Plug and Pwn: Abusando do Mecanismo Plug-and-Play para Obter Acesso SYSTEM

A pesquisa Plug and Pwn demonstra uma nova classe de ataques na qual um invasor abusa do mecanismo Plug-and-Play integrado no Windows para instalar automaticamente drivers e componentes OEM com NT AUTHORITY\SYSTEM. O ataque depende da emulação de dispositivos USB com IDs de hardware falsificados, fazendo com que o SO carregue e execute componentes potencialmente vulneráveis sem interação do usuário. Como resultado, o invasor pode escalar privilégios não explorando o kernel, mas abusando da cadeia de instalação de drivers confiáveis.

Uma característica chave é a capacidade de construir cadeias de exploração (co-installers, DLL hijacking, downloads inseguros) que permitem controle total do sistema mesmo em uma instalação Windows totalmente atualizada. Além do cenário físico, a pesquisa inclui uma variante NoPlug & Pwn, na qual o ataque é realizado remotamente através do redirecionamento USB do RDP, acionando o mesmo processo de instalação de driver. Assim, o trabalho destaca um problema sistêmico no ecossistema de drivers do Windows, onde pacotes assinados e desatualizados permanecem disponíveis e podem ser usados para comprometimento privilegiado.

Artigo: https://plugandpwn.com/