Bloquear memorias USB en un PC con Windows

En el último episodio de Bitácora de Ciberseguridad, en la sección del consejo, hablábamos de la conveniencia de estudiar si es o no pertinente bloquear memorias USB en los PCs de nuestra oficina.

Por qué aplicar esta restricción

• Impedir la instalación o ejecución de malware desde memorias USB.
• Impedir el robo de información (exfiltración) mediante estos dispositivos.

Estas actividades maliciosas, por no decir delictivas, pueden llevarse a cabo tanto por atacantes internos como externos. Es decir, que nos puede infectar o robar información un empleado o socio, el atacante interno. Pero lo mismo puede hacer un visitante o un infiltrado en nuestra oficina.

Un caso bastante común que suele darse es el de las personas que conectan su móvil al USB del PC para cargar la batería. Si bloqueamos los puertos, el teléfono seguirá pudiendo cargar la batería. Lo que no podrá es ser reconocido como dispositivo de almacenamiento y no podrá llevarse información ni dejar malware instalado.

Cómo bloquear memorias USB desde el registro de Windows

Supongamos que se decide que el bloqueo de memorias USB es conveniente en nuestros PCs. Por supuesto, habiendo evaluado las incomodidades que eso pueda generar para el desarrollo de la actividad de la empresa. y que es más conveniente su bloqueo. A continuación encontraréis un vídeo demostrativo explicando el procedimiento para bloquear memorias USB en quipos Windows.

Se trata de cambiar un único valor en el Registro de Windows (regedit). La configuración es aplicable a Windows XP, Vista,, 7, 8, 8.1 y 10.

El procedimiento consiste en buscar el registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR

A continuación cambiamos el valor hexadecimal 3 y lo sustituimos por un 4. Tal cual, borramos el 3 y escribimos 4. Poniendo un 3, permitimos memorias USB, con un 4 las bloqueamos.

IMPORTANTE: Si confundimos los valores podemos bloquear otros periféricos USB, como el teclado o el ratón, dificultando sobremanera poder recuperar el control del PC.

¿Qué más hay que tener en cuenta?

Esta forma de aplicación está recomendada para infraestructuras no gestionadas, es decir, si no se emplea un controlador de dominio desde el que poder gestionar estas políticas. Otra cuestión que debe ser tenida en cuenta es que hay que tener permisos de administrador para aplicar esta configuración, por lo que es necesario que los usuarios no tengan dichos privilegios para que no puedan revertirla.

Tanto si se aplica una medida como el bloqueo de memorias USB como si no, es recomendable aplicar una política de mesas limpias que incluya el bloqueo de la cuenta de usuario del PC cada vez que abandone su puesto de trabajo, aunque sea por 1 minuto ya que un atacante puede instalar malware o robar información fácilmente en 1 minuto si la cuenta no está bloqueada.