Kein Klick nötig: Plug-and-Pwn-Angriff kapert Windows-Systeme per USB

Eine neue Gefahr durch USB-Schnittstellen

Auf der Sicherheitskonferenz Defcon 34 haben die Forscher Alejandro Hernando und Borja Martinez einen kritischen Angriffsvektor namens „Plug and Pwn“ vorgestellt. Dieser ermöglicht es, Windows-Systeme vollständig zu kompromittieren, indem lediglich spezielle USB-Geräte mit dem Rechner verbunden werden. Das Besondere an dieser Methode: Es ist keinerlei Interaktion durch den Anwender erforderlich. Weder muss ein Benutzer am System angemeldet sein, noch müssen Administratorrechte vorliegen, um den Angriff erfolgreich durchzuführen.

Funktionsweise: Wie Plug and Pwn Systeme kapert

Der Angriff macht sich einen automatisierten Prozess von Windows zunutze, der beim Anschließen neuer Peripheriegeräte greift. Windows ist darauf ausgelegt, für Plug-and-Play-fähige Geräte automatisch notwendige Softwarepakete von Microsoft oder den jeweiligen Herstellern nachzuladen. Dieser Vorgang läuft im Hintergrund ab und führt den Code des Herstellers mit den höchsten Rechten aus, nämlich als „NT AUTHORITY\SYSTEM“.

Die Forscher nutzen eine Verkettung mehrerer Schwachstellen mit geringem Schweregrad aus, die in der Summe jedoch eine weitreichende Wirkung entfalten. In ihrer Demonstration verwendeten sie zwei emulierte USB-Geräte der Hersteller Sierra und Sony:

* **Manipulation der DNS-Einstellungen:** Zunächst wird ein Gerät genutzt, um über eine Named Pipe den Standard-DNS-Server des Windows-Systems zu ändern.

* **Umleitung der Software-Anfrage:** Beim Anschließen des zweiten Geräts versucht das Betriebssystem, notwendige Komponenten über HTTP von einem Hersteller-Server zu laden. Da der Angreifer den DNS-Server kontrolliert, wird diese Anfrage auf einen eigenen Server umgeleitet.

* **Ausführung von Schadcode:** Anstelle der legitimen Software schleust der Angreifer eine manipulierte DLL-Datei in das System32-Verzeichnis ein. Beim erneuten Verbinden des ersten Geräts lädt Windows diese DLL, wodurch eine Shell mit vollen Systemrechten geöffnet wird.

Angriffe auch aus der Ferne möglich

Ein besorgniserregender Aspekt von Plug and Pwn ist die Tatsache, dass für die Durchführung nicht zwingend ein physischer Zugriff auf den Zielrechner notwendig ist. Da die Forscher in ihrer Demonstration emulierte USB-Geräte verwendeten, lässt sich das Szenario auch über Remotedesktopverbindungen (RDP) übertragen. Angreifer können lokal an ihrem eigenen PC angeschlossene USB-Hardware an den RDP-Server durchleiten, wodurch das Zielsystem die angeschlossene Peripherie als lokal verbunden wahrnimmt.

Historischer Kontext und Schutzmaßnahmen

Das Problem der automatisierten Software-Installation bei USB-Geräten ist in der Sicherheitswelt nicht völlig neu. Bereits im Jahr 2021 wurde ein ähnlicher Mechanismus im Zusammenhang mit der Konfigurationssoftware von Razer-Produkten bekannt. Damals konnten Angreifer durch das Anschließen einer Razer-Maus oder -Tastatur ebenfalls Systemrechte erlangen, da die Software Sicherheitslücken aufwies. Razer reagierte seinerzeit mit einem Patch.

Für den aktuellen Plug-and-Pwn-Angriff liegen derzeit keine offiziellen Patches vor. Sicherheitsforscher wie Will Dormann weisen jedoch auf eine manuelle Konfigurationsmöglichkeit hin, um das Risiko zu minimieren. Durch einen gezielten Eingriff in die Windows-Registry lässt sich die Funktion der sogenannten Co-Installer deaktivieren. Dies geschieht über den Eintrag:

`HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Device Installer\DisableCoInstallers = 1`

Durch diese Einstellung kann das automatische Nachladen von Treibersoftware unterbunden werden, was den beschriebenen Angriffsvektor blockiert. Anwender, die ihre Systeme absichern möchten, sollten diesen Registry-Pfad prüfen, da die Ausnutzung von „geringfügigen“ Schwachstellen bei der Geräteinstallation ein dauerhaftes Einfallstor für Angriffe mit weitreichenden Folgen bleibt.