O Windows Plug and Play pode ser usado de forma abusiva para buscar software assinado de fornecedores para um dispositivo USB (Barramento Serial Universal) emulado e executar componentes de instalação privilegiados que os pesquisadores encadearam para obter acesso SYSTEM em uma máquina com Windows 11 totalmente atualizada.
O mesmo caminho de PnP (Plug and Play) pode ser acionado via Remote Desktop sem hardware físico quando a redireção Plug and Play suportada ou a redireção USB de baixo nível estão habilitadas; a Microsoft informa que a redireção não é permitida por padrão.
Os pesquisadores de segurança Alejandro Hernando e Borja Martinez descreveram a técnica em "Plug And Pwn: Weaponizando o Auto-Install do Windows PnP", pesquisa preparada para a DEF CON 34.
Eles construíram ferramentas para emular dispositivos USB arbitrários e disseram que, sob as condições necessárias, um usuário sem privilégios pode transformar o caminho de instalação do PnP em execução de código no nível SYSTEM. A própria documentação de drivers da Microsoft descreve a etapa de seleção subjacente: o Windows recebe IDs (identificadores) de hardware e compatíveis para um dispositivo e os utiliza para localizar um pacote de driver correspondente.
Segundo os pesquisadores, a cadeia física começa emulando um dispositivo Sierra Wireless para que o Windows instale o SwiService.exe, um serviço SYSTEM que expõe uma primitiva SetDNS. Eles a utilizam para redirecionar o DNS, depois emulam um leitor Sony FeliCa cujo co-instalador busca arquivos de configuração via HTTP (Protocolo de Transferência de Hipertexto) em texto puro e deriva nomes de arquivos locais a partir de caminhos de URL.
Os pesquisadores afirmam que uma falha de path traversal (travessia de diretório) permite que coloquem uma DLL (Biblioteca de Vínculo Dinâmico) em System32; reconectar o dispositivo Sierra então carrega a DLL plantada e resulta em acesso SYSTEM. A demonstração divulgada utilizou um sistema Windows 11 totalmente atualizado, então o resultado não deve ser generalizado para uma faixa de versões do Windows não testada.
A variante remota substitui o dispositivo físico por tráfego USB sintético via RDP (Protocolo de Área de Trabalho Remota). O cliente Python dos pesquisadores forja uma identidade USB e apresenta um dispositivo Intel RealSense fantasma, fazendo com que o Windows siga o caminho de instalação de dispositivo redirecionado.
Eles afirmam que o software RealSense resultante pode ser abusado por meio de um sequestro de ordem de busca (search-order hijack) da CRYPTBASE.dll a partir de um diretório de instalação gravável pelo usuário, concedendo ao usuário autenticado de baixo privilégio a execução de código no nível SYSTEM. A Microsoft também documenta, separadamente, que periféricos USB de baixo nível redirecionados usam o mesmo processo de instalação de driver de um computador Windows físico.
O caminho remoto depende de configuração, não é uma exposição padrão do Windows. A Microsoft informa que os Serviços de Área de Trabalho Remota não permitem, por padrão, a redireção Plug and Play suportada nem a redireção USB RemoteFX, e que suas orientações de redireção USB exigem que a redireção Plug and Play esteja habilitada antes que o encaminhamento USB de baixo nível funcione.
Administradores que não precisam do recurso podem deixá-lo desabilitado. A Microsoft também fornece restrições de instalação de dispositivos que podem permitir ou bloquear dispositivos por ID de hardware ou compatível, ID de instância de dispositivo e classe de configuração; em um servidor de Área de Trabalho Remota, essas políticas também podem afetar dispositivos redirecionados.
A cadeia física tem seu próprio pré-requisito: um atacante precisa ser capaz de apresentar um dispositivo USB emulado à máquina alvo.
A pesquisa demonstra o abuso de um caminho legítimo de instalação privilegiada combinado com fragilidades em pacotes assinados de terceiros. As mecânicas de exploração específicas dos fornecedores Sierra, Sony e Intel permanecem como achados dos pesquisadores e devem continuar atribuídas a eles, a menos que material correspondente dos fornecedores confirme de forma independente.
