Ataques Plug and Pwn

Pesquisadores de segurança revelaram novos ataques conhecidos como “Plug and Pwn”, que exploram a funcionalidade Plug and Play do Windows para instalar software vulnerável ou inseguro de fornecedores, obtendo privilégios de SYSTEM. Apresentado na DEF CON 34 por Alejandro Hernando e Borja Martínez, o ataque se aproveita do modo como o Windows identifica automaticamente novos dispositivos de hardware conectados, localiza pacotes de drivers correspondentes e instala software de fornecedor com privilégios elevados. Os pesquisadores demonstraram que, utilizando dispositivos USB emulados, é possível forçar o Windows a instalar pacotes de drivers assinados que contêm componentes exploráveis. Alguns ataques não requerem interação do usuário, enquanto outros podem ser realizados remotamente via RDP, sem a necessidade de hardware USB físico. A pesquisa destaca que a instalação automática de co-instaladores e serviços pode ocorrer sem qualquer aviso do Controle de Conta de Usuário (UAC), representando um risco significativo. Para mitigar esses ataques, recomenda-se desabilitar co-instaladores no registro do Windows, embora isso não elimine completamente a superfície de ataque. O estudo ressalta a necessidade de atenção redobrada por parte dos administradores de sistemas e CISOs, especialmente em ambientes onde a redireção USB via RDP é comum.