Device Guard bloquea aplicaciones en un notebook HP: Cómo arreglarlo

Un usuario restauró una imagen de sistema en un nuevo notebook HP, pero al intentar usarlo se encontró con una pantalla negra. Al ejecutar comandos básicos como cmd.exe, recibía el mensaje de que Device Guard bloqueaba la aplicación.

¿Qué es exactamente Device Guard?

Device Guard no es una sola herramienta, sino un nombre paraguas para varias tecnologías de seguridad en Windows 10 y 11. Su objetivo principal es impedir que el sistema ejecute código no confiable o malware. Se compone principalmente de tres partes clave:

• Integridad basada en virtualización (VBS / HVCI): Aísla las partes críticas del kernel usando virtualización para evitar rootkits.
• Control de aplicaciones: Restringe el sistema a solo ejecutar software firmado o aprobado, hoy conocido como Microsoft Defender Application Control.
• Credential Guard: Aísla las credenciales del sistema para dificultar su robo.

Pasos para desactivar Device Guard

Dado que el bloqueo impide usar herramientas estándar, la solución es entrar al entorno de recuperación (WinRE) y deshabilitar estas funciones desde una consola. Primero, intenta arrancar la imagen en modo seguro o usando las opciones avanzadas hasta llegar al Símbolo del sistema.

Una vez dentro de la consola de recuperación, ejecuta el siguiente comando para modificar el arranque:

bcdedit /store X:EFIMicrosoftBootBCD /set {default} hypervisorlaunchtype off

Ahora puedes desactivar VBS y HVCI directamente en la base de registro mientras el sistema está apagado. Usa este comando para cargar el archivo SYSTEM offline:

reg load HKLMOFFLINE C:WindowsSystem32ConfigSYSTEM

Luego, ejecuta las siguientes órdenes para desactivar la seguridad virtualizada y la integridad del código:

reg add "HKLMOFFLINEControlSet001ControlDeviceGuard" /v EnableVirtualizationBasedSecurity /t REG_DWORD /d 0 /f
reg add "HKLMOFFLINEControlSet001ControlDeviceGuardScenariosHypervisorEnforcedCodeIntegrity" /v Enabled /t REG_DWORD /d 0 /f

Finalmente, descarga el archivo de registro y reinicia el equipo para aplicar los cambios.

El problema del TPM activo

Si al reiniciar persiste la pantalla negra o el bloqueo, es muy probable que haya una política WDAC activa. Puedes eliminarla desde el entorno de recuperación con:

del C:WindowsSystem32CodeIntegritySIPolicy.p7b

Aquí surge otro detalle importante: si el usuario menciona que su TPM está activo, es posible que la imagen esté «atada» criptográficamente al hardware anterior. Windows 11 valida el TPM, Secure Boot y las mediciones de arranque con mucha más rigurosidad que versiones anteriores.

Si desactivar Device Guard no funciona, la solución definitiva es entrar al BIOS HP y desactivar temporalmente el TPM, Secure Boot y Virtualization Technology. Esto permitirá arrancar una vez para reparar Windows desde dentro. Por último, vale la pena notar que las imágenes universales de Windows 11 son mucho menos confiables que en Windows 10; instalar limpio suele ser más estable que intentar restaurar datos sobre hardware diferente.