Cách cấu hình chặn tự động chạy AutoRun của USB trên Windows

Muốn chặn USB tự chạy trên Windows, bạn cần tắt AutoPlay trong Settings cho người dùng hằng ngày, và dùng Group Policy hoặc Registry để vô hiệu hóa AutoRun trên mọi ổ đĩa nếu quản lý nhiều máy. Windows đời mới đã bỏ khả năng tự chạy tệp từ USB, nhưng hộp thoại AutoPlay vẫn có thể dẫn người dùng bấm nhầm vào lựa chọn mở tệp độc hại. Bài này hướng dẫn từng cách, kèm phần kiểm tra sau khi cấu hình.

AutoRun và AutoPlay không phải là một

Hai khái niệm này thường bị dùng lẫn lộn. AutoRun là cơ chế cũ: Windows đọc tệp autorun.inf ở gốc ổ đĩa và có thể tự chạy chương trình được chỉ định trong đó. Đây từng là con đường lây lan quen thuộc của sâu máy tính qua USB vào thời Windows XP. Từ bản cập nhật năm 2011, Microsoft đã chặn việc tự chạy chương trình từ ổ USB thông qua autorun.inf trên các phiên bản Windows được hỗ trợ; AutoRun chỉ còn tác dụng với ổ quang.

AutoPlay là tính năng mới hơn: khi bạn cắm thiết bị, Windows hiện thông báo hỏi muốn làm gì, như mở thư mục, nhập ảnh, phát nhạc. AutoPlay không tự chạy tệp thực thi, nhưng nó tạo thói quen "cắm vào là bấm", và tên hiển thị của ổ đĩa có thể bị đặt sao cho người dùng tưởng là một thư mục bình thường.

Vì vậy, cấu hình an toàn nên làm cả hai việc: tắt AutoPlay để người dùng chủ động mở ổ đĩa, và đặt chính sách vô hiệu AutoRun trên mọi loại ổ để phòng máy cũ, ổ quang giả lập hoặc cấu hình bị thay đổi.

Cách 1: Tắt AutoPlay trong Settings

Phù hợp cho máy cá nhân, làm trong một phút:

1. Mở Settings (Windows + I).
2. Windows 11: vào Bluetooth & devices rồi chọn AutoPlay. Windows 10: vào Devices rồi chọn AutoPlay.
3. Gạt Use AutoPlay for all media and devices sang Off.
4. Ở mục Removable drive và Memory card, chọn Take no action để phòng khi tính năng bị bật lại.

Cách này chỉ áp dụng cho tài khoản đang đăng nhập. Nếu máy có nhiều người dùng, mỗi tài khoản cần làm lại, hoặc dùng cách 2.

Cách 2: Dùng Group Policy cho toàn máy

Group Policy Editor có trên Windows bản Pro, Enterprise và Education.

1. Nhấn Windows + R, gõ gpedit.msc, Enter.
2. Đi tới Computer Configuration > Administrative Templates > Windows Components > AutoPlay Policies.
3. Mở Turn off AutoPlay, chọn Enabled, ở ô bên dưới chọn All drives.
4. Mở Set the default behavior for AutoRun, chọn Enabled và đặt Do not execute any autorun commands.
5. Mở Disallow Autoplay for non-volume devices, chọn Enabled để áp dụng cả với điện thoại, máy ảnh kết nối qua MTP.
6. Chạy lệnh gpupdate /force trong Command Prompt hoặc khởi động lại máy.

Trong môi trường có Active Directory, quản trị viên đặt các chính sách này trong một GPO liên kết với OU chứa máy trạm, thay vì sửa từng máy. Đây cũng là chỗ thích hợp để thêm chính sách hạn chế thiết bị lưu trữ rời nếu doanh nghiệp cần, kết hợp với biện pháp khóa cổng USB vật lý trên máy văn phòng.

Cách 3: Sửa Registry trên Windows Home

Bản Home không có gpedit, nên bạn chỉnh trực tiếp Registry. Hãy sao lưu Registry trước khi sửa (File > Export trong Registry Editor).

1. Mở regedit với quyền quản trị.
2. Đi tới HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer. Nếu chưa có khóa Explorer, tạo mới.
3. Tạo giá trị DWORD (32-bit) tên NoDriveTypeAutoRun, đặt giá trị hệ thập lục phân FF. Giá trị này tắt AutoRun trên mọi loại ổ đĩa.
4. Tạo thêm DWORD NoAutorun với giá trị 1.
5. Khởi động lại máy.

Nếu muốn áp dụng riêng cho từng người dùng, có thể đặt các giá trị tương tự dưới HKEY_CURRENT_USER, nhưng đặt ở HKEY_LOCAL_MACHINE sẽ bao phủ toàn máy.

So sánh nhanh ba cách

Kiểm tra lại sau khi cấu hình

Sau khi áp dụng, hãy cắm một USB sạch mà bạn biết rõ nội dung. Kết quả đúng là không có thông báo AutoPlay nào hiện ra; ổ đĩa chỉ xuất hiện trong File Explorer. Có thể kiểm tra chính sách đã có hiệu lực bằng lệnh gpresult /r hoặc mở lại Registry để xem giá trị.

Một điểm hay bị bỏ qua: tắt AutoPlay không có nghĩa là USB đã an toàn. Mã độc ngày nay thường dựa vào việc người dùng tự mở tệp, ví dụ một shortcut mang biểu tượng thư mục hoặc tệp có đuôi kép. Hãy bật hiển thị phần mở rộng tệp trong File Explorer (View > Show > File name extensions) và đọc thêm cách nhận biết tệp đuôi kép giả dạng tài liệu.

Quy trình mở USB an toàn sau khi đã chặn tự chạy

Khi AutoPlay và AutoRun đã tắt, mỗi lần cắm USB bạn nên làm theo trình tự cố định:

• Quét ổ đĩa bằng phần mềm diệt virus trước, bằng cách nhấp chuột phải vào ổ trong File Explorer và chọn quét.
• Mở ổ bằng File Explorer, không nhấp đúp vào biểu tượng ổ trong This PC nếu máy cũ còn cấu hình lạ.
• Bật hiển thị tệp ẩn để thấy những tệp lạ nằm ở gốc ổ.
• Không chạy tệp .exe, .bat, .lnk, .vbs, .js từ USB không rõ nguồn gốc.

Chi tiết từng bước được trình bày trong hướng dẫn quét virus USB trước khi mở. Kết hợp chặn tự chạy với thói quen quét và kiểm tra tệp, bạn đã loại bỏ phần lớn con đường lây nhiễm qua ổ flash mà người dùng văn phòng thường gặp.