Cabe mencionar y (lo cual es la idea del foro verdad?) cómo funciona esto:
SETHC.EXE es la aplicación que aparece al presionar varias veces el botón SHIFT.
¿Por qué se usa esta aplicación?
Se usa esta aplicación por que es una de las pocas (creo que es la única) que arranca antes de iniciar sesión, ya que es un asistente para brindar accesibilidad.
¿Qué se hace con esa aplicación?
La idea es renombrar esta aplicación o eliminarla para poner una copia de CMD.EXE (consola) con el nombre de SETHC.exe de esta manera al presionar varias veces el botón SHIFT al momento de iniciar sesión arrancará SETHC.EXE que será CMD.EXE ya que los hemos renombrado.
¿Por qué esta consola funciona?
Me refiero a función a que permite ejecutar comandos sin restricción, esto se debe a que los permisos de ejecución de esta consola son de administrador, por eso podemos hacer lo que nos plazca, inclusive eliminar archivos que todavía no han arrancado (desconozco cuales son estos, pero seria tan sencillo hacer un TASKLIST en la ventana de inicio de sesión y luego una vez iniciados.
SOLUCIÓN
¿Cómo se podría solucionar esto?
La forma más fácil es evitar que BOOTEO desde unidades extraibles sin antes ingresar una clave.
De forma más específica, se podría verificar que proceso se encarga de ejecutar SETHC.EXE (process explorer.exe) una vez sabido esto, se podría localizar la zona en donde se llama a SETHC.EXE y hacer un injerto, verificar que si se llama a una aplicación con nombre SETHC.EXE se realice una especie de CRC para ver si es el legítimo, si lo es se ejecuta en caso contrario no se ejecuta.
A ver si abre la curiosidad esta pequeña explicación, saludos.
