Nieuwe ‘Plug and Pwn’-aanvallen misbruiken Windows Plug and Play

Beveiligingsonderzoekers hebben nieuwe ‘Plug and Pwn’-aanvallen onthuld die gebruikmaken van de Windows Plug and Play-functie. Hiermee wordt Windows misleid om kwetsbare of onveilige software van leveranciers te installeren, waardoor systeemprivileges kunnen worden verkregen.

Tijdens DEF CON 34 toonden onderzoekers Alejandro Hernando en Borja Martínez aan hoe Windows automatisch nieuwe hardware herkent, bijpassende drivers vindt en leverancierssoftware als systeemaccount installeert.

Door software te gebruiken om USB-apparaten te emuleren, ontdekten ze dat Windows zo kon worden gedwongen om kwetsbare, ondertekende pakketten te installeren die systeemprivileges mogelijk maken.

Een aantal aanvallen vereisen geen enkele gebruikers-interactie, terwijl een andere op afstand kan worden uitgevoerd zonder fysieke USB-hardware, via RDP.

Misbruik van Windows Plug and Play

Windows biedt co-installers, die automatisch software en drivers van leveranciers downloaden en installeren bij het aansluiten van nieuwe USB-apparaten. In 2021 werd aangetoond hoe deze functie samen met een Razer-vulnerability kon worden misbruikt om systeemrechten te verkrijgen door eenvoudigweg een Razer-muis of -toetsenbord aan te sluiten.

Windows startte de Razer Synapse installer met systeemrechten, en een fout hierin stelde een standaardgebruiker in staat om PowerShell met dezelfde rechten te starten.

Onderzoeker Will Dormann waarschuwde destijds al dat soortgelijke kwetsbaarheden ook in andere softwarebestanden aanwezig konden zijn. Hernando verklaarde dat Plug and Pwn bij dezelfde familie van aanvallen hoort, maar zich richt op het installatiepad van de apparaten zelf.

De hoofdoorzaak is dat Windows bij detectie van nieuwe hardware een ondertekend pakket ophaalt en uitvoert als systeem.

Van valse USB-apparaten tot RDP-aanvallen

Door FaceDancer, een framework om USB-apparaten te emuleren, te gebruiken, konden de onderzoekers het systeem voor de gek houden zodat het dacht dat specifieke USB-apparaten waren aangesloten. Windows herkende en installeerde vervolgens de bijhorende drivers en software.

In een fysiek demonstratie misbruikten ze gedrag in installatiepakketten van Sierra Wireless en Sony FeliCa. Dit gebeurde door het apparaat te laten lijken op een ander, en zo het systeem stapsgewijs te laten denken dat er verschillende voorwaarden golden. Hierdoor kon schadelijke software als systeem worden geplaatst en uitgevoerd.

Daarnaast toonden ze ‘NoPlug & Pwn’ aan, waarbij geen fysieke hardware nodig is. Via RDP USB-omleiding simuleerden ze usb-apparaten om zo door Windows als echt herkend te worden. Op deze manier werd zelfs een Intel RealSense-camera nagebootst om systeemrechten te verkrijgen via DLL-kaping.

Beperkingen en verdediging

Will Dormann adviseerde Windows-beheerders om ‘DisableCoInstallers’ in te schakelen via de registerinstellingen om de uitvoer van co-installers te blokkeren. Hoewel dit sommige aanvallen kan verstoren, elimineert het niet het onderliggende probleem.

Onderzoekers benadrukken dat systeembeheerders naast ‘DisableCoInstallers’ ook moeten zorgen voor installatiebeperkingen van apparaten en moeten voorkomen dat PnP-apparaten omgeleid worden op RDP- en VDI-hosts. Veel van de scenario’s zijn niet als nieuwe kwetsbaarheden gemeld, omdat ze pas door combinaties van functies exploiteerbaar worden.

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.