La idea es fundamentalmente defectuosa y no se puede recuperar.
Para comenzar con el primer problema: conectar un "stick" USB (dispositivo de almacenamiento masivo) en una computadora hará que esa computadora configure sus controladores de sistemas de archivos y USB para acceder a cualquier archivo almacenado en esa memoria USB. Si el sistema está infectado, este proceso ya puede modificar esos archivos, ya sea físicamente en el disco o al cargarlos en la RAM.
Entonces, incluso si su CMD.EXE fue correcto en la memoria USB, no puede contar con que se mantenga de esa manera o que se cargue correctamente.
El siguiente problema, suponiendo que CMD.EXE se carga correctamente, es que necesita ejecutarse. El proceso de Win32 tendrá cargados varios archivos DLL del sistema. Aquellos podrían estar infectados también. No puede anular esto al proporcionar su "propia" DLL alternativa. De hecho, este es un mecanismo de seguridad, ya que lo protege contra la carga de archivos DLL infectados alternativos y de infectarse . Por supuesto, en su escenario, el sistema ya está infectado.
Pero incluso si su CMD.EXE se carga, incluso si las DLL del sistema no se ven afectadas, el proceso obtiene una vista limitada de la PC en la que se está ejecutando. Ya no puede saber si realmente se está ejecutando como Administrador con una visión general completa, todas las suposiciones son erróneas una vez que el sistema se ve comprometido.