SMBv1, LLMNR y Print Spooler: los servicios de Windows que deberías desactivar hoy mismo con PowerShell

WannaCry propagó ransomware a 200.000 equipos en 150 países en cuestión de horas, aprovechando exactamente los servicios de compartición Windows que la mayoría de usuarios domésticos tienen activos sin saberlo. En Seguridad en mi PC documentamos cómo SMBv1, LLMNR, NetBIOS y Print Spooler son vectores de ataque documentados y activamente explotados, y cómo un único script de PowerShell los desactiva todos en segundos, sin afectar al uso normal del equipo. Todas las guías de hardening de red están en nuestra sección de hardening de servicios y seguridad Windows, y puedes explorar también el catálogo completo de guías de hardening y seguridad Windows disponibles en el sitio.

📅 2026 · 🕐 8 minutos de lectura

Esta guía complementa el hardening general de Windows 11 y el artículo sobre cómo bloquear P2P en Windows para reducir la superficie de ataque de red.

📌 ¿Qué son los servicios de compartición Windows?

Los servicios de compartición Windows incluyen la compartición de archivos, impresoras y carpetas en red mediante el protocolo SMB (Server Message Block). Estos protocolos de red fueron diseñados para facilitar la colaboración en entornos de red local, pero su activación por defecto en equipos domésticos y corporativos los convierte en una superficie de ataque de red innecesariamente amplia cuando no se usan.

• 📁 Compartición de archivos y carpetas, acceso al sistema de archivos desde otros equipos mediante protocolo SMB
• 🖨️ Compartición de impresoras, Print Spooler y servicio de impresión en red local
• 🔍 Resolución de nombres de red, LLMNR (Link-Local Multicast Name Resolution) y NetBIOS como protocolo de resolución de nombres alternativo al DNS
• 📋 Registro remoto, acceso y modificación remota del registro de Windows sin autenticación adicional
• 🌐 Detección de equipos en red, Computer Browser para enumerar dispositivos en el segmento de red local

🚨 Riesgos de los servicios de compartición Windows mal configurados

🔐 Cómo desactivar los servicios de compartición Windows

🛠️ Método 1: Desde la configuración de red

1. Abre Panel de control → Centro de redes y recursos compartidos
2. Haz clic en Configuración de uso compartido avanzado
3. Desactiva Detección de redes para cerrar LLMNR y NetBIOS en la interfaz gráfica
4. Desactiva Uso compartido de archivos e impresoras para cerrar el protocolo SMB de compartición
5. Guarda los cambios y verifica con net share que no quedan carpetas compartidas activas

💻 Método 2: Desactivar con PowerShell (recomendado)

Script completo para desactivar los protocolos de red y servicios más peligrosos en un único paso:

# ============================================================
# DESACTIVAR SERVICIOS DE COMPARTICIÓN WINDOWS
# Alineado con MITRE ATT&CK, CIS Benchmark y CISA
# ============================================================

# 1. Deshabilitar SMBv1 (vector de WannaCry - CVE-2017-0144, CVSS 9.3)
Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force
Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol -NoRestart

# 2. Deshabilitar LLMNR (LLMNR poisoning, captura de hashes NTLM - T1557.001)
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient" /v EnableMulticast /t REG_DWORD /d 0 /f

# 3. Deshabilitar NetBIOS sobre TCP/IP (relay attack y captura de credenciales)
$adapters = Get-WmiObject Win32_NetworkAdapterConfiguration
foreach ($adapter in $adapters) {
    $adapter.SetTcpipNetbios(2) | Out-Null
}

# 4. Deshabilitar Print Spooler si no hay impresora en red (PrintNightmare - CVE-2021-34527)
Stop-Service -Name Spooler -Force
Set-Service -Name Spooler -StartupType Disabled

# 5. Deshabilitar Remote Registry (modificación remota del registro - T1112)
Stop-Service -Name RemoteRegistry -Force
Set-Service -Name RemoteRegistry -StartupType Disabled

# 6. Deshabilitar Computer Browser (enumeración de red para movimiento lateral)
Stop-Service -Name Browser -Force -ErrorAction SilentlyContinue
Set-Service -Name Browser -StartupType Disabled -ErrorAction SilentlyContinue

Write-Host "Servicios de compartición Windows desactivados correctamente." -ForegroundColor Green

🔎 Cómo verificar el estado tras aplicar los cambios

# Ver carpetas compartidas activas (debe devolver solo IPC$)
net share

# Verificar estado de SMBv1 (debe mostrar State: Disabled)
Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol

# Verificar estado de servicios de compartición Windows
Get-Service Browser, RemoteRegistry, Spooler | Select-Object Name, Status, StartType

✅ Checklist de verificación tras aplicar el script

🧠 Cuándo deberías desactivarlos

🧩 Buenas prácticas adicionales para reducir la superficie de ataque de red

• 🔄 Mantén Windows actualizado: los parches y actualizaciones Windows corrigen vulnerabilidades en el protocolo SMB y otros servicios de red; parchear y deshabilitar son capas complementarias, no alternativas
• 🔒 Combina con la gestión de cuentas y acceso Windows para bloquear accesos no autorizados mediante autenticación NTLM robusta
• 🛡️ Mantén activo el firewall de Windows con las reglas de entrada SMB (puerto 445) bloqueadas para redes públicas
• 🛡️ Mantén activo Windows Defender con protección en tiempo real para detectar herramientas de captura de hashes NTLM
• 📡 Evita redes WiFi públicas sin VPN; el envenenamiento LLMNR y los ataques relay attack son especialmente efectivos en redes compartidas
• 🏢 En entornos corporativos, aplica segmentación de red para limitar el alcance del protocolo SMB al segmento estrictamente necesario
• 🔑 Usa contraseñas seguras en todas las cuentas del sistema; un hash NTLM capturado es más fácil de crackear con contraseñas débiles

🆚 Servicios de compartición Windows activos vs desactivados

🏁 Conclusión

Desactivar los protocolos de red innecesarios en Windows es una de las medidas de hardening de red con mayor impacto y menor coste. SMBv1, LLMNR, NetBIOS y Print Spooler son vectores de ataque documentados y activamente explotados en 2026. Desactivarlos con el script de esta guía reduce drásticamente la superficie de ataque de red sin afectar al uso normal del equipo: ningún usuario doméstico necesita SMBv1, LLMNR ni Remote Registry activos.

Lo más valioso de este script es que actúa sobre todos los vectores a la vez, y el resultado es verificable en segundos con Get-Service y Get-WindowsOptionalFeature. Es hardening de red de nivel profesional alineado con el CIS Benchmark que cualquier usuario puede aplicar en menos de cinco minutos.

• 🔒 Desactiva SMBv1 siempre: Microsoft no lo incluye por defecto en Windows 11 y su único uso práctico en 2026 es ser explotado por EternalBlue o sus variantes
• 🔒 LLMNR es el vector más infravalorado: cualquier atacante en tu red local puede capturar hashes NTLM con Responder sin privilegios previos mediante envenenamiento de red
• 🔒 Print Spooler desactivado si no hay impresora en red: PrintNightmare escalaba a SYSTEM en segundos mediante inyección de DLL desde usuario estándar
• 🔒 Verifica con Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol: State: Disabled confirma el cierre del vector EternalBlue
• 🔒 Combina con las actualizaciones de Windows: parchear y deshabilitar servicios de red son capas complementarias del hardening, no alternativas

Comparte este artículo con quien tenga SMBv1 activo en Windows. WannaCry propagó ransomware a 200.000 equipos usando exactamente ese protocolo SMB, y la mayoría de usuarios domésticos lo tienen activo sin saberlo.

❓ Preguntas frecuentes sobre servicios de compartición Windows

¿Son peligrosos los servicios de compartición Windows?

👉 Sí si están mal configurados o activos sin necesidad. SMBv1 fue el vector de WannaCry y NotPetya. LLMNR permite capturar hashes NTLM en la red local mediante envenenamiento de red sin privilegios previos. Desactivarlos si no se usan es la recomendación de Microsoft, CISA y el CIS Benchmark nivel 1.

¿Debo desactivar los servicios de compartición Windows en casa?

👉 Sí, si no compartes archivos ni impresoras en red. La mayoría de usuarios domésticos tienen estos servicios de red activos por defecto sin ninguna necesidad real, lo que amplía innecesariamente la superficie de ataque y expone el sistema a ataques de relay y captura de credenciales.

¿Desactivar los servicios de compartición Windows afecta al funcionamiento del PC?

👉 No para uso doméstico normal. Solo limita el acceso al sistema de archivos desde otros dispositivos de la red. Si tienes impresora en red o carpetas compartidas con otros equipos mediante protocolo SMB, revisa primero qué servicios necesitas antes de desactivar.

¿Se pueden reactivar los servicios de compartición Windows?

👉 Sí, en cualquier momento desde Configuración, el Panel de Control o PowerShell. Para SMBv1: Enable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol. Para servicios: Set-Service -Name Spooler -StartupType Automatic seguido de Start-Service Spooler.

¿Qué es SMBv1 y por qué es tan peligroso?

👉 SMBv1 es la versión original del protocolo de compartición de archivos de Windows, con vulnerabilidades críticas de seguridad documentadas. La CVE-2017-0144 (EternalBlue, CVSS 9.3) permitió a WannaCry propagarse de forma autónoma a 200.000 equipos sin intervención del usuario. Microsoft recomienda deshabilitar SMBv1 en todos los sistemas y no lo incluye activo por defecto en Windows 11.

¿Qué diferencia hay entre desactivar SMBv1 y SMBv2?

👉 SMBv1 debe desactivarse siempre: tiene vulnerabilidades críticas del protocolo documentadas y Microsoft ya no lo activa por defecto en Windows 11. SMBv2 y SMBv3 son versiones modernas del protocolo SMB con cifrado y autenticación mejorada; deben mantenerse activos si necesitas compartir archivos en red local. Nunca desactives SMBv2 o SMBv3 pensando que reduces la seguridad: son la alternativa segura a SMBv1.

¿Qué es un relay attack y cómo lo evita desactivar LLMNR?

👉 Un relay attack (o ataque de retransmisión NTLM) ocurre cuando un atacante captura el hash NTLM obtenido mediante envenenamiento LLMNR y lo retransmite en tiempo real a otro servicio de la red para autenticarse con las credenciales de la víctima, sin necesidad de crackear el hash. Desactivar LLMNR y NetBIOS elimina el mecanismo de captura inicial, haciendo imposible el ataque de relay sin comprometer primero otra credencial.