Ataque Plug and Pwn explora USB para instalar malware

O ataque Plug and Pwn aproveita o conceito Plug and Play para instalar malware.

Investigadores de segurança revelaram uma nova classe de ataques chamada "Plug and Pwn", que explora o funcionamento automático do Windows Plug and Play para instalar software de fabricantes com privilégios elevados. Ao fazer o sistema acreditar que foi ligado determinado dispositivo USB, um atacante pode levar o Windows a procurar e instalar drivers que podem conter vulnerabilidades exploráveis para obter privilégios de sistema.

A técnica foi apresentada na DEF CON 34 e pode ser realizada através de hardware capaz de emular dispositivos USB, dispensando o uso de dispositivos reais. Os investigadores utilizaram ferramentas como FaceDancer e pequenas plataformas Linux para fazer com que o Windows identificasse o equipamento falso como dispositivos reais. Numa das demonstrações, a técnica permitiu manipular as definições DNS e redireccionar downloads, acabando por executar código malicioso com privilégios SYSTEM num Windows 11 totalmente actualizado e sem qualquer utilizador autenticado.

Existe ainda uma variante particularmente preocupante chamada “NoPlug & Pwn”, que não precisa sequer de hardware USB físico. Através de RDP e da funcionalidade de USB redirection, os investigadores conseguiram simular dispositivos falsos num computador remoto. O Windows tratou o dispositivo como legítimo e iniciou automaticamente o processo de instalação, permitindo explorar uma vulnerabilidade num pacote associado a uma câmara Intel RealSense. Neste caso, o ataque fica dependente de se ter o USB redirection activado, mas sendo algo relativamente comum em ambientes de virtualização e de acesso remoto.

Até que haja alterações por parte da Microsoft, a possível defesa passa por aplicar restrições à instalação de dispositivos, listas de hardware autorizado, e a desactivação do PnP device redirection em servidores RDP e VDI onde tal não seja absolutamente necessário.