¿Es posible infectarse con un virus simplemente insertando un dispositivo de almacenamiento masivo USB (en Windows-XP SP2 en particular)?

El indicador de reproducción automática es lo que Windows usa cuando inserta una unidad flash USB estándar.

La ejecución automática, por otro lado, no tiene ningún aviso y es lo que sucede cuando inserta un CD.

Los dispositivos U3 como el Sandisk Cruzer mienten a Windows y fingen que son 2 dispositivos en uno, uno con una unidad de CD y otro con una unidad flash USB. si la unidad de CD virtual contiene un archivo autorun.inf, Windows lo procesará y ejecutará automáticamente el archivo al que apunta. incluso logré preparar un dispositivo que ejecutaría automáticamente el código en la parte de la unidad flash USB (en lugar de solo en el CD virtual) a pesar de que se desconoce la letra de la unidad flash USB.

Microsoft ha estado haciendo cambios en Windows para reducir la amenaza de los gusanos de ejecución automática, pero esos cambios no se aplican necesariamente a la forma en que Windows trata los CD (por lo tanto, los dispositivos U3 aún pueden funcionar según lo previsto) y definitivamente no están en XP-SP2.

así que la respuesta corta es sí, puedes infectarte de esa manera.

[editado para agregar: debo señalar que la respuesta de Mark Scrano también es correcta. Había una vulnerabilidad en Windows que permitiría que el código se ejecute automáticamente. funcionaría incluso si tuviera la ejecución automática desactivada. hay un parche disponible de microsoft para corregir esta vulnerabilidad. si tiene habilitada la actualización automática, ya debería estar aplicada.]

XP SP2 es vulnerable a este vector de ataque en particular. Había una vulnerabilidad en la forma en que las ventanas mostraban accesos directos o archivos .lnk. Esto permite a los atacantes ejecutar ataques cuando la unidad se abrió en Windows Explorer. No es necesario hacer clic ni abrir archivos para este ataque en particular.

http://www.microsoft.com/technet

http://www.cve.mitre.org/cgi-bin