ^{[ 12 ]} Refleja la configuración de la Directiva de grupo de Autoplay correspondiente. Los datos válidos van de 0x00 a 0xFF en notación hexadecimal . Si la entrada no está presente, el valor de datos predeterminado es 0x95 o 0x91, según la versión de Windows utilizada. Una entrada presente en HKLM anula cualquier entrada presente en HKCU.

Los datos de entrada son un valor de mapa de bits, donde un bit establecido en 1 desactiva la ejecución automática en un tipo de unidad específico. La configuración de bits para cada tipo de unidad se muestra a continuación:

Tenga en cuenta que el bit número 1 no se utiliza y que el tipo "Desconocido" se representa dos veces. Si se establecen todos los bits a 1, se obtendría un valor hexadecimal de 0xFF, decimal 255, y se deshabilitaría la función AutoRun en todos los tipos de unidades.

La configuración predeterminada para esta entrada depende de la versión de Windows que se esté utilizando: ^{[ 9 ] [ 13 ]}

Esta entrada del Registro habilita o deshabilita la función de ejecución automática en unidades individuales. ^{[ 14 ]} No está asociada a una directiva de grupo y no existe de forma predeterminada. El valor de los datos se considera 0 si la entrada no está presente. Una entrada presente en HKLM anula cualquier entrada presente en HKCU.

Los datos son un valor de mapa de bits de 32 bits (DWORD), de los cuales los 26 bits inferiores se utilizan para representar cada una de las 26 letras de unidad, de la A a la Z. Por lo tanto, el rango de datos válido es de 0x0 a 0x03FFFFFF. El bit menos significativo (el bit más a la derecha) representa la unidad A, y el bit número 26 desde la derecha representa la unidad Z.

Un bit configurado en 1 desactiva la función AutoRun en una unidad específica. Por ejemplo, si el valor de datos se establece en 0x8 (1000 binario), AutoRun se desactiva en la unidad D.

La ubicación de la política por máquina es:

Directiva de grupo > Configuración del equipo > Plantillas administrativas > Sistema

La ubicación de la política por usuario es:

Directiva de grupo > Configuración de usuario > Plantillas administrativas > Sistema

La directiva correspondiente es "Desactivar la reproducción automática". En Windows 2000, la directiva se llama "Deshabilitar la reproducción automática".

Una vez habilitada la política, se puede configurar en "Todas las unidades" o "Unidades de CD-ROM". Esta última configuración agrega las unidades de CD-ROM a la lista existente de tipos de unidades deshabilitadas, como se describió anteriormente.

La ubicación de la política por máquina es: ^{[ 15 ]}

Configuración del equipo > Plantillas administrativas > Componentes de Windows > Directivas de reproducción automática

La ubicación de la política por usuario es:

Configuración de usuario > Plantillas administrativas > Componentes de Windows > Directivas de reproducción automática

La política correspondiente es "Desactivar la reproducción automática" y se puede configurar para unidades de CD-ROM, DVD-ROM y unidades extraíbles, o para todas las unidades.

Se agregaron dos políticas relacionadas en Vista y Server 2008: ^{[ 16 ]}

Comportamiento predeterminado para AutoRun

Establece el comportamiento predeterminado para los comandos AutoRun que se encuentran en los archivos autorun.inf.

Antes de Windows Vista, cuando se insertaba un medio que contenía un archivo autorun.inf que especificaba una tarea de AutoRun, la acción predeterminada era ejecutar automáticamente el programa sin intervención del usuario. A partir de Windows Vista, el comportamiento predeterminado es invocar la reproducción automática y mostrar la tarea de AutoRun como una de las opciones del cuadro de diálogo. Este comportamiento también se mantiene cuando esta directiva no está configurada o está deshabilitada.

Si esta política está habilitada, el comportamiento puede cambiarse a:

• Desactive completamente los comandos autorun.inf o
• Ejecutar automáticamente el comando autorun.inf como en versiones anteriores de Windows.

No marques la casilla "Hacer siempre esto"

Si esta política está habilitada, la casilla de verificación "Hacer siempre esto..." en el cuadro de diálogo de reproducción automática no estará marcada de forma predeterminada cuando se muestre el cuadro de diálogo.

En estas versiones de Windows, la capacidad de un archivo autorun.inf para configurar una tarea de ejecución automática, modificar el comportamiento de doble clic o cambiar los menús contextuales está restringida a unidades de tipo DRIVE_CDROM. No hay configuraciones de directiva que anulen este comportamiento. Las ubicaciones y configuraciones de las directivas son las mismas que en Windows Vista y Windows Server 2008, con la adición de: ^{[ 16 ]}

Desactivar la reproducción automática para dispositivos sin control de volumen.

Si esta política está habilitada, la reproducción automática se desactivará para los dispositivos que no sean de control de volumen .

Si se mantiene pulsada la tecla en un punto determinado de la secuencia de ejecución, Windows Vista abre el cuadro de diálogo de AutoPlay independientemente de cualquier configuración de AutoPlay que indique lo contrario. ^{[ 8 ]} Las versiones anteriores de Windows no ejecutan la tarea AutoRun. Es fundamental utilizar la tecla Mayús izquierda para este propósito, ya que mantener pulsada la tecla Mayús derecha durante ocho segundos activa FilterKeys. ^{[ 6 ]}⇧ Shift

Dado que hay que mantener pulsada la tecla Mayús hasta que Windows la detecte, puede pasar bastante tiempo antes de que surta efecto. El tiempo necesario depende principalmente del tiempo que tarda en reconocer el nuevo hardware y del tiempo que tardan las unidades de CD-ROM en arrancar. No es seguro confiar en este método.

Ciertos eventos de notificación de cambio de medio pueden suprimirse modificando determinadas entradas del Registro. "Notificación de cambio de medio" es el término genérico; para las unidades de CD-ROM, el término específico es "Notificación de inserción automática".

Para las unidades de CD-ROM, cambiar el valor de esta entrada del Registro a 0 deshabilitará la Notificación de inserción automática solo para las unidades de CD-ROM. ^{[ 17 ]} Será necesario reiniciar Windows.

En Windows 95/98/ME, esta configuración se puede cambiar en el Administrador de dispositivos, al que se accede desde el icono Sistema en el Panel de control.

Aunque la entrada del Registro se llama "AutoRun", solo suprime el mensaje MCN. El mensaje MCN sí activa la ejecución automática, pero también le indica al explorador de archivos que actualice sus vistas y contenido.

Por lo tanto, como efecto secundario, esto desactiva la función de ejecución automática para las unidades de CD-ROM. Sin embargo, el Explorador ya no actualizará su vista al insertar un nuevo CD; mostrará el contenido del CD anterior hasta que se pulse el botón correspondiente o se seleccione Ver/Actualizar en el menú del Explorador. Esto podría generar mucha confusión entre los usuarios.F5

Por este motivo, no se debe deshabilitar el mensaje de notificación de cambio de medio a menos que no haya absolutamente ninguna alternativa; la función AutoRun se puede deshabilitar para unidades individuales mediante la Directiva de grupo o el Registro.

Esta entrada se utiliza para suprimir el mensaje MCN para un tipo específico de unidad de CD-ROM, ^{[ 18 ]} principalmente cambiadores de CD-ROM. Los datos son un conjunto de identificadores de dispositivo que coinciden con los identificadores que los propios dispositivos informan al sistema.

El valor predeterminado para esta entrada consiste en productos que Microsoft ha identificado en sus pruebas como incompatibles con la función AutoRun. Esta entrada no debe modificarse.

La función AutoRun puede desactivarse en unidades y tipos de unidades específicos mediante los métodos descritos en la sección de Directiva de grupo . Sin embargo, el Editor de directivas de grupo no está disponible en las versiones Home de Windows XP ^{[ 19 ]} y no ofrece opciones de selección de unidades más precisas.

Sin embargo, la Directiva de grupo sería el método aceptado para deshabilitar la ejecución automática en todo un dominio de Windows.

Se puede crear un archivo de configuración del Registro que, al ejecutarse, realice los cambios deseados en el Registro.

En el ejemplo anterior, la función AutoRun estaría deshabilitada para todas las unidades y para todos los usuarios. Este ejemplo debería ejecutarse como administrador y sería necesario reiniciar el equipo para que la configuración surta efecto por completo.

Windows Vista y versiones posteriores de Windows cuentan con una configuración de directiva, "Comportamiento predeterminado para AutoRun", que permite impedir la lectura del archivo autorun.inf en cualquier volumen. Esto evita ciertos escenarios en los que el malware aprovecha la funcionalidad de autorun.inf para infectar un equipo. Las versiones anteriores de Windows no disponen de esta configuración de directiva, pero el uso de la asignación de archivos de inicialización constituye una solución eficaz. ^{[ 20 ] [ 21 ]}

Como el archivo autorun.inf es un archivo INI estándar de Windows , Windows utiliza las llamadas a la API correspondientes para obtener su configuración. Estas llamadas a la API se pueden redirigir mediante el método de asignación de archivos INI. El siguiente archivo del Registro ilustra la solución alternativa, donde toda la configuración de autorun.inf se obtiene únicamente de la HKEY_LOCAL_MACHINE\Software\DoesNotExistclave del Registro:

Como esta clave no existe, es como si el archivo autorun.inf no contuviera información de configuración. Esto se aplica a cualquier archivo autorun.inf, independientemente de su ubicación o del disco duro.

Dado que tanto la configuración de la política como esta solución alternativa desactivan la ejecución automática, la instalación de software desde un CD o DVD de instalación con ejecución automática ya no será automática. Será necesario consultar el archivo autorun.inf del CD y ejecutar manualmente el programa de instalación correspondiente.

Desde Windows 2000 hasta Windows Server 2008, las entradas del Registro relevantes para AutoRun no se manejaban correctamente, lo que generaba una vulnerabilidad de seguridad. ^{[ 22 ]} Windows 95 y Windows 98 no se vieron afectados.

Cuando la función AutoRun está desactivada, Windows no debería avanzar más en la secuencia de activación que la comprobación del Registro. Sin embargo, analiza cualquier archivo autorun.inf que encuentre y realiza todas las acciones excepto la acción final de invocar la reproducción automática o ejecutar una aplicación.

Esto deja al usuario vulnerable a ataques de malware que utiliza el archivo autorun.inf para modificar el comportamiento del doble clic y del menú contextual. Hacer doble clic en el icono de la unidad infectará el equipo. Hacer clic con el botón derecho y seleccionar las opciones "Explorar" o "Abrir" del menú contextual no es una solución, ya que estas opciones pueden ser manipuladas por las entradas correspondientes del archivo autorun.inf.

Este error se corrigió en varias actualizaciones de seguridad, detalladas en el artículo 967715 de la Base de conocimientos de Microsoft . ^{[ 13 ]}

La función de ejecución automática se ha utilizado como vector de malware desde hace tiempo. Antes de Windows Vista, la acción predeterminada de una unidad de CD-ROM era seguir las instrucciones del archivo autorun.inf sin avisos ni advertencias. Esto convierte a los CD-ROM maliciosos en un posible vector de infección.

En la misma categoría se incluyen los CD-ROM de contenido mixto. Un CD de audio, que el usuario no esperaría que contuviera ningún software, puede incluir una sección de datos con un archivo autorun.inf. Algunas compañías, como Sony BMG , han utilizado este método para instalar malware que intenta proteger las pistas de audio contra la copia.

Las unidades flash compatibles con U3 , al emular una unidad de CD-ROM, también pueden provocar que Windows ejecute comandos del archivo autorun.inf que se encuentra en el CD-ROM emulado.

Dispositivos como el módem HSDPA Huawei E220 utilizan este método para instalar automáticamente los controladores del propio módem. Sin embargo, conectar una unidad flash de origen desconocido es una práctica imprudente. Herramientas como USB Switchblade han simplificado enormemente los ataques a unidades flash U3. Dada la facilidad para escribir scripts de ataque, el software antivirus puede resultar ineficaz para prevenir el robo de datos y contraseñas.

Con una unidad flash estándar, se pueden emplear ataques de ingeniería social para incitar al usuario a hacer clic en el elemento correspondiente en el cuadro de diálogo de reproducción automática. Una atractiva secuencia de comandos que prometa juegos gratuitos o pornografía atraería a muchos usuarios a la trampa. En cualquier momento, al hacer doble clic en el icono de la unidad, se ejecutará automáticamente el archivo autorun.inf, una trampa en la que podrían caer usuarios más avanzados.

Cualquier usuario puede configurar la reproducción automática para que tome diversas decisiones por él; al marcar la casilla correspondiente en el cuadro de diálogo de reproducción automática, el malware que se ejecuta en la unidad flash se vuelve silencioso y automático.

El malware AutoRun se ha extendido para usar discos duros, ^{[ 29 ]} marcos de fotos y otros dispositivos digitales. ^{[ 30 ]} El cuidado al manipular dispositivos externos es una prioridad de seguridad. La prevalencia de la infección por malware a través de AutoRun y ​​unidades flash USB se documentó en un estudio de Microsoft de 2011 ^{[ 31 ]} que analizó datos de más de 600 millones de sistemas en todo el mundo durante la primera mitad de 2011. El estudio encontró que el 26 por ciento de todas las infecciones por malware en sistemas Windows se debieron a unidades flash USB que explotaban la función AutoRun en Microsoft Windows . Este hallazgo coincidió con otras estadísticas, como el informe mensual de malware detectado con mayor frecuencia de la empresa antivirus ESET, que enumera el abuso de autorun.inf como el primero entre las diez principales amenazas en 2011. ^{[ 32 ]}

Además de las precauciones básicas de seguridad, que incluyen ^{[ 33 ]}

• siguiendo el principio del mínimo privilegio al no ejecutar habitualmente con privilegios de administrador y
• aplicar todos los parches y actualizaciones de seguridad pertinentes,

La exposición a estos ataques puede minimizarse mediante el uso adecuado de la Directiva de grupo y la configuración del Registro. Las siguientes directivas de seguridad resumen las descritas en este artículo:

• Desactivar la ejecución automática (pero consulta el error de desactivación de la ejecución automática ).
• Utilice la directiva de grupo "Comportamiento predeterminado para AutoRun" en Vista (véase más arriba ) para deshabilitar los comandos de autorun.inf.
• Utilice la asignación del archivo de inicialización para anular las secciones de autorun.inf.
• En Windows 7, solo las unidades de CD y DVD pueden especificar aplicaciones como la tarea AutoRun en el archivo autorun.inf. Windows XP y versiones posteriores pueden actualizarse para que se comporten de la misma manera KB971029. ^{[ 34 ]} En febrero de 2011, esta actualización se agregó al canal oficial de Windows Update . ^{[ 35 ]} El comportamiento de la tarea AutoRun de Windows 7 ahora se convierte en el predeterminado para todas las versiones actuales del sistema operativo Windows.

Además, Microsoft ha recomendado las siguientes acciones, principalmente durante los ataques del gusano Conficker :

• Evite la invocación de autorun.inf desde recursos compartidos de red mediante: ^{[ 13 ]}
  1. Eliminar cualquier archivo autorun.inf existente de la raíz de una unidad de red asignada.
  2. Denegar permisos de creación a la raíz de una unidad de red asignada.
• Impida el uso de dispositivos de almacenamiento USB mediante:
  • Configuración USB dentro de la BIOS del sistema
  • Configuración adecuada del Registro como se describe en el artículo de la Base de Conocimientos 823732^{[ 36 ].}
  • Configurar los dispositivos USB en modo de solo lectura para evitar la propagación de gusanos desconocidos (y el robo de datos propietarios) ^{[ 37 ].}