Основы Интернет - технологий.

На прошедшей недавно конференции DEF CON 34 исследователи Алехандро Эрнандо (Alejandro Hernando) и Борха Мартинес (Borja Martínez) представили новый класс атак Plug and Pwn. Специалисты продемонстрировали, что штатный механизм Windows Plug and Play можно вынудить автоматически установить уязвимый софт, что в итоге позволит получить права уровня SYSTEM. При этом в некоторых случаях для атаки не требовались ни взаимодействие с пользователем, ни активная пользовательская сессия.

По словам экспертов, корень проблемы связан с тем, как Windows обрабатывает подключения нового оборудования. Так, после подключения устройства система определяет его hardware ID, находит подходящий пакет драйверов и может автоматически загрузить подписанные компоненты конкретного производителя через Windows Update. Установка выполняется от имени NT AUTHORITYYSTEM без запроса UAC, и в эту цепочку могут входить драйверы, сервисы, вспомогательные программы и коинсталляторы (co-installers).

То есть исследователи обнаружили, что могут вынудить Windows устанавливать подписанные пакеты производителей, содержащие уязвимые компоненты или другие баги, которые можно эксплуатировать для получения привилегий уровня SYSTEM.

Для своих экспериментов специалисты использовали фреймворк для эмуляции USB-устройств FaceDancer, который запускали на небольшом Linux-компьютере с подключенным «железом» Cynthion и GreatFET. Дело в том, что FaceDancer позволяет программно задавать USB-дескрипторы, интерфейсы, классы устройств и эндпоинты, то есть фактически описывать, каким именно девайсом подключенное оборудование должно представляться операционной системе.

Это и послужило основой для атаки Plug and Pwn. Так, исследователям удалось заставить эмулятор сначала выглядеть для Windows как устройство Sierra Wireless (чтобы Windows установила сервис SwiService.exe, работающий с правами SYSTEM и позволяющий менять DNS), а затем переподключиться под идентификатором ридера Sony FeliCa (чтобы ОС установила ПО Sony, которое скачивало конфигурационные файлы через незашифрованный HTTP).

Windows воспринимала фантомные устройства как настоящее оборудование, находила для их hardware ID подходящие пакеты драйверов и софт производителей, а затем автоматически устанавливала с повышенными привилегиями. Отмечается, что в некоторых случаях устройство приходилось выдавать за составное (composite), чтобы ОС отдельно обнаружила его интерфейсы и выбрала установку пакета вендора, а не штатного драйвера.

Успешно выдав себя за устройство Sierra Wireless и подменив DNS, специалисты перенаправили запросы на свой сервер, а затем использовали path traversal в софте Sony, чтобы записать DLL в System32. После повторной эмуляции устройства Sierra Wireless вредоносная библиотека загружалась с правами SYSTEM, и исследователи в итоге получили реверс-шелл.

Эту цепочку атаки специалисты протестировали в полностью обновленной версии Windows 11, без вошедшего в систему пользователя. Весь процесс атаки занял около пяти минут.

Помимо этого исследователи показали вариант атаки NoPlug & Pwn, для которого вообще не нужно использовать физическое USB-устройство. В этом случае атака эксплуатирует перенаправление USB через RDP, который делает USB-устройства, подключенные к локальному компьютеру пользователя, доступными в удаленной сессии Windows. Так, написанный на Python клиент передавал удаленной машине поддельные USB-дескрипторы, и Windows создавала соответствующее Plug and Play-устройство.

В рамках проведенного эксперимента система считала, что к ней подключили камеру Intel RealSense, устанавливала соответствующий пакет и запускала уязвимый компонент. В свою очередь, исследователи использовали технику DLL hijacking через библиотеку CRYPTBASE.dll, что позволяло непривилегированному аутентифицированному пользователю повысить права до уровня SYSTEM.

Отмечается, что этот вариант атаки работает только в том случае, если разрешено перенаправление Plug and Play или USB через RDP (по умолчанию эта возможность отключена).

По словам Эрнандо и Мартинеса, частично защититься от атак Plug and Pwn можно с помощью параметра реестра DisableCoInstallers=1, который запрещает запуск коинсталляторов при установке устройств. Однако это не поможет устранить сам класс проблем, ведь злоумышленники могут также эксплуатировать обработку INF-файлов, установку сервисов, подбор драйверов через Windows Update и другие этапы PnP.

Исследователи проиллюстрировали свои слова отдельной атакой через пакеты Wacom и Atheros, где использовалась уязвимость CVE-2019-10617 в сервисе драйвера, устанавливаемом непосредственно через INF. Поэтому для особенно важных систем специалисты рекомендуют дополнительно ограничивать установку устройств по hardware ID и отключать PnP-redirection на RDP- и VDI-хостах, где эта функция не используется.