Windows 11’de araştırmacılar, meşru USB tak-çalıştır kurulum akışını SYSTEM yetkisiyle kod çalıştırmaya kadar götüren bir yöntem gösterdi. Aynı teknik, desteklenen Plug and Play ya da düşük seviyeli USB yönlendirmesi açık olduğunda, fiziksel donanım olmadan Remote Desktop oturumlarında da tetiklenebiliyor. Microsoft, bu yönlendirmenin varsayılan olarak izinli olmadığını söylüyor.
Alejandro Hernando ve Borja Martinez’in DEF CON 34 için hazırladığı Plug And Pwn: Weaponizing Windows PnP Auto-Install çalışması, Windows’un PnP ve sürücü eşleştirme mantığını hedef alan zinciri ayrıntılandırıyor. Araştırmacılar, taklit USB aygıtları emüle eden araçlar geliştirdiklerini ve belirli koşullarda ayrıcalığı olmayan bir kullanıcının PnP yükleme yolunu SYSTEM seviyesinde kod çalıştırmaya çevirebildiğini belirtiyor. Microsoft’un sürücü dokümantasyonu da bu temel seçme adımını anlatıyor: Windows, bir aygıt için donanım ve uyumlu kimlikleri alıyor ve bunları eşleşen sürücü paketini bulmak için kullanıyor.
Fiziksel zincirde Sierra ve Sony aygıt taklidi
İlk senaryoda araştırmacılar, Windows’un bir Sierra Wireless aygıtı algıladığını düşündüren bir kimlik taklidi yapıyor. Sistem bunun üzerine SwiService.exe adlı, SYSTEM haklarıyla çalışan bir servis yüklüyor; servis içinde SetDNS adlı ve DNS yönlendirmesine yarayan bir yetenek bulunuyor.
Bu aşamadan sonra akış Sony FeliCa okuyucu taklidine geçiyor. Araştırmacıların aktardığına göre, bu aygıtın co-installer bileşeni yapılandırma dosyalarını düz metin HTTP üzerinden çekiyor ve yerel dosya adlarını URL yollarından türetiyor. Aynı zincirde yer alan bir path-traversal açığı, saldırganın System32 içine bir DLL yerleştirmesine izin veriyor.
Sierra aygıtı yeniden bağlandığında sistem bu DLL’i yüklüyor ve sonuç SYSTEM oluyor. Araştırmacılar, gösterimin tamamen güncel bir Windows 11 sistemde yapıldığını ve bu nedenle bulgunun test edilmemiş tüm Windows sürüm aralıklarına genellenmemesi gerektiğini vurguluyor.
RDP üzerinden sahte USB trafiği
İkinci varyantta fiziksel aygıtın yerini Remote Desktop üzerinden taşınan sentetik USB trafiği alıyor. Araştırmacıların Python istemcisi sahte bir USB kimliği üretiyor ve hayali bir Intel RealSense aygıtı sunuyor; Windows da bu sırada yönlendirilmiş aygıt kurulum yolunu izliyor. Microsoft ayrıca yönlendirilen düşük seviyeli USB çevre birimlerinin, fiziksel bir Windows bilgisayarda kullanılan aynı sürücü kurulum sürecinden geçtiğini ayrıca belgeliyor.
Bu kurulumda devreye giren RealSense yazılımı, kullanıcı tarafından yazılabilir bir kurulum dizininden CRYPTBASE.dll arama sırası kaçırmasıyla istismar edilebiliyor. Araştırmacılar, bunun kimliği doğrulanmış ama düşük ayrıcalıklı bir kullanıcıya SYSTEM kod çalıştırma imkânı verdiğini söylüyor. Ancak bu uzaktan yol varsayılan bir Windows maruziyeti değil; Microsoft, Remote Desktop Services’in desteklenen Plug and Play ve RemoteFX USB yönlendirmesini varsayılan olarak açmadığını, düşük seviyeli USB iletiminin çalışması için önce PnP yönlendirmesinin etkinleştirilmesi gerektiğini belirtiyor.
Şirket, kullanmadıkları durumda yöneticilerin bu özelliği kapalı bırakabileceğini de söylüyor. Microsoft’un sunduğu aygıt kurulum kısıtlamaları, donanım ya da uyumlu kimlik, aygıt örnek kimliği ve kurulum sınıfı üzerinden cihazları izinli ya da engelli hale getirebiliyor; bir Remote Desktop sunucusunda bu ilkeler yönlendirilen aygıtları da etkileyebiliyor.
Fiziksel zincir için de ayrı bir ön koşul bulunuyor: saldırganın hedef makineye taklit edilmiş bir USB aygıtı sunabilmesi gerekiyor. Araştırma, imzalı üçüncü taraf paketlerdeki zayıflıklarla birleşen meşru bir ayrıcalıklı kurulum yolunun kötüye kullanılabildiğini gösteriyor. Sierra, Sony ve Intel tarafındaki tek tek istismar mekanizmaları ise araştırmacıların bulgusu olarak kalıyor; bunların ilgili üreticilerce bağımsız doğrulama olmadan böyle anılması gerektiği belirtiliyor.