Wprowadzenie do problemu / definicja
Technika określana jako „Plug and Pwn” pokazuje, że sam proces obsługi nowych urządzeń w Windows może stać się wektorem lokalnej eskalacji uprawnień. Atak wykorzystuje mechanizmy Plug and Play do wymuszenia instalacji sterowników oraz dodatkowych komponentów producentów dla emulowanych urządzeń USB, co w określonych warunkach prowadzi do uruchomienia podatnego oprogramowania z uprawnieniami NT AUTHORITY\SYSTEM.
Najważniejsze w tym scenariuszu jest to, że zagrożenie nie wynika wyłącznie z podłączenia złośliwego nośnika czy klasycznego urządzenia HID. Problem dotyczy szerszego modelu zaufania do podpisanych pakietów sterowników i narzędzi towarzyszących, które Windows może automatycznie pobrać oraz uruchomić podczas instalacji sprzętu.
W skrócie
- Atak wykorzystuje emulowane urządzenia USB do wywołania instalacji sterowników i komponentów producenta.
- Jeśli pakiet zawiera podatny instalator, usługę, współinstalator lub mechanizm ładowania plików, możliwa jest eskalacja do SYSTEM.
- Część scenariuszy nie wymaga aktywnej interakcji użytkownika.
- Pokazano także wariant zdalny z użyciem przekierowania USB przez RDP.
- Wyłączenie pojedynczych elementów, takich jak współinstalatory, ogranicza ryzyko, ale nie usuwa całego problemu.
Kontekst / historia
Od lat wiadomo, że automatyczna instalacja oprogramowania po podłączeniu sprzętu potrafi tworzyć trudną do oszacowania powierzchnię ataku. W przeszłości analizowano już przypadki, w których oprogramowanie dostarczane razem z urządzeniami peryferyjnymi dawało możliwość wykonania kodu z wysokimi uprawnieniami.
Nowe badania rozwijają ten model zagrożenia i przesuwają akcent z pojedynczej podatności producenta na sam mechanizm identyfikacji urządzenia, dopasowania pakietu sterownika i uruchamiania dodatkowych komponentów w uprzywilejowanym kontekście. Istotną zmianą jest również to, że atak nie musi wykorzystywać rzeczywistego urządzenia końcowego. Wystarczy odpowiednio przygotowana emulacja deskryptorów USB, aby system rozpoznał sprzęt jako zgodny i uruchomił standardową ścieżkę instalacji.
Analiza techniczna
Mechanizm Plug and Pwn opiera się na sposobie, w jaki Windows obsługuje nowo wykryty sprzęt. Po enumeracji urządzenia system analizuje jego identyfikatory, wyszukuje właściwy pakiet sterownika i może pobrać podpisane składniki wraz z dodatkowymi modułami producenta. Z punktu widzenia bezpieczeństwa oznacza to, że zaufanie do podpisanego pakietu nie musi obejmować całego łańcucha instalacyjnego.
W testach badacze używali narzędzi do emulacji urządzeń USB, aby podszyć się pod konkretne modele sprzętu. Dzięki temu możliwe było kontrolowanie deskryptorów, klas urządzeń, interfejsów oraz procesu ponownej enumeracji. Ten etap ma duże znaczenie, ponieważ pozwala doprowadzić do sytuacji, w której Windows dopasuje inny pakiet producenta niż domyślny sterownik systemowy.
Jeden z opisanych łańcuchów ataku składa się z kilku kroków. Najpierw emulowane urządzenie inicjuje instalację pakietu, który może posłużyć do modyfikacji ustawień DNS. Następnie instalowane jest inne oprogramowanie producenta pobierające pliki przez słabo zabezpieczony kanał. Po przejęciu kontroli nad rozwiązywaniem nazw atakujący może przekierować pobieranie do własnej infrastruktury i dostarczyć złośliwy plik zapisywany z uprawnieniami SYSTEM. Ostatnia faza polega na wywołaniu komponentu, który ładuje spreparowany plik i uruchamia kod atakującego.
Szczególnie niepokojący jest wariant „NoPlug & Pwn”, w którym nie trzeba fizycznie podłączać urządzenia do komputera ofiary. Wykorzystuje się tu przekierowanie USB przez RDP, dzięki czemu host zdalny może zobaczyć logiczne urządzenie obecne po stronie klienta. Jeśli po stronie docelowej uruchomiony zostanie ten sam proces dopasowania sterownika i instalacji podatnych komponentów, rezultat może być identyczny jak przy ataku lokalnym, czyli uzyskanie uprawnień SYSTEM.
Ważne jest także to, że samo wyłączenie współinstalatorów nie rozwiązuje całej klasy problemów. Ogranicza ono część scenariuszy, lecz nadal pozostają aktywne takie elementy jak enumeracja PnP, obsługa plików INF, instalacja usług definiowanych w pakietach sterowników czy pobieranie składników przez Windows Update. To sugeruje problem o charakterze architektonicznym, a nie wyłącznie pojedynczy błąd implementacyjny.
Konsekwencje / ryzyko
Z punktu widzenia organizacji Plug and Pwn jest zagrożeniem wysokiej wagi, ponieważ prowadzi do lokalnej eskalacji uprawnień do najwyższego poziomu dostępnego w systemie Windows. Dodatkowo część scenariuszy może przebiegać bez kliknięć użytkownika, co utrudnia wykrycie incydentu i skraca czas potrzebny na kompromitację stacji roboczej lub serwera.
Ryzyko rośnie szczególnie w środowiskach, w których dopuszczono przekierowanie urządzeń przez RDP, wdrożono VDI, korzysta się ze stacji współdzielonych albo utrzymuje systemy kiosków i punkty obsługi. W takich miejscach atakujący może wykorzystać zaufanie do automatycznej instalacji urządzeń bez wzbudzania natychmiastowych podejrzeń.
Dodatkowym wyzwaniem jest trudność w ocenie faktycznej ekspozycji. Nawet w pełni aktualny system operacyjny może pozostać podatny, jeśli którykolwiek z dopuszczonych pakietów sterowników lub komponentów producenta zawiera niebezpieczny element możliwy do połączenia z zachowaniem systemu. W praktyce oznacza to, że samo regularne aktualizowanie Windows nie jest wystarczającą strategią ograniczania ryzyka.
Rekomendacje
Organizacje powinny podejść do tego zagrożenia warstwowo, łącząc polityki urządzeń, twarde ustawienia systemu oraz monitoring ścieżek instalacji sterowników.
- Rozważyć wyłączenie współinstalatorów, pamiętając, że jest to środek ograniczający jedynie część scenariuszy.
- Ograniczyć możliwość instalowania urządzeń do konkretnych klas, identyfikatorów sprzętowych lub list dozwolonych urządzeń.
- Zablokować lub mocno ograniczyć automatyczne pobieranie dodatkowych pakietów sterowników i oprogramowania producentów tam, gdzie nie jest to konieczne.
- Przeanalizować konfigurację RDP oraz VDI i wyłączyć przekierowanie USB lub Plug and Play, jeśli nie jest wymagane biznesowo.
- Inwentaryzować pakiety sterowników dopuszczone w organizacji i testować ich zachowanie w środowisku laboratoryjnym.
- Usuwać zbędne narzędzia producentów, które nie są konieczne do podstawowego działania urządzeń.
Z perspektywy detekcji warto monitorować nagłe instalacje nowych urządzeń, uruchamianie procesów instalacyjnych w kontekście SYSTEM po zdarzeniach PnP, nieuzasadnione zmiany ustawień DNS, nietypowe pobrania plików przez komponenty producentów oraz użycie przekierowania USB w sesjach RDP na hostach, które zwykle z tej funkcji nie korzystają.
Podsumowanie
Plug and Pwn pokazuje, że zaufane, podpisane pakiety sterowników nadal mogą stać się nośnikiem eskalacji uprawnień, jeśli proces ich wdrażania uruchamia podatne komponenty producenta z uprawnieniami SYSTEM. Zagrożenie rozszerza klasyczny model ryzyka związanego z USB o emulację urządzeń i scenariusze zdalne przez RDP.
Najskuteczniejsza obrona wymaga połączenia restrykcyjnych polityk instalacji urządzeń, ograniczenia przekierowania USB, redukcji użycia dodatkowych komponentów producentów oraz monitorowania nietypowych zdarzeń Plug and Play. Dla zespołów SOC i administratorów Windows to wyraźny sygnał, że bezpieczeństwo sterowników i ścieżek instalacji urządzeń powinno być traktowane jako obszar krytyczny.