Plug-and-Pwn-Angriff nutzt gefälschte USB-Geräte für SYSTEM-Zugriff unter Windows

Sicherheitsforscher haben Plug and Pwn offengelegt, eine neue Angriffstechnik, die Windows Plug and Play missbraucht, um anfällige Hersteller-Software zu installieren und Zugriff auf SYSTEM-Ebene zu erlangen. Die Angriffe können emulierte USB-Geräte verwenden, während eine der Demonstrationen aus der Ferne über die USB-Umleitung von RDP funktioniert, ohne dass physische Hardware mit dem Zielsystem verbunden werden muss.

Windows kann Hersteller-Software als SYSTEM installieren

Windows Plug and Play erkennt automatisch neue Hardware, sucht nach passenden Treibern und installiert Hersteller-Software, wenn ein Gerät angeschlossen wird. Teile dieses Installationsprozesses können mit NT AUTHORITY\SYSTEM-Rechten ausgeführt werden.

Die Forscher Alejandro Hernando und Borja Martínez stellten fest, dass ein Angreifer diesen vertrauenswürdigen Prozess missbrauchen kann, indem er Windows glauben lässt, dass ein bestimmtes USB-Gerät angeschlossen wurde.

Findet Windows ein passendes signiertes Treiberpaket, kann das System vom Hersteller bereitgestellte Treiber, Dienste, Support-Tools oder Co-Installer mit SYSTEM-Rechten installieren. Dadurch kann ein Weg zur Rechteausweitung entstehen, wenn eine dieser Komponenten eine Schwachstelle oder unsicheres Verhalten aufweist.

Der Plug-and-Pwn-Angriff basiert nicht auf einer einzelnen Schwachstelle eines Herstellers. Stattdessen zielt er auf den umfassenderen Prozess der Geräteinstallation unter Windows ab und kombiniert Schwachstellen in Softwarepaketen, die Windows automatisch installiert.

Gefälschte USB-Hardware kann Zero-Click-Angriffe auslösen

Die Forscher verwendeten FaceDancer, ein Framework zur softwarebasierten Emulation von USB-Geräten. Ihr Aufbau nutzte FaceDancer-kompatible Hardware, die mit einem kleinen Linux-Computer verbunden war.

Durch die Definition der USB-Deskriptoren, Schnittstellen und Endpunkte eines Geräts kann die Hardware gegenüber Windows als echtes Gerät eines ausgewählten Herstellers erscheinen. Windows identifiziert anschließend die emulierte Hardware und lädt das zugehörige Treiberpaket herunter.

Einige Angriffsketten erfordern, dass das gefälschte Gerät getrennt wird und anschließend mit einer anderen Identität erneut erscheint. Dadurch können Angreifer mehrere Softwareinstallationen in einer bestimmten Reihenfolge auslösen.

Bei einer physischen Demonstration kombinierte das Team Schwachstellen in Installationspaketen von Sierra Wireless und Sony FeliCa. Der Angriff imitierte zunächst ein Sierra-Wireless-Gerät, wodurch die Angreifer die DNS-Einstellungen des Zielcomputers verändern konnten.

Anschließend imitierte das Gerät ein Sony-FeliCa-Gerät. Windows installierte Sony-Software, die Dateien über eine unverschlüsselte Verbindung herunterlud. Die manipulierten DNS-Einstellungen leiteten den Download auf einen von den Angreifern kontrollierten Server um, wodurch eine schädliche Datei mit SYSTEM-Rechten auf dem System abgelegt werden konnte.

Schließlich erschien das gefälschte Sierra-Gerät erneut und löste das Laden der schädlichen Datei aus. Den Forschern zufolge funktionierte die gesamte Angriffskette gegen ein vollständig aktualisiertes Windows-11-Gerät ohne angemeldeten Nutzer und dauerte etwa fünf Minuten.

NoPlug and Pwn missbraucht USB-Umleitung über RDP

Die Forscher demonstrierten außerdem eine Remote-Variante namens NoPlug and Pwn. Dabei muss kein physisches USB-Gerät mit dem Zielcomputer verbunden werden.

Stattdessen missbraucht der Angriff die USB-Umleitung über RDP, mit der USB-Geräte eines lokalen Computers innerhalb einer entfernten Windows-Sitzung verwendet werden können. Die Forscher entwickelten einen Python-basierten RDP-Client, der ausgewählte USB-Deskriptoren über diese Funktion übermittelt.

Das entfernte Windows-System behandelt die Deskriptoren anschließend wie ein legitim angeschlossenes Gerät. Plug and Play erstellt das Gerät, sucht nach einem passenden Paket und installiert die zugehörige Hersteller-Software als SYSTEM.

Bei der Demonstration imitierten die Forscher eine Intel-RealSense-Kamera. Deren Windows-Update-Paket enthielt einen Co-Installer, der durch DLL-Hijacking missbraucht werden konnte, um SYSTEM-Rechte zu erlangen.

Diese Variante des Plug-and-Pwn-Angriffs funktioniert nur, wenn die USB-Umleitung über RDP aktiviert ist. Den Forschern zufolge ist diese Einstellung in VDI-Umgebungen weit verbreitet.

Deaktivierung von Co-Installern reduziert bestimmte Risiken

Will Dormann empfahl Administratoren, die Windows-Registrierungseinstellung DisableCoInstallers zu aktivieren. Dadurch wird verhindert, dass Treiberpakete während der Geräteinstallation Co-Installer ausführen.

Hernando erklärte, dass diese Maßnahme Teile der demonstrierten Angriffe blockieren würde, darunter die Sony-FeliCa-Angriffskette und den Intel-RealSense-Angriff über RDP. Die zugrunde liegende Angriffsfläche wird dadurch jedoch nicht vollständig beseitigt.

Windows kann weiterhin Plug-and-Play-Geräte erkennen, Pakete über Windows Update beziehen, Treiber bereitstellen, INF-Dateien verarbeiten und in Treiberpaketen definierte Dienste installieren.

Die Forscher demonstrierten außerdem einen Angriff mit Paketen von Wacom und Atheros. Diese Angriffskette nutzte CVE-2019-10617 in einem Atheros-Treiberdienst aus, der über eine INF-Datei statt über einen Co-Installer installiert wurde.

Organisationen sollten Möglichkeiten zur Geräteinstallation einschränken

Die Forscher empfehlen, DisableCoInstallers mit strengeren Kontrollen für die Geräteinstallation auf sensiblen Systemen zu kombinieren. Zulassungslisten für Hardware-IDs und Einschränkungen bei der Geräteinstallation können verhindern, dass nicht autorisierte Geräte automatische Softwareinstallationen auslösen.

Organisationen sollten außerdem die Umleitung von Plug-and-Play-Geräten auf RDP- und VDI-Hosts deaktivieren, wenn diese Funktion nicht benötigt wird. Die Einschränkung der USB-Umleitung reduziert das Risiko von Remote-Angriffen, bei denen Hardware über eine RDP-Sitzung emuliert wird.

Der Plug-and-Pwn-Angriff zeigt, dass vertrauenswürdige Prozesse zur Geräteinstallation zu einem Risiko für Rechteausweitungen werden können, wenn sie automatisch unsichere Herstellerkomponenten mit SYSTEM-Rechten ausführen.