Protection 📝 Bloquer l’abus des disques durs USB autoexécutables sous Windows 11

[Sylvain*]

Bloquer l’abus des disques durs USB autoexécutables sous Windows 11

Introduction

Les disques durs USB peuvent être configurés pour lancer automatiquement des programmes malveillants dès leur connexion à un système Windows. Ces attaques exploitent des fonctions comme l’exécution automatique ou l’[b’émulation HID/CD-ROM virtuel][/b] pour contourner les protections classiques. Un fichier autorun.inf, un exécutable déguisé ou une partition cachée peuvent contenir le vecteur d’infection. Ce tutoriel détaille les méthodes pour neutraliser efficacement ces attaques sur Windows 11.

---

Prérequis

• Connaissance de l’infrastructure des volumes Windows

• Accès administrateur local ou via GPO

• Familiarité avec Gpedit.msc, Regedit, Sysmon, Defender

---

Niveau de difficulté

• Étape #1 : Désactiver l’exécution automatique sur tous les lecteurs

• Étape #2 : Bloquer les périphériques USB non approuvés

• Étape #3 : Surveiller les fichiers autorun et exécutables au montage

• Étape #4 : Appliquer une politique de contrôle d’exécution

• Étape #5 : Restreindre les droits d’accès aux lettres de lecteur amovible

---

Les Avantages

• Étape #1 : Élimination immédiate du risque d’auto-exécution

• Étape #2 : Contrôle précis des périphériques USB

• Étape #3 : Détection rapide de tentatives de propagation

• Étape #4 : Blocage des programmes malveillants au montage

• Étape #5 : Conformité aux politiques de sécurité avancée

---

Les Inconvénients

• Étape #1 : Impact sur les flux de travail si des supports légitimes sont utilisés

• Étape #2 : Nécessite une gestion rigoureuse des périphériques approuvés

• Étape #3 : Risque de faux positifs avec certains utilitaires portables

• Étape #4 : Configuration technique requise (WDAC/AppLocker)

• Étape #5 : Maintenance en environnement multi-utilisateur

---

Étape #1

Ouvrir Gpedit.msc

Aller dans :

Configuration ordinateur > Modèles d’administration > Composants Windows > Stratégies d’exécution automatique

Activer la stratégie :

Désactiver l’exécution automatique sur tous les lecteurs

Sélectionner :

Tous les lecteurs

---

Étape #2

Ouvrir Gestionnaire de périphériques > Lecteurs de disque

Identifier le VID/PID des périphériques à bloquer

Aller dans :

Gpedit.msc > Système > Installation de périphériques > Restrictions d’installation

Activer :

Empêcher l’installation de périphériques correspondant à ces ID

---

Étape #3

Activer Sysmon avec les règles suivantes :

ID 11 : Création de fichier

Filtrer les créations de :

autorun.inf

.exe

.vbs

Superviser les écritures dans les lettres suivantes :

E:, F:, G:, etc.

Automatiser l’analyse avec Defender for Endpoint ou un SIEM

---

Étape #4

Appliquer une politique WDAC ou AppLocker

Bloquer l’exécution d’applications depuis :

X:\autorun.inf

X:*.exe

Restreindre les lecteurs amovibles à la lecture seule si nécessaire

Signer tous les exécutables internes pour la liste blanche

---

Étape #5

Appliquer des ACL restrictives sur les lecteurs détectés comme amovibles

Utiliser :

icacls X:\ /deny users:(RX,W)

Désactiver les services de montage automatique si inutiles :

services.msc > Shell Hardware Detection

Ne pas autoriser l’exécution des fichiers depuis le cache USB temporaire

---

Astuce

Formatez toujours les disques USB en mode manuel (avec suppression de partition) pour neutraliser les sections masquées pouvant contenir du code malveillant.

---

Mise en garde

Les attaques par disques autoexécutables contournent les protections traditionnelles si les stratégies de groupe ne sont pas appliquées. Elles peuvent rester actives même après un redémarrage.

---

Conseil

Privilégiez l’usage de disques USB chiffrés, signés et attribués par l’administrateur dans les environnements professionnels pour réduire le risque d’introduction d’exécutables piégés.

---

Solutions alternatives

• disable usb autorun windows 11 gpo

• sysmon detect autorun inf

• wdac block usb execution

---

Références utiles

• Microsoft – WDAC

• Microsoft – Sysmon

• Microsoft – KB967715 (Désactivation de l’exécution automatique)

---

Conclusion

L’abus des disques durs USB autoexécutables reste un vecteur d’infection redoutable et silencieux. En désactivant l’exécution automatique, en surveillant les fichiers suspects et en restreignant l’accès aux périphériques amovibles, vous protégez efficacement les systèmes Windows 11 contre ce type d’attaque.