El ratón que instala software solo: la instalación automática de controladores es el fallo de la cadena de suministro que nadie revisa
Conecta un periférico a un equipo Windows y el sistema operativo descarga y ejecuta el código del fabricante con privilegios elevados, sin revisión y sin dejar rastro. El interruptor que sí funciona es una ruta de Directiva de Grupo que casi ninguna organización ha configurado, porque nadie es dueño de esta categoría.
Pregunta quién es responsable de los periféricos como categoría de software y observa cómo la pregunta rebota de un departamento a otro. El equipo de infraestructura dice que los ratones y monitores son cosa de compras. Compras los archiva como material de oficina. Entre esas dos respuestas hay un hecho incómodo: la instalación automática de controladores convierte cada periférico de la organización en una relación activa de entrega de código, en la que el sistema operativo actúa de intermediario y el fabricante del dispositivo es un proveedor de software que nadie ha evaluado. Conecta cualquier cosa a un equipo Windows y el sistema lee su identificador de hardware, lo busca y descarga lo que el fabricante haya registrado como «software de soporte», con privilegios elevados, sin revisión y sin dejar rastro. La revisión de la cadena de suministro de software cubre instaladores, gestores de paquetes y tiendas de aplicaciones. El inventario de hardware cubre etiquetas de activo y amortización. El momento en que se conecta un dispositivo pertenece a ambas listas y no lo audita ninguna de las dos.
¿Qué ocurre realmente cuando conectas un dispositivo USB?
Todo dispositivo USB anuncia un identificador. Windows lo compara con un catálogo de paquetes proporcionados por fabricantes e instala lo que encuentra: un paquete de controladores distribuido a través de Windows Update y, con frecuencia, una aplicación complementaria de «soporte de hardware» que la Microsoft Store descarga en nombre del dispositivo. Parte de ese código es realmente necesario. El resto es lo que el fabricante haya decidido incluir de paso: paneles de control, actualizadores, avisos de registro de cuenta, servicios en segundo plano. El sistema operativo no traza una línea clara entre ambas cosas, y el usuario nunca ve un punto de decisión. Alguien que jamás descargaría y ejecutaría un archivo desconocido acepta, sin pensarlo, cualquier cosa que el propio sistema instale por iniciativa propia. El canal llega ya investido de confianza porque quien compra el equipo asume que la mediación del sistema operativo implica supervisión, y esa confianza asumida es precisamente lo que blanquea cualquier cosa que viaje dentro del paquete.
Esa suposición se puede comprobar, porque los requisitos de publicación son públicos. Para vincular una app de la Store con un controlador, el fabricante reserva una «capacidad personalizada» enviando un breve cuestionario al equipo de revisión de aplicaciones de soporte de hardware de Microsoft: qué recursos necesita esa capacidad, si los datos de eventos salen del dispositivo hacia el fabricante, si intervienen identificadores personales. La aprobación llega en forma de cadena de capacidad, y Microsoft firma entonces un descriptor que autoriza a las apps designadas a usarla. Basta leer los pasos que Microsoft publica para desarrolladores de controladores para ver qué es en realidad ese proceso: una revisión de accesos, tramitada por correo electrónico, sobre lo que la app puede tocar. No es una auditoría de todo lo demás que el fabricante envía dentro del mismo paquete firmado. El actualizador, la telemetría, la promoción incluida entran todos por una puerta que se revisó para responder a otra pregunta.
Cuando el paquete es frágil, el momento de conexión se convierte en un vector de ataque. En agosto de 2021, un investigador de seguridad demostró que conectar un ratón Razer a un equipo Windows 10 hacía que el sistema descargara el instalador de Razer Synapse y lo ejecutara con privilegios de SYSTEM. El selector de carpetas del asistente de instalación podía abrir una ventana de PowerShell, y esa ventana heredaba los privilegios de SYSTEM. Cualquier usuario estándar con un dongle barato de Razer, o un teléfono que suplantara el identificador de hardware de Razer, podía acabar con control total del equipo. Días después se reportó el mismo tipo de fallo en el software incluido por SteelSeries. El problema nunca fueron los dispositivos. Fueron los instaladores que sus identificadores de hardware invocaban.
Y cuando falla el propio intermediario, falla para todo el parque a la vez. En diciembre de 2023, los equipos Windows empezaron a renombrar todas las impresoras instaladas como «HP LaserJet M101-M106» y a descargar la app HP Smart desde la Microsoft Store, incluso en equipos sin ningún hardware de HP conectado, después de que unos metadatos de dispositivo defectuosos convencieran a Windows de que esas impresoras eran de HP. La solución que Microsoft publicó en enero de 2024 fue una utilidad de eliminación específica, el Microsoft Printer Metadata Troubleshooter: una herramienta cuya única función era desinstalar software que el propio sistema operativo había instalado por su cuenta. Eso es el canal funcionando exactamente como está diseñado, apuntando a los metadatos equivocados.
¿Se puede desactivar la instalación automática de controladores en Windows?
En parte, y la forma de ese «en parte» importa. Todas las ediciones, incluida Home, incorporan un interruptor de consumo poco visible (Propiedades del sistema, luego Hardware, luego Configuración de instalación de dispositivos) que pide a Windows que no descargue las apps de los fabricantes ni los iconos personalizados; cubre los extras decorativos, no el mecanismo en sí. Los controles que de verdad funcionan viven en Directiva de Grupo, bajo Configuración del equipo, Plantillas administrativas, Sistema, Instalación de dispositivos, y solo están disponibles en las ediciones Professional, Enterprise y Education, no en Home. «Impedir la recuperación de metadatos de dispositivo desde Internet» detiene la descarga silenciosa de los listados de paquetes del fabricante. Dentro de la carpeta Restricciones de instalación de dispositivos, «Permitir la instalación de dispositivos que coincidan con estos identificadores» se combina con «Impedir la instalación de dispositivos no descritos por otra configuración de directiva» para invertir el comportamiento por defecto: una lista de hardware aprobado, todo lo demás bloqueado, un bloqueo que Microsoft documenta con detalle.
Entonces, ¿por qué esa lista de permitidos sigue sin configurarse? Porque convierte un comportamiento por defecto silencioso en trabajo visible, y nadie ha presupuestado ese trabajo. Imagina el despliegue: desde el primer día, cada modelo de periférico que aún no esté en la lista se convierte en un ticket de soporte. Las estaciones de acoplamiento de los puestos compartidos. La cámara de la sala de reuniones. El teclado que alguien trajo de casa. Cabe esperar un pico en las primeras semanas y una cola constante con cada renovación de hardware, y esperar también que la propia lista necesite un responsable, de forma indefinida. No conocemos ninguna encuesta pública sobre las prácticas reales de las organizaciones, así que esto hay que tomarlo como experiencia observada y no como medición: en los entornos que conocemos, estas directivas quedan sin tocar, no porque alguien haya sopesado el coste de los tickets frente a la exposición, sino porque nadie es responsable de esa decisión en absoluto. Ese es el fallo de gobernanza en miniatura. El control existe, está documentado y es gratuito; lo que falta es un nombre al lado.
El ratón como administrador
¿Por qué los instaladores complementarios acaban convirtiéndose en fallos de escalada de privilegios una y otra vez? Porque el software que se instala al conectar un dispositivo se ejecuta con privilegios elevados, ya que instalar controladores lo exige. Eso convierte a cada uno de esos instaladores en superficie de ataque, y no hay motivo para esperar que el asistente del panel de control de un fabricante esté escrito con el mismo rigor que el núcleo del sistema junto al que se ejecuta. El fallo de Razer no fue un exploit exótico; fue un cuadro de diálogo de archivos abierto para el usuario equivocado con el privilegio equivocado. Así que el modelo de amenaza se invierte. Un periférico no necesita firmware malicioso ni un implante para ser peligroso. Solo necesita un identificador de hardware que invoque un instalador frágil. Conectar el dispositivo se convierte en la primera fase de un ataque, ejecutada por la propia víctima, alentada por la plataforma.
La consecuencia de segundo orden recae sobre compras. Si un fabricante de periféricos es, en la práctica, un proveedor de software, hay que comprarle como se compra software: preguntar qué hace el paquete complementario, qué información envía fuera, cómo se actualiza y qué deja de funcionar si se rechaza. Esas preguntas no cuestan nada y cambian el comportamiento del proveedor más rápido que cualquier interruptor de directiva, porque actúan sobre el incentivo y no sobre el mecanismo. Esta es la parte poco vistosa de la estrategia técnica: cartografiar por dónde entra realmente el código en la organización, en lugar de por dónde dice el organigrama que entra. Y el patrón se generaliza. Cualquier canal que ejecute código de terceros con autoridad delegada y sin revisión es el mismo problema de gobernanza con otro disfraz; hacemos el mismo planteamiento sobre los sistemas agénticos que actúan sobre tu infraestructura. Confiar en el intermediario no es lo mismo que auditar la carga que transporta.
Lo que hay que hacer es breve. Averigua si las Restricciones de instalación de dispositivos de tu organización están realmente configuradas; si la respuesta es «nadie lo sabe», ya has aprendido algo importante. Asigna a esta categoría un responsable y un presupuesto de tickets. Registra los eventos de conexión de dispositivos con el mismo interés con que registrarías el lanzamiento de un instalador. Y cuando alguien te diga que un monitor es solo un monitor, pregúntale qué instaló.
Preguntas frecuentes
¿Windows instala software automáticamente al conectar un dispositivo USB?
Sí. Windows identifica el hardware del dispositivo y descarga el paquete de controladores correspondiente, que puede incluir cualquier software complementario que el fabricante haya registrado junto a él, distribuido a través de Windows Update o de la Microsoft Store. El controlador es necesario; el resto lo decide el fabricante, y nadie en tu organización lo revisó antes de que se ejecutara.
¿Cómo impide una empresa que se instalen aplicaciones de fabricantes junto con los controladores?
En las ediciones con Directiva de Grupo (Professional, Enterprise y Education) los controles están en Configuración del equipo, Plantillas administrativas, Sistema, Instalación de dispositivos. «Impedir la recuperación de metadatos de dispositivo desde Internet» detiene la descarga automática de los paquetes del fabricante, y dentro de Restricciones de instalación de dispositivos, «Permitir la instalación de dispositivos que coincidan con estos identificadores» junto con «Impedir la instalación de dispositivos no descritos por otra configuración de directiva» convierten el comportamiento abierto por defecto en una lista de permitidos. Hay que presupuestar la cola de soporte: cada modelo de periférico que aún no esté en la lista genera un ticket hasta que la lista madura, por eso la directiva necesita un responsable con nombre. Los equipos con edición Home o sin gestión centralizada solo pueden mitigar el riesgo, con el interruptor de Configuración de instalación de dispositivos, cuentas de usuario estándar y control de aplicaciones.
¿Son más arriesgados los periféricos baratos o sin marca conocida?
El precio y la marca son señales poco fiables en ambos sentidos: el fallo de instalador con privilegios de SYSTEM de 2021 llegó de la mano de Razer, una marca reconocida, y la instalación automática de HP Smart de 2023 alcanzó equipos sin ningún hardware de HP presente. El riesgo está en el software que invoca el identificador de hardware de cada dispositivo, así que un identificador desconocido que descarga un instalador desconocido con privilegios elevados es el peor escenario, con independencia del precio. La regla práctica: comprar periféricos con las mismas preguntas que se harían a un proveedor de software, porque eso es exactamente lo que el fabricante se convierte en el momento en que se conecta el dispositivo.
Relacionado
- En Ubuntu 26.04 LTS, el coreutils del que depende tu build ya no es de GNU
- La prima de la soberanía: por qué las soluciones de IA soberana para empresas ganan por acceso, no por velocidad
- Los pleitos por secretos comerciales se ganan años antes de que nadie dimita. Que se lo pregunten a Faccenda Chicken.
- Security & Trust
Escrito por una persona editorial de IA del sistema editorial propietario de Abyshire y revisado por nuestro equipo.