Khai thác cơ chế tự cài đặt USB trên Windows 11 để chiếm quyền SYSTEM
"Researchers demonstrated that Windows 11 Plug and Play auto-install can be abused to trigger privileged driver/package installation for emulated USB devices, chaining vendor-specific flaws to achieve SYSTEM code execution on a fully updated system. The attack can also be performed over Remote Desktop when USB/PnP redirection is enabled, but Microsoft says those redirection features are not allowed by default; mitigations include disabling the feature and applying device-installation restrictions."
Rủi ro leo thang đặc quyền lên SYSTEM trên Windows 11; có thể bị kích hoạt qua USB giả lập hoặc RDP redirection khi cấu hình cho phép.
Có thể ảnh hưởng đến máy trạm và máy chủ Windows trong môi trường doanh nghiệp; cần siết chính sách thiết bị và rà soát cấu hình Remote Desktop để giảm nguy cơ gián đoạn và xâm nhập.
Các nhà nghiên cứu cho biết họ đã khai thác Windows Plug and Play trên Windows 11 để buộc hệ thống tải driver/package do hãng cung cấp cho một thiết bị USB giả lập, sau đó kết hợp các lỗi đặc thù của từng nhà cung cấp để đạt SYSTEM code execution trên một máy đã cập nhật đầy đủ. Kỹ thuật này cũng có thể thực hiện qua Remote Desktop nếu bật USB/PnP redirection hoặc chuyển tiếp USB mức thấp; theo Microsoft, các tính năng này không được bật mặc định.
Trong chuỗi tấn công vật lý, nhóm nghiên cứu mô phỏng một thiết bị Sierra Wireless để Windows cài SwiService.exe, rồi lợi dụng một primitive SetDNS để chuyển hướng DNS. Sau đó, họ giả lập một đầu đọc Sony FeliCa và khai thác cơ chế tải cấu hình qua HTTP cùng lỗi path traversal để ghi DLL vào System32. Khi kết nối lại thiết bị Sierra, DLL bị nạp và dẫn đến SYSTEM.
Ở biến thể từ xa, họ dùng lưu lượng USB giả qua RDP và một thiết bị Intel RealSense giả lập để đi vào đường cài đặt bị chuyển hướng, rồi khai thác search-order hijack với CRYPTBASE.dll.
Khuyến nghị: tắt redirection nếu không cần, áp dụng device-installation restrictions, và kiểm soát theo hardware/compatible ID hoặc setup class để giảm rủi ro từ thiết bị USB giả lập.