Plug and Play

Pesquisadores de segurança revelaram novos ataques conhecidos como “Plug and Pwn”, que exploram a funcionalidade Plug and Play do Windows para instalar software vulnerável ou inseguro de fornecedores, obtendo privilégios de SYSTEM. Apresentado na DEF CON 34 por Alejandro Hernando e Borja Martínez, o ataque se aproveita do modo como o Windows identifica automaticamente novos dispositivos de hardware conectados, localiza pacotes de drivers correspondentes e instala software de fornecedor com privilégios elevados. Os pesquisadores demonstraram que, utilizando dispositivos USB emulados, é possível forçar o Windows a instalar pacotes de drivers assinados que contêm componentes exploráveis. Alguns ataques não requerem interação do usuário, enquanto outros podem ser realizados remotamente via RDP, sem a necessidade de hardware USB físico. A pesquisa destaca que a instalação automática de co-instaladores e serviços pode ocorrer sem qualquer aviso do Controle de Conta de Usuário (UAC), representando um risco significativo. Para mitigar esses ataques, recomenda-se desabilitar co-instaladores no registro do Windows, embora isso não elimine completamente a superfície de ataque. O estudo ressalta a necessidade de atenção redobrada por parte dos administradores de sistemas e CISOs, especialmente em ambientes onde a redireção USB via RDP é comum.

Pesquisadores de segurança, Alejandro Hernando e Borja Martinez, revelaram uma vulnerabilidade crítica no Windows Plug and Play (PnP) que pode ser explorada para executar código com privilégios de sistema em máquinas com Windows 11 totalmente atualizadas. A técnica, apresentada na DEF CON 34, permite que um usuário não privilegiado transforme o caminho de instalação do PnP em uma execução de código com acesso ao sistema. O ataque pode ser realizado tanto fisicamente, emulando dispositivos USB, quanto remotamente via Remote Desktop, desde que a redireção de USB esteja habilitada. Os pesquisadores demonstraram que, ao emular um dispositivo Sierra Wireless, o Windows instala um serviço que pode ser manipulado para redirecionar o DNS. Além disso, uma falha de travessia de caminho permite que um DLL malicioso seja colocado na pasta System32, resultando em acesso total ao sistema. Embora a Microsoft afirme que a redireção USB não é permitida por padrão, administradores devem estar cientes das configurações que podem permitir essa vulnerabilidade. O estudo destaca a necessidade de monitorar e restringir a instalação de dispositivos, especialmente em ambientes corporativos.