Des chercheurs en sécurité ont dévoilé une nouvelle famille d’attaques baptisée Plug and Pwn, capable d’exploiter le mécanisme Plug and Play de Windows pour installer automatiquement des composants vulnérables et obtenir les privilèges SYSTEM.
L’attaque repose sur un principe particulièrement intéressant : au lieu d’exploiter directement Windows, les chercheurs émulent de faux périphériques USB afin de pousser le système à télécharger et installer des logiciels ou pilotes de constructeurs pourtant signés et légitimes. Certains de ces composants contiennent ensuite des faiblesses permettant une élévation de privilèges.
Présentée lors de la DEF CON 34 par les chercheurs Alejandro Hernando et Borja Martínez, cette technique peut, dans certains scénarios, fonctionner sans clic, sans utilisateur connecté et même à distance via le protocole RDP.
Plug and Play, un mécanisme pratique qui travaille avec des privilèges élevés
Lorsqu’un périphérique USB est connecté à un PC, Windows tente automatiquement de l’identifier.
Le système recherche ensuite un pilote adapté et peut également télécharger depuis Windows Update des composants supplémentaires fournis par le constructeur.
Cette installation peut inclure :
- des pilotes ;
- des services ;
- des programmes d’assistance ;
- des exécutables ;
- des « co-installers » utilisés par certains fabricants.
Le problème est que cette procédure s’exécute avec les privilèges NT AUTHORITY\SYSTEM, c’est-à-dire avec des droits supérieurs à ceux d’un administrateur classique, sans nécessairement afficher de demande UAC.
Les chercheurs se sont donc demandé ce qui se passerait s’il était possible de contrôler précisément l’identité du périphérique que Windows pense avoir détecté.
Un faux périphérique USB peut tromper Windows
Pour leurs démonstrations, les chercheurs ont utilisé le framework FaceDancer associé à du matériel comme Cynthion et GreatFET.
FaceDancer permet d’émuler un périphérique USB et de définir artificiellement ses caractéristiques : identifiant matériel, classe de périphérique, interfaces ou encore points de terminaison.
Du point de vue de Windows, le périphérique émulé ressemble alors à un véritable appareil connecté au port USB. Le système tente donc de rechercher le pilote et les logiciels associés comme s’il s’agissait du matériel original.
Les chercheurs peuvent même modifier l’identité du périphérique en cours d’attaque, en le faisant disparaître puis réapparaître comme un autre matériel.
Cette possibilité leur permet de chaîner plusieurs composants vulnérables provenant de fabricants différents.
Une attaque sans clic sur un Windows 11 entièrement à jour
La démonstration la plus impressionnante combine des composants liés à Sierra Wireless et Sony FeliCa.
Dans un premier temps, le faux périphérique se présente comme un appareil Sierra Wireless. Windows installe alors automatiquement le logiciel correspondant.
Les chercheurs exploitent une faiblesse de ce composant pour modifier les paramètres DNS de la machine.
Le périphérique change ensuite d’identité pour se faire passer pour un appareil Sony FeliCa.
Windows télécharge alors un autre logiciel constructeur. Celui-ci récupère certains fichiers via une connexion non chiffrée.
Comme les attaquants ont auparavant pris le contrôle de la résolution DNS, ils peuvent rediriger ces téléchargements vers leur propre serveur et faire déposer un fichier malveillant avec les privilèges SYSTEM.
Enfin, le périphérique se présente de nouveau comme l’appareil Sierra Wireless afin de provoquer le chargement du fichier malveillant.
Le résultat est l’ouverture d’un reverse shell avec les privilèges SYSTEM.
D’après les chercheurs, cette chaîne d’attaque fonctionne contre un Windows 11 entièrement mis à jour, sans utilisateur connecté, et nécessite environ cinq minutes.
Pas besoin d’une clé USB classique
Il ne faut pas imaginer cette attaque comme une simple clé USB malveillante du type BadUSB.
Les chercheurs ont besoin de pouvoir émuler précisément différents périphériques USB et leurs identifiants matériels.
Le matériel utilisé pour leurs démonstrations est néanmoins suffisamment compact pour être transporté facilement. Selon Alejandro Hernando, un Raspberry Pi configuré en mode USB Gadget pourrait théoriquement également être utilisé pour ce type d’attaque.
En revanche, le Flipper Zero ne permet pas actuellement d’exécuter directement cette technique, car son mode BadUSB est principalement destiné à l’émulation de périphériques HID comme un clavier et ne dispose pas du support nécessaire pour FaceDancer.
NoPlug & Pwn : l’attaque peut aussi fonctionner à distance via RDP
Encore plus surprenant, les chercheurs ont développé une variante baptisée NoPlug & Pwn, qui ne nécessite même plus de périphérique USB physiquement connecté au PC ciblé.
Cette technique exploite la redirection des périphériques USB via le Bureau à distance (RDP).
Cette fonction permet normalement à un périphérique branché sur le PC local d’être rendu disponible à l’intérieur d’une session distante.
Les chercheurs ont créé un client RDP capable d’envoyer directement de faux descripteurs USB.
Le serveur Windows distant croit alors qu’un véritable périphérique vient d’être connecté et déclenche le mécanisme Plug and Play habituel.
Dans leur démonstration, ils ont émulé une caméra Intel RealSense.
Windows Update récupère le package associé, qui contient un co-installer vulnérable à un détournement de DLL. Les chercheurs exploitent ensuite cette faiblesse pour obtenir les privilèges SYSTEM sur la machine distante.
Cette variante nécessite toutefois que la redirection USB via RDP soit activée. Elle pourrait notamment concerner certains environnements de bureaux virtuels où cette fonctionnalité est couramment utilisée.
Ce n’est pas une nouvelle idée, mais l’attaque va beaucoup plus loin
Le principe rappelle une vulnérabilité médiatisée en 2021 avec Razer Synapse.
À l’époque, le simple branchement d’une souris ou d’un clavier Razer pouvait pousser Windows à télécharger automatiquement l’installateur Synapse avec les privilèges SYSTEM.
Une faiblesse de cet installateur permettait alors de lancer PowerShell depuis l’interface d’installation et d’hériter des mêmes privilèges élevés.
Les chercheurs à l’origine de Plug and Pwn expliquent toutefois avoir adopté une approche plus générale.
Plutôt que de cibler uniquement la vulnérabilité d’un installateur particulier, ils se sont intéressés à toute la chaîne d’installation automatique des périphériques Windows.
Le problème devient alors beaucoup plus large : Windows peut automatiquement installer des composants de nombreux constructeurs différents, et il suffit qu’un de ces éléments comporte une faiblesse exploitable pour qu’il puisse entrer dans une chaîne d’attaque.
Pourquoi des pilotes signés peuvent-ils être dangereux ?
Un pilote ou un logiciel signé n’est pas nécessairement exempt de vulnérabilités.
La signature permet principalement de vérifier l’origine du fichier et de s’assurer qu’il n’a pas été modifié depuis sa publication.
Elle ne garantit pas que son code est parfaitement sécurisé.
Plug and Pwn exploite précisément cette différence : Windows fait confiance à des packages légitimes et signés, mais certains de leurs composants peuvent contenir des vulnérabilités anciennes ou des comportements dangereux.
Les attaquants ne cherchent donc pas nécessairement à faire installer un pilote malveillant inconnu.
Ils poussent Windows à installer des logiciels légitimes mais vulnérables, puis exploitent ces vulnérabilités pour obtenir davantage de privilèges.
A lire :
Désactiver les co-installers peut limiter certaines attaques
Une première mesure de protection consiste à désactiver l’exécution des co-installers lors de l’installation des périphériques.
Cela peut être réalisé avec la valeur de Registre :
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Device Installer
puis en créant une valeur DWORD :
DisableCoInstallers = 1
D’après les chercheurs, cette configuration bloque certaines des chaînes d’attaque présentées, notamment celles exploitant Sony FeliCa ou Intel RealSense.
Cette mesure ne supprime toutefois pas complètement la surface d’attaque.
Windows continue notamment :
- d’énumérer les périphériques Plug and Play ;
- de rechercher les pilotes dans Windows Update ;
- d’interpréter les fichiers INF ;
- d’installer certains services déclarés par ces fichiers.
Les entreprises peuvent durcir davantage l’installation des périphériques
Sur les postes sensibles, les chercheurs recommandent de combiner plusieurs protections.
Les administrateurs peuvent notamment :
- désactiver les co-installers ;
- appliquer des restrictions d’installation des périphériques ;
- autoriser uniquement certains identifiants matériels ;
- désactiver la redirection Plug and Play dans les environnements RDP ou VDI lorsqu’elle n’est pas nécessaire.
Cette dernière protection est particulièrement importante contre la variante NoPlug & Pwn.
La stratégie RDP correspondante peut notamment être contrôlée à travers le paramètre lié à fDisablePNPRedir.
Tous les scénarios ne sont pas considérés comme de nouvelles vulnérabilités
Les chercheurs n’ont pas signalé chacune de leurs chaînes d’exploitation comme une nouvelle faille indépendante auprès des différents constructeurs.
La raison est importante : Plug and Pwn repose souvent sur la combinaison de plusieurs comportements légitimes et de vulnérabilités existantes.
Une fonctionnalité prise isolément n’est donc pas nécessairement vulnérable.
C’est l’enchaînement qui devient dangereux : faux périphérique → détection Plug and Play → téléchargement automatique → installation avec les droits SYSTEM → exploitation d’un composant vulnérable
Cette approche illustre parfaitement la notion de chaîne d’exploitation, où plusieurs faiblesses relativement limitées permettent ensemble d’obtenir un résultat beaucoup plus grave.
Une attaque surtout préoccupante pour les environnements sensibles
Pour un particulier, Plug and Pwn reste une attaque relativement sophistiquée.
La version physique nécessite qu’un attaquant puisse connecter un dispositif spécialisé au PC, tandis que la variante distante dépend de la présence d’un accès RDP et de la redirection des périphériques.
Le risque est donc surtout important dans les entreprises, les infrastructures sensibles, les postes partagés et les environnements de bureaux virtuels.
Mais ces recherches mettent en évidence un problème plus général : le simple fait de brancher un périphérique peut déclencher l’exécution automatique de composants tiers avec des privilèges extrêmement élevés.
Cette confiance accordée au processus d’installation des pilotes constitue une surface d’attaque difficile à éliminer complètement.
Conclusion
Plug and Pwn ne repose pas sur une unique faille spectaculaire de Windows, mais sur l’exploitation d’un mécanisme profondément intégré au système : l’installation automatique des périphériques.
En imitant des appareils légitimes, les chercheurs ont réussi à pousser Windows 11 à télécharger des packages signés de constructeurs, puis à combiner leurs faiblesses pour obtenir les privilèges SYSTEM.
Le fait qu’une variante puisse également fonctionner à travers RDP sans connecter physiquement de périphérique montre que le problème dépasse largement la simple menace des clés USB inconnues.
Ces travaux rappellent surtout qu’un pilote signé ou un logiciel distribué par Windows Update n’est pas nécessairement sans risque. La sécurité dépend également de la qualité des composants fournis par les fabricants et de la façon dont Windows les installe avec des privilèges élevés.
Pour les environnements sensibles, restreindre l’installation des périphériques, désactiver les co-installers inutiles et limiter la redirection USB via RDP constituent donc des mesures de durcissement pertinentes.
Sources :
- https://www.bleepingcomputer.com/news/security/plug-and-pwn-attack-uses-fake-usb-devices-for-windows-system-access/
- https://learn.microsoft.com/windows-hardware/drivers/install/
L’article Plug and Pwn : de faux périphériques USB peuvent donner les droits SYSTEM sous Windows est apparu en premier sur malekal.com.
0 Commentaires