USB malicioso consegue assumir controle total de PCs com Windows 11 por falha no Plug and Play
Pesquisadores em segurança revelaram uma técnica capaz de transformar um simples dispositivo USB em uma porta de entrada para tomar o controle completo de um computador com Windows 11 totalmente atualizado. A chave para o ataque está no uso criativo – e malicioso – do próprio mecanismo de instalação automática de hardware do sistema, o Plug and Play (PnP).
O estudo, batizado de “Plug And Pwn: Weaponizing Windows PnP Auto-Install”, foi desenvolvido por Alejandro Hernando e Borja Martinez para apresentação na conferência DEF CON 34. Em vez de explorar uma falha única em um programa específico, a pesquisa mostra como combinar o funcionamento legítimo do Windows com vulnerabilidades em softwares de terceiros para alcançar privilégios SYSTEM, o nível mais alto de permissão no sistema operacional.
Como o ataque aproveita o Plug and Play do Windows
O Plug and Play é responsável por identificar novos dispositivos conectados ao computador e instalar automaticamente os drivers necessários para que funcionem. Quando um USB é inserido, o Windows lê seus identificadores de hardware e compatibilidade e usa essas informações para procurar um pacote de driver adequado, muitas vezes baixando e instalando componentes assinados e legítimos de fabricantes reconhecidos.
Os pesquisadores criaram ferramentas que emulam dispositivos USB arbitrários, ou seja, o agressor não precisa necessariamente de um dispositivo físico convencional: ele pode fazer um hardware programável “se passar” por diferentes modelos de dispositivos USB. Ao se apresentar como produtos de fabricantes diversos, o sistema operacional é induzido a instalar softwares e serviços com permissões elevadas, que podem então ser encadeados com falhas conhecidas para executar código malicioso como SYSTEM.
O ponto crítico não está em um único bug do Windows, mas na forma como o ecossistema de drivers, instaladores e co-instaladores interage. Cada etapa, por si só, segue o comportamento esperado pelo sistema – o perigo surge quando essas etapas são combinadas em uma cadeia cuidadosamente planejada.
Cadeia de ataque físico demonstrada
Na prova de conceito apresentada, os pesquisadores montaram uma cadeia de exploração em várias fases. Primeiro, emulam um dispositivo da Sierra Wireless. Ao reconhecer o hardware, o Windows instala automaticamente o serviço SwiService.exe, executado com privilégios SYSTEM. Esse serviço expõe, entre outras funções, a capacidade de alterar configurações de DNS por meio de uma funcionalidade conhecida como SetDNS.
Em seguida, é emulado um segundo dispositivo: um leitor Sony FeliCa. De acordo com a pesquisa, o co-instalador associado a esse dispositivo obtém arquivos de configuração por HTTP sem usar criptografia. Além disso, ele constrói os nomes de arquivos locais com base nos caminhos das URLs acessadas.
Essa combinação abre espaço para uma vulnerabilidade de path traversal: manipulando esses caminhos, seria possível fazer com que o instalador grave uma DLL arbitrária dentro do diretório System32, uma pasta altamente sensível e protegida, onde ficam bibliotecas de sistema.
Depois que a DLL maliciosa é posicionada no System32, o invasor reconecta o dispositivo emulado da Sierra Wireless. Nesse momento, o serviço legitimamente instalado passa a carregar a DLL inserida, o que resulta na execução de código com privilégios SYSTEM. Em termos práticos, o agressor ganha controle total da máquina, podendo instalar malwares, criar usuários, desativar soluções de segurança e se movimentar lateralmente na rede.
Toda a cadeia foi validada em um ambiente com Windows 11 plenamente atualizado na época dos testes. Os autores, contudo, não generalizam o ataque para outras versões do Windows, já que não as avaliaram diretamente. Portanto, não é possível afirmar, com base apenas nessa pesquisa, que a mesma sequência funcione em edições diferentes do sistema.
Variante remota: explorando o RDP sem USB físico
Além do cenário com USB físico, o estudo descreve uma variante remota que dispensa a necessidade de o atacante ter acesso direto à porta USB da máquina alvo. Nessa abordagem, o tráfego USB é sintetizado por meio de uma sessão de Remote Desktop Protocol (RDP), explorando recursos de redirecionamento de dispositivos Plug and Play ou de USB em baixo nível, quando habilitados.
Os pesquisadores desenvolveram um cliente em Python capaz de forjar a identidade de um dispositivo USB e apresentá-lo ao Windows como se fosse uma câmera Intel RealSense virtual. Ao detectar esse hardware remoto, o sistema inicia o fluxo normal de instalação do driver correspondente ao dispositivo redirecionado.
Segundo o estudo, o software Intel RealSense instalado pode ser explorado por meio de um sequestro da ordem de carregamento da biblioteca CRYPTBASE.dll, desde que o diretório de instalação permita que o usuário grave arquivos. Assim, um usuário autenticado, mas com privilégios restritos, consegue inserir uma DLL maliciosa que será carregada antes da biblioteca legítima, elevando seus privilégios até SYSTEM.
Essa técnica é particularmente preocupante em ambientes corporativos em que usuários de baixo privilégio se conectam a servidores via RDP, pois abre uma rota de escalonamento de privilégios usando apenas recursos já disponíveis no próprio sistema.
Limitações e dependência de configuração
Apesar do impacto potencial, a variante remota não é universal: ela depende da configuração específica do ambiente. Por padrão, os serviços de Área de Trabalho Remota não permitem o redirecionamento de dispositivos Plug and Play compatíveis, nem de USB via RemoteFX nas configurações recomendadas. O redirecionamento de USB em baixo nível também exige que o recurso de Plug and Play remoto esteja explicitamente habilitado.
No cenário físico, há outra condição importante: o atacante precisa, de alguma forma, conseguir conectar o dispositivo USB emulado à máquina alvo. Isso pode ser mais realista em ambientes menos controlados, como estações de trabalho acessíveis ao público, computadores compartilhados ou situações em que alguém consegue enganar o usuário para que conecte um dispositivo aparentemente inofensivo.
Além disso, o sucesso do ataque depende da presença das versões vulneráveis dos softwares envolvidos (como os pacotes específicos da Sierra Wireless, Sony e Intel citados na pesquisa). Caso esses componentes não estejam disponíveis, ou caso tenham sido corrigidos, a cadeia descrita deixa de funcionar exatamente como foi demonstrada.
Como reduzir o risco: recomendações para administradores
Administradores que não fazem uso de redirecionamento de dispositivos em ambientes RDP podem aumentar significativamente a segurança mantendo esses recursos desabilitados. Em muitos casos, o redirecionamento de hardware não é estritamente necessário para as atividades do usuário e pode ser tratado como um luxo que não compensa o risco.
O Windows oferece ainda um conjunto de políticas que permitem controlar de forma granular quais dispositivos podem ser instalados, com base em identificadores de hardware, IDs compatíveis, identificadores de instância e classes de dispositivos. Em servidores de Área de Trabalho Remota, essas mesmas políticas podem ser aplicadas para restringir também dispositivos redirecionados, não apenas os conectados fisicamente.
Empresas podem aproveitar esses mecanismos para criar listas de permissão (allowlist) de dispositivos aprovados e bloquear, por padrão, qualquer hardware que não atenda a critérios pré-definidos. Essa abordagem dificulta o uso de emulações arbitrárias, como as utilizadas na pesquisa.
Boas práticas adicionais para ambientes corporativos
Além das políticas diretamente ligadas ao Plug and Play, algumas medidas gerais fortalecem a postura de segurança contra esse tipo de ameaça:
– Segmentação de privilégios: limitar ao máximo a quantidade de serviços que rodam como SYSTEM e revisar periodicamente softwares de terceiros instalados que tenham componentes altamente privilegiados.
– Gestão de drivers e softwares de hardware: manter inventário de drivers instalados, especialmente de fabricantes que fornecem serviços em modo de sistema, e avaliar a necessidade real de cada um.
– Treinamento de usuários: conscientizar colaboradores para não conectarem dispositivos USB desconhecidos ou não autorizados, mesmo que pareçam inofensivos (como pendrives promocionais).
– Monitoramento de logs: acompanhar eventos de instalação de dispositivos e drivers, investigando atividades anômalas ou inesperadas em máquinas sensíveis.
– Políticas de hardening em servidores RDP: além de controlar o redirecionamento de dispositivos, aplicar configurações mais restritivas para usuários de baixo privilégio em servidores de acesso remoto.
O que a pesquisa revela sobre o ecossistema de drivers
Um ponto central do trabalho é mostrar que o próprio modelo de confiança do ecossistema de drivers pode se tornar um vetor de ataque. O Windows confia em pacotes assinados por fabricantes conhecidos e concede a esses componentes permissões elevadas, partindo do pressuposto de que foram desenvolvidos com segurança suficiente.
Quando falhas em co-instaladores, serviços auxiliares ou mecanismos de atualização de configuração são descobertas, tornam-se especialmente perigosas porque já executam em um contexto privilegiado. O ataque não precisa romper diretamente uma proteção do Windows, apenas explorar a lógica frágil desses softwares de terceiros.
A pesquisa reforça a importância de fabricantes de hardware e fornecedores de drivers adotarem práticas rigorosas de desenvolvimento seguro, evitando uso de protocolos sem criptografia, validação fraca de caminhos de arquivos e diretórios graváveis por usuários comuns em componentes executados com altos privilégios.
Impacto para usuários comuns e empresas
Para o usuário doméstico, o cenário mais preocupante é o uso de USBs maliciosos em ataques de oportunidade, como deixar dispositivos “perdidos” em locais públicos para que pessoas curiosas conectem em seus computadores. Embora o ataque descrito exija uma cadeia relativamente sofisticada, a pesquisa comprova que, do ponto de vista técnico, é viável transformar um simples USB em vetor de comprometimento total da máquina.
Em ambientes corporativos, o risco é ainda mais crítico. A combinação de acesso físico a estações de trabalho, uso de RDP, grande quantidade de drivers de fabricantes diferentes e a necessidade de conceder certos privilégios para manter a operação tornam o cenário fértil para esse tipo de exploração, caso não haja políticas de controle adequadas.
Por isso, empresas que utilizam intensivamente dispositivos USB, leitores de cartão, modems, câmeras e outros periféricos devem reavaliar suas práticas de homologação e instalação de drivers, priorizando sempre versões atualizadas e, quando possível, substituindo soluções legadas por alternativas mais seguras.
O que ainda não se sabe e por que isso importa
A pesquisa destaca explicitamente que as descobertas envolvendo Sierra Wireless, Sony e Intel referem-se às condições específicas analisadas pelos autores. Até que haja documentação ou comunicações independentes dos fabricantes confirmando, detalhando ou corrigindo essas vulnerabilidades, os resultados devem ser interpretados como parte de um estudo técnico, e não como um inventário oficial e completo de falhas.
Ainda assim, o valor do trabalho vai além dos nomes envolvidos: o modelo de ataque apresentado serve como alerta sobre como funcionalidades legítimas podem ser “armadas” em cadeias complexas. Mesmo que vulnerabilidades específicas sejam corrigidas, a técnica geral permanece relevante para avaliar novos drivers, co-instaladores e serviços privilegiados no futuro.
Conclusão: Plug and Play como alvo estratégico
A demonstração de que é possível transformar a instalação automática de dispositivos USB em execução de código com privilégios SYSTEM expõe o Plug and Play como um alvo estratégico para atacantes avançados. Em vez de buscar apenas falhas clássicas em aplicativos, a pesquisa mostra o potencial destrutivo de explorar a própria infraestrutura que mantém o hardware funcionando no Windows.
Proteger-se contra esse tipo de ameaça exige uma combinação de medidas técnicas (políticas de restrição de dispositivos, hardening de RDP, gestão de drivers) e organizacionais (processos de homologação, conscientização de usuários, revisão de fornecedores). À medida que o ecossistema de hardware continua a crescer, a segurança desses componentes precisa ser tratada com o mesmo rigor já aplicado a softwares tradicionais, sob pena de abrir caminho para ataques silenciosos, porém extremamente poderosos.