Para peneliti keamanan telah mengungkap serangan "Plug and Pwn" baru yang menyalahgunakan fitur Plug and Play Windows untuk memicu Windows menginstal perangkat lunak vendor yang rentan atau tidak aman dan mendapatkan hak akses SYSTEM.

Penelitian yang dipresentasikan di DEF CON 34 oleh peneliti keamanan Alejandro Hernando dan Borja Martínez ini mengeksploitasi bagaimana Windows secara otomatis mengidentifikasi perangkat keras baru yang terhubung, menemukan paket driver yang sesuai, dan menginstal perangkat lunak vendor sebagai akun NT AUTHORITY\SYSTEM.

Dengan menggunakan perangkat lunak untuk meniru perangkat USB, para peneliti menemukan bahwa mereka dapat memaksa Windows untuk menginstal paket vendor yang ditandatangani yang berisi komponen yang dapat dieksploitasi atau kelemahan yang dapat disalahgunakan untuk mendapatkan hak akses SYSTEM.

Beberapa serangan yang ditunjukkan tidak memerlukan interaksi pengguna atau pengguna yang masuk, sementara serangan lain dapat dilakukan dari jarak jauh melalui RDP tanpa perangkat keras USB fisik apa pun yang terhubung ke komputer target. plugandpwn.com .

Penyalahgunaan Windows Plug and Play

Windows mendukung fitur yang disebut co-installer , yang secara otomatis mengunduh dan menginstal perangkat lunak dan driver dari vendor saat perangkat USB baru dimasukkan ke komputer.

Pada tahun 2021, BleepingComputer melaporkan bagaimana fitur ini disalahgunakan bersamaan dengan kerentanan Razer Synapse untuk memberikan hak akses SYSTEM kepada pengguna Windows biasa hanya dengan mencolokkan mouse atau keyboard Razer.

Saat perangkat Razer terhubung, Windows secara otomatis mengunduh dan menjalankan penginstal Razer Synapse dengan hak akses SYSTEM. Sebuah celah keamanan pada penginstal memungkinkan pengguna biasa untuk menjalankan PowerShell dari antarmuka instalasi, menyebabkan shell mewarisi hak akses penginstal.

BleepingComputer menguji kerentanan tersebut pada saat itu dan mengkonfirmasi bahwa kerentanan tersebut dapat digunakan untuk mendapatkan hak akses SYSTEM dalam waktu sekitar dua menit.

Pada saat itu, analis kerentanan Will Dormann sebelumnya memperingatkan bahwa kerentanan serupa kemungkinan ada di perangkat lunak lain yang diinstal secara otomatis melalui Windows Plug and Play.

Hernando mengatakan kepada BleepingComputer bahwa Plug and Pwn termasuk dalam keluarga serangan yang sama, tetapi penelitian baru ini lebih berfokus pada jalur instalasi perangkat Windows itu sendiri.

"Bug Razer itu berasal dari keluarga yang sama. Perbedaannya adalah kami menargetkan jalur instalasi itu sendiri, bukan penginstal dari satu vendor," kata Hernando kepada BleepingComputer.

"Beberapa rantai pasokan kami tidak memerlukan klik dan sesi login, dan salah satunya berjalan melalui RDP tanpa perangkat keras sama sekali."

Para peneliti mengatakan masalah utamanya adalah ketika Windows mendeteksi perangkat keras baru, Windows mungkin secara otomatis mengambil paket yang ditandatangani terkait dan menjalankan komponen yang disediakan vendor sebagai SYSTEM.

Jalur instalasi istimewa ini dapat mencakup penginstal bersama, layanan, file eksekusi pendukung, dan driver, tanpa menampilkan permintaan UAC oleh sistem operasi.

Mulai dari perangkat USB palsu hingga serangan RDP jarak jauh.

Para peneliti mengatakan kepada BleepingComputer bahwa mereka menggunakan FaceDancer dengan perangkat keras Cynthion dan GreatFET yang terhubung ke komputer Linux kecil untuk meniru perangkat USB.

FaceDancer adalah kerangka kerja perangkat lunak untuk meniru perangkat USB, yang memungkinkan para peneliti untuk mendefinisikan deskriptor, antarmuka, kelas perangkat, dan titik akhir yang digunakan komputer untuk mengidentifikasi perangkat yang terhubung.

Menghubungkan perangkat keras yang menjalankan FaceDancer ke komputer dapat membuat sistem operasi berperilaku seolah-olah perangkat USB tertentu telah dicolokkan.

Dengan menggunakan FaceDancer, para peneliti dapat membuat perangkat keras mereka tampak bagi Windows sebagai perangkat USB tertentu, sehingga sistem operasi mengenali perangkat keras yang diemulasikan dan menemukan serta menginstal paket driver vendor terkait.

Beberapa rangkaian serangan juga memerlukan perangkat yang diemulasi untuk terputus dan kemudian muncul kembali sebagai identitas perangkat yang berbeda.

"Beberapa rantai kami bergantung pada penyajian perangkat sebagai komposit sehingga Windows memuat usbccgp.sys dan menghitung setiap antarmuka secara terpisah, yang membuatnya cocok dengan paket vendor alih-alih driver bawaan," jelas Hernando kepada BleepingComputer.

"Kami juga perlu melakukan enumerasi ulang sesuai permintaan, dengan melepaskan perangkat dan kembali sebagai identitas yang berbeda."

Dalam demonstrasi fisik tanpa klik sama sekali, para peneliti memanfaatkan perilaku dalam paket instalasi Sierra Wireless dan Sony FeliCa.

Serangan ini pertama-tama menyamar sebagai perangkat Sierra Wireless, menyebabkan Windows menginstal perangkat lunak yang dapat disalahgunakan untuk mengubah pengaturan DNS komputer.

Para peneliti kemudian menyamar sebagai perangkat Sony FeliCa, yang menyebabkan Windows menginstal perangkat lunak Sony tambahan yang mengunduh file melalui koneksi yang tidak terenkripsi.

Dengan mengendalikan pengaturan DNS sistem, para peneliti dapat mengarahkan unduhan tersebut ke server yang mereka kendalikan dan mengeksploitasi celah dalam perangkat lunak Sony untuk menempatkan file berbahaya pada sistem dengan hak akses SYSTEM.

Terakhir, mereka kembali menyamar sebagai perangkat Sierra, menyebabkan Windows memuat file berbahaya dan memungkinkan penyerang untuk membuka reverse shell dengan hak akses SYSTEM.

Para peneliti mendemonstrasikan rangkaian serangan ini terhadap komputer Windows 11 yang telah sepenuhnya diperbarui dan tidak ada seorang pun yang masuk, dan mengatakan bahwa serangan lengkap tersebut membutuhkan waktu sekitar lima menit.

Ketika ditanya apakah serangan ini dapat dilakukan dengan perangkat portabel kecil, Hernando mengatakan bahwa perangkat keras penelitian mereka sudah cukup portabel untuk dibawa-bawa dan bahwa Raspberry Pi yang beroperasi dalam mode perangkat USB secara teoritis seharusnya mampu melakukan serangan ini juga.

Namun, dia mengatakan bahwa Flipper Zero saat ini tidak dapat melakukan serangan FaceDancer.

"Flipper Zero, tidak. Tidak ada backend FaceDancer untuk itu dan framework-nya tidak akan berjalan di atasnya," kata Hernando.

"Mode BadUSB-nya cocok untuk HID, tetapi deskriptor komposit sembarangan dan enumerasi ulang akan menjadi proyek firmware."

Para peneliti juga mendemonstrasikan apa yang mereka sebut "NoPlug & Pwn," yang tidak memerlukan emulasi perangkat keras fisik.

Sebaliknya, serangan tersebut menyalahgunakan pengalihan USB RDP, sebuah fitur yang memungkinkan perangkat USB yang terhubung ke komputer lokal pengguna untuk tersedia di dalam sesi Windows jarak jauh.

Alih-alih mengalihkan perangkat sebenarnya, para peneliti menciptakan klien RDP Python yang mengirimkan deskriptor USB spesifik melalui fitur pengalihan USB ini saat terhubung melalui RDP.

Host Windows jarak jauh kemudian memperlakukan deskriptor palsu tersebut sebagai perangkat USB sah yang terhubung ke komputer tamu, membuat perangkat Plug and Play yang sesuai pada host, sehingga menyebabkan driver dan perangkat lunak vendor yang sesuai diinstal.

Dalam demonstrasi para peneliti, mereka menirukan kamera Intel RealSense yang paket Windows Update-nya berisi penginstal bersama (co-installer) yang dapat disalahgunakan melalui pembajakan DLL untuk mendapatkan hak akses SYSTEM.

"Driver hub USB server tersebut mengenumerasi perangkat bayangan kami, dan Windows PnP melakukan persis seperti yang dilakukannya dalam demo fisik: ia mencocokkan ID perangkat keras dan menginstal driver, sebagai SYSTEM," jelas para peneliti di situs Plug and Pwn.

Serangan RDP hanya berfungsi pada sistem yang mengaktifkan pengalihan USB, yang menurut Hernando umum terjadi di lingkungan desktop virtual.

Menonaktifkan penginstal bersama memang membantu, tetapi tidak menghentikan Plug and Pwn.

Will Dormann menyarankan agar administrator Windows yang khawatir tentang jenis serangan ini dapat mengaktifkan nilai registri 'DisableCoInstallers', yang mencegah paket driver menjalankan co-installer selama instalasi perangkat.

Untuk melakukan ini, buka Registry Editor dan navigasikan ke kunci registri HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Device Installer .

Di bawah kunci tersebut, tambahkan nilai DWORD-32 bernama DisableCoInstallers dan atur nilainya menjadi 1 , seperti yang ditunjukkan di bawah ini.

Ketika BleepingComputer bertanya apakah ini akan secara efektif memblokir Plug and Pwn, Hernando mengatakan bahwa ini akan mengganggu beberapa serangan yang telah didemonstrasikan, termasuk serangan Sony FeliCa dan serangan Intel RealSense RDP.

Namun, hal itu tidak menghilangkan celah keamanan yang mendasarinya.

"Ini membantu, dan akan merusak sebagian dari apa yang telah kami tunjukkan," kata Hernando kepada BleepingComputer.

"Namun, hal itu tidak menghentikan jenis serangan tersebut. Hal itu tidak memengaruhi enumerasi PnP, resolusi Windows Update, penyiapan driver, pemrosesan INF, dan layanan yang diinstal melalui INF."

Para peneliti mengilustrasikan hal ini dengan serangan lain menggunakan paket Wacom dan Atheros yang mengeksploitasi kerentanan ( CVE-2019-10617 ) pada layanan driver Atheros yang diinstal melalui file INF, bukan melalui co-installer.  

Hernando merekomendasikan agar organisasi dengan sistem sensitif menggunakan 'DisableCoInstallers' bersamaan dengan pemblokiran perangkat tambahan.

"Dalam hal-hal sensitif, saya akan memasangkannya dengan pembatasan instalasi perangkat atau daftar izin ID perangkat keras, dan mematikan pengalihan perangkat PnP pada host RDP dan VDI yang tidak membutuhkannya (`fDisablePNPRedir`)," kata Hernando kepada BleepingComputer.

Para peneliti belum melaporkan semua skenario serangan sebagai kerentanan baru kepada masing-masing vendor, dengan mengatakan bahwa banyak di antaranya bukanlah kelemahan keamanan yang berdiri sendiri dan hanya dapat dieksploitasi ketika dikombinasikan dengan fungsi lain.