Ricercatori di sicurezza hanno svelato nuovi attacchi Plug and Pwn che sfruttano la funzione Plug and Play di Windows per installare software vulnerabile e ottenere privilegi SYSTEM, anche senza interazione dell'utente o hardware fisico.
Nuove tecniche di attacco denominate "Plug and Pwn" sono state presentate da Alejandro Hernando e Borja Martínez durante DEF CON 34, mostrando come la funzione Plug and Play di Windows possa essere sfruttata per ottenere privilegi SYSTEM. Gli attaccanti possono emulare dispositivi USB tramite software, inducendo Windows a installare pacchetti driver firmati ma vulnerabili, che vengono eseguiti con i massimi privilegi.
Questi attacchi possono essere condotti senza alcuna interazione dell'utente e, in alcuni casi, anche senza che sia presente un utente loggato. Una variante particolarmente insidiosa permette l'esecuzione remota tramite RDP, senza la necessità di collegare fisicamente un dispositivo USB al computer bersaglio.
Come funziona l'attacco Plug and Pwn
Windows, tramite la funzione co-installer, scarica e installa automaticamente driver e software forniti dai vendor quando rileva un nuovo dispositivo USB. In passato, vulnerabilità simili erano già state sfruttate, come nel caso di Razer Synapse, dove bastava collegare un mouse o una tastiera Razer per ottenere privilegi SYSTEM. La nuova ricerca si concentra però sul percorso di installazione dei dispositivi, non su un singolo vendor.
Hernando ha spiegato che la vulnerabilità nasce dal fatto che Windows, rilevando nuovo hardware, può scaricare pacchetti firmati e lanciare componenti forniti dal vendor come SYSTEM, senza mostrare alcun prompt UAC. Questo processo coinvolge co-installer, servizi, eseguibili di supporto e driver.
Emulazione hardware e catene di attacco
I ricercatori hanno utilizzato hardware come FaceDancer con Cynthion e GreatFET, collegati a un piccolo computer Linux, per emulare dispositivi USB. FaceDancer permette di definire le caratteristiche del dispositivo emulato, facendo credere a Windows di aver collegato un hardware reale. Alcune catene di attacco richiedono che il dispositivo emulato si disconnetta e si riconnetta con una nuova identità, sfruttando la gestione dei dispositivi compositi da parte di Windows.
In una dimostrazione fisica senza click, sono stati sfruttati i pacchetti di installazione di Sierra Wireless e Sony FeliCa. Prima si emula un dispositivo Sierra Wireless per installare software che consente di modificare le impostazioni DNS, poi si emula un Sony FeliCa per installare software Sony che scarica file tramite connessione non cifrata. Manipolando il DNS, i ricercatori reindirizzano i download verso un server controllato, sfruttando una vulnerabilità per depositare un file malevolo con privilegi SYSTEM. Infine, tornando a emulare Sierra, il file viene caricato e consente l'apertura di una shell inversa SYSTEM. L'attacco è stato eseguito su Windows 11 aggiornato e senza utenti loggati, richiedendo circa cinque minuti.
Attacchi remoti e limiti dei dispositivi portatili
Oltre agli attacchi fisici, è stata dimostrata la tecnica "NoPlug & Pwn", che sfrutta la redirezione USB di RDP. In questo caso, un client Python RDP invia descrittori USB specifici tramite la funzione di redirezione, facendo credere al sistema remoto di aver collegato un dispositivo USB. Windows installa quindi i driver e il software associato, che può essere vulnerabile. Un esempio riguarda una webcam Intel RealSense, il cui pacchetto Windows Update contiene un co-installer vulnerabile a DLL hijacking, permettendo l'escalation a SYSTEM.
Questa tecnica funziona solo se la redirezione USB è abilitata, una configurazione comune negli ambienti VDI. Hernando ha precisato che dispositivi come Raspberry Pi possono teoricamente essere usati per questi attacchi, mentre Flipper Zero non è compatibile con FaceDancer.
Mitigazioni e rischi residui
Will Dormann suggerisce agli amministratori Windows di abilitare la chiave di registro 'DisableCoInstallers' per bloccare l'esecuzione dei co-installer durante l'installazione dei driver. Questa misura può interrompere alcune catene di attacco, come quelle che coinvolgono Sony FeliCa e Intel RealSense, ma non elimina completamente la superficie d'attacco. Rimangono infatti vulnerabili altri percorsi, come l'installazione di servizi tramite file INF, come dimostrato con i pacchetti Wacom e Atheros (CVE-2019-10617).
Hernando raccomanda, soprattutto per sistemi sensibili, di combinare 'DisableCoInstallers' con restrizioni sull'installazione dei dispositivi e di disabilitare la redirezione PnP su host RDP e VDI non necessari. I ricercatori non hanno segnalato tutte le catene di attacco ai vendor, poiché molte non rappresentano vulnerabilità isolate ma diventano pericolose solo se combinate con altre funzionalità.
Plug and Pwn e la catena di fornitura
Questi attacchi evidenziano come la catena di fornitura software e la gestione automatica dei driver rappresentino un rischio crescente per la sicurezza dei sistemi Windows. Tematiche simili sono emerse anche in altri contesti, come nel caso di un attacco supply-chain ai plugin BdThemes per WordPress, dove la compromissione di un feed remoto ha permesso la creazione di account amministratore non autorizzati: un esempio recente di come la fiducia nei processi automatici possa essere sfruttata dagli attaccanti.
