USB malicioso consegue assumir controle total de PCs com Windows 11 por meio do Plug and Play
Pesquisadores de segurança revelaram uma técnica que transforma um simples dispositivo USB em uma porta de entrada para o controle completo de um computador com Windows 11 totalmente atualizado. A abordagem explora o mecanismo legítimo de instalação automática de dispositivos Plug and Play (PnP), convertendo-o em um vetor de execução de código com privilégios SYSTEM – o nível mais alto de permissão no sistema operacional.
O estudo, batizado de “Plug And Pwn: Weaponizing Windows PnP Auto-Install”, foi conduzido por Alejandro Hernando e Borja Martinez e apresentado na DEF CON 34. Em vez de depender de dispositivos físicos tradicionais, os pesquisadores desenvolveram ferramentas capazes de emular praticamente qualquer tipo de hardware USB. A partir dessa emulação, o Windows é induzido a localizar, baixar e instalar automaticamente softwares legítimos, assinados digitalmente por diferentes fabricantes, que então são explorados como parte da cadeia de ataque.
O ponto central do ataque está no comportamento normal do Plug and Play. Quando um novo dispositivo USB é conectado, o Windows coleta identificadores de hardware e de compatibilidade fornecidos pelo próprio dispositivo. Com base nesses identificadores, o sistema operacional procura um pacote de driver adequado, seja localmente ou em repositórios confiáveis. Em circunstâncias comuns, esse processo é transparente ao usuário e seguro; porém, os pesquisadores demonstraram que, ao combinar softwares privilegiados instalados por esse mecanismo com vulnerabilidades presentes em componentes de terceiros, é possível escalar privilégios até SYSTEM.
Na prova de conceito física, os pesquisadores montaram uma cadeia de exploração em etapas. Primeiro, emularam um dispositivo da Sierra Wireless. Ao reconhecer o hardware, o Windows inicia a instalação e passa a executar o serviço SwiService.exe, rodando com privilégios SYSTEM. Esse serviço expõe uma funcionalidade chamada SetDNS, que permite alterar ou redirecionar consultas DNS. Embora esse recurso tenha sido projetado para fins legítimos, ele se torna um elemento estratégico para o ataque ao permitir que o tráfego DNS da máquina seja manipulado.
Na sequência, os pesquisadores emularam um leitor Sony FeliCa. Conforme detalhado na pesquisa, o co-instalador vinculado a esse dispositivo busca arquivos de configuração por meio de conexões HTTP sem criptografia. Além disso, o caminho da URL é utilizado diretamente para determinar o nome dos arquivos que serão salvos localmente no sistema. Esse desenho abre espaço para um cenário perigoso: uma vulnerabilidade de path traversal permite manipular o caminho de gravação desses arquivos de forma a forçar que uma DLL maliciosa seja colocada dentro do diretório System32, um dos mais sensíveis do Windows.
Com a DLL maliciosa posicionada em System32, o passo final é reconectar o dispositivo emulado da Sierra Wireless. No processo de inicialização do serviço legítimo, a biblioteca plantada é carregada como se fizesse parte do ambiente normal de execução, o que resulta na execução de código arbitrário com privilégios SYSTEM. Na prática, isso significa que um atacante pode assumir controle total da máquina: instalar outros malwares, desativar soluções de segurança, criar usuários administrativos e movimentar-se lateralmente pela rede.
A demonstração foi feita em um Windows 11 totalmente em dia com as atualizações de segurança disponíveis no momento da pesquisa. Os autores, entretanto, são cautelosos: eles não garantem que a mesma cadeia funcione de forma idêntica em outras edições ou versões do Windows, motivo pelo qual os resultados não devem ser automaticamente extrapolados para todo o ecossistema Microsoft. Pequenas diferenças de configuração, builds específicas ou mudanças de política de driver podem inviabilizar ou alterar detalhes do ataque.
Além da cadeia física usando USB, o estudo também descreve uma variante remota que elimina a necessidade de conectar um dispositivo diretamente na máquina-alvo. Nessa segunda abordagem, o tráfego USB é sintetizado por meio de uma sessão de Remote Desktop Protocol (RDP). Isso só é possível quando recursos de redirecionamento Plug and Play ou de redirecionamento USB em nível baixo estão habilitados no ambiente. Em outras palavras, o atacante se aproveita da capacidade do RDP de “encaminhar” dispositivos conectados no cliente para a sessão remota.
Para essa prova de conceito, os pesquisadores criaram um cliente em Python capaz de falsificar a identidade de um dispositivo USB e apresentar ao Windows um hardware Intel RealSense virtual. Ao enxergar esse dispositivo, o sistema dispara o fluxo normal de instalação dos drivers e softwares associados ao RealSense, como se um dispositivo físico tivesse sido realmente conectado.
A partir daí, entra em cena uma falha específica no software do Intel RealSense. Segundo a pesquisa, o pacote instalado pode ser explorado por meio de uma técnica clássica: o sequestro da ordem de carregamento da biblioteca CRYPTBASE.dll. Se o aplicativo procurar essa DLL em um diretório onde o usuário tenha permissão de escrita, torna-se possível substituir ou inserir uma versão maliciosa do arquivo, que será carregada automaticamente. Com isso, mesmo um usuário autenticado com poucos privilégios passa a conseguir executar código com nível SYSTEM.
Essa variante remota, porém, é mais dependente de configuração do que o ataque físico. A Microsoft afirma que, por padrão, o Remote Desktop Services não autoriza o redirecionamento de dispositivos Plug and Play compatíveis nem de dispositivos USB via RemoteFX. Além disso, o encaminhamento de USB em baixo nível só funciona se o redirecionamento Plug and Play tiver sido explicitamente ativado. Em muitos ambientes corporativos, essas funções costumam ser mantidas desabilitadas justamente por questões de segurança.
No cenário físico, existe também uma limitação prática importante: o atacante precisa conseguir apresentar o dispositivo USB emulado à máquina-alvo. Isso pode significar acesso físico direto ao computador, comprometimento prévio de um dispositivo intermediário (como um thin client) ou uso de um adaptador conectado por alguém interno à organização. Esse requisito reduz o alcance do ataque, mas não o torna irrelevante – especialmente em ambientes onde há grande circulação de pessoas ou pouca vigilância sobre portas USB.
Do ponto de vista defensivo, os administradores que não dependem de redirecionamento de dispositivos em ambientes RDP podem simplesmente manter esses recursos desativados, reduzindo significativamente a superfície de ataque. O Windows oferece ainda um conjunto robusto de políticas para restringir a instalação de dispositivos com base em identificadores de hardware, IDs compatíveis, instâncias específicas e classes de dispositivos. Em servidores Remote Desktop, essas mesmas regras também podem ser aplicadas para bloquear ou limitar dispositivos redirecionados a partir de estações de trabalho remotas.
A pesquisa ilustra com clareza um problema estrutural: mecanismos profundamente integrados ao sistema – como o PnP – confiam em drivers e softwares assinados de terceiros. Quando esses componentes possuem falhas, o atacante consegue “encadear” recursos legítimos e de alto privilégio do Windows com vulnerabilidades externas para construir uma rota de elevação de privilégios. O estudo destaca especificamente pacotes relacionados a Sierra Wireless, Sony e Intel, mas os próprios autores enfatizam que os detalhes técnicos permanecem vinculados à pesquisa até que existam confirmações ou documentações independentes dos fabricantes sobre essas condições.
Para empresas e equipes de TI, o caso serve como alerta sobre a importância de uma política clara de uso de dispositivos USB e de controle de drivers. Não se trata apenas de bloquear pendrives comuns, mas de revisar regras de instalação automática, limitar o uso de hardware desconhecido e monitorar continuamente quais drivers estão sendo adicionados ao ambiente. Em estações críticas e servidores sensíveis, pode ser recomendável adotar listas de permissão (allowlist) de dispositivos e fabricantes autorizados, evitando a instalação automática de qualquer componente que não esteja previamente aprovado.
Outra camada de proteção envolve supervisão de diretórios sensíveis, como System32, e monitoramento de bibliotecas DLL em locais onde usuários comuns possuem permissão de escrita. Soluções de segurança com foco em detecção de comportamento anômalo podem identificar tentativas de path traversal, criação suspeita de DLLs em pastas de sistema e padrões de instalação incomum de drivers. Embora esses controles não impeçam a exploração de todas as vulnerabilidades, eles podem reduzir a janela de tempo em que um atacante permanece despercebido após comprometer a máquina.
É igualmente importante considerar o fator humano. Campanhas de conscientização podem incluir orientações específicas sobre riscos de conectar dispositivos desconhecidos ou fornecidos por terceiros, mesmo quando aparentam ser equipamentos legítimos, como adaptadores de rede, leitores de cartão ou dispositivos de autenticação. Em muitos ataques físicos, o elo fraco é justamente o usuário que conecta algo aparentemente inofensivo à estação de trabalho.
A médio prazo, o episódio tende a pressionar fabricantes de hardware e software a revisarem cuidadosamente seus instaladores, co-instaladores e serviços associados a drivers. Falhas como download de arquivos de configuração por HTTP sem criptografia, uso de caminhos de URL sem validação rigorosa ou busca de DLLs em diretórios graváveis pelo usuário são problemas de arquitetura que podem ser mitigados com boas práticas de desenvolvimento seguro. A correção dessas fragilidades reduz não apenas o risco de ataques baseados em PnP, mas também vários outros cenários de exploração.
Para o Windows 11 e versões futuras do sistema, a tendência é que a Microsoft continue endurecendo políticas relacionadas a drivers, exigindo assinaturas mais estritas, restringindo ainda mais o carregamento de componentes em modo kernel e ampliando o uso de tecnologias como proteção de integridade de código. Porém, enquanto existirem componentes de terceiros com falhas exploráveis e ambientes com redirecionamento de dispositivos pouco controlado, pesquisas como a “Plug And Pwn” continuarão demonstrando que o elo mais fraco, muitas vezes, está fora do núcleo do sistema operacional.
Em síntese, o estudo não revela uma única vulnerabilidade simples, mas uma combinação sofisticada de comportamento legítimo do Windows com erros em softwares de fabricantes específicos. Ao transformar o Plug and Play em “Plug and Pwn”, os pesquisadores mostram como uma funcionalidade criada para simplificar a vida do usuário pode, sem controles adicionais, se tornar uma poderosa ferramenta nas mãos de atacantes determinados.