新たに公表された「Plug & Pwn」は、WindowsのPlug and Play(PnP)ドライバインストール機能を悪用し、ベンダー提供コードをNT AUTHORITY\SYSTEMとして実行する一連の攻撃チェーンです。
Plugandpwnは、Windows Updateを通じて配信される信頼済みのデバイスドライバパッケージを、管理者権限もユーザーの操作も、場合によっては物理的なUSBハードウェアさえも必要とせずに攻撃者が悪用できることを実証しています。核心となる問題はUSB列挙処理そのものの欠陥ではありません。
研究者らはむしろ、Windows PnPが接続されたデバイスのハードウェア識別子を自動的に解決し、それに一致する署名済みドライバパッケージをダウンロードし、インストールコンポーネントをSYSTEMとして実行する際に、特権を伴う配信メカニズムと化してしまう点を問題視しています。
悪意ある攻撃者は標的とするベンダーIDとプロダクトIDを持つデバイスをエミュレートすることで、脆弱、あるいは論理的に安全性を欠くベンダーソフトウェアをWindowsにインストールさせることができます。
物理的な「Plug & Pwn」の概念実証では、FaceDancerハードウェアを用いたLinux攻撃マシンが、アクティブなユーザーセッションが存在しない完全にパッチ適用済みのWindows 11システムに対し、Sierra WirelessおよびSonyのデバイスをエミュレートします。
Sierraのコンポーネントは、Everyoneに書き込み権限が付与された名前付きパイプを公開するSYSTEMサービスをインストールします。このパイプを通じて、攻撃者はDNS設定関数を呼び出し、被害者のDNSトラフィックをリダイレクトできます。
続いてこのチェーンは、Sony FeliCaデバイスをエミュレートします。その署名済みコインストーラーは、暗号化されていないHTTP経由で設定ファイルを取得し、バックスラッシュやトラバーサルシーケンスを十分にフィルタリングすることなく、攻撃者が制御可能なURLからファイル名を導出します。
これにより、任意のSYSTEMレベルでのファイル書き込みが可能になるとされ、悪意あるDLLをSystem32に配置できてしまいます。その後Sierraデバイスを再エミュレートすると、仕込まれたDLLがロードされ、ユーザーがログインする前にSYSTEMレベルでのコード実行に至ります。
研究者らはまた、仮想デスクトップインフラ(VDI)環境などRDP USBリダイレクトが有効な環境を標的とするリモート版「NoPlug & Pwn」も開発しています。
標準的なRDPユーザーは、URBDRCチャネル経由でUSBディスクリプタを偽装できるとされ、これによりリモートのWindowsホストは物理的に存在しないデバイスを列挙してしまいます。
ある概念実証では、研究者らはIntel RealSenseカメラになりすましました。Windowsはマイクロソフト署名済みのドライバパッケージをダウンロード・インストールし、そのコインストーラーはユーザーが書き込み可能なディレクトリに実行可能ファイルを配置してSYSTEMとして実行するとされています。
その実行可能ファイルと並べて悪意あるCRYPTBASE.dllを配置することで、低権限のRDPユーザーはDLLサイドローディングを引き起こし、リモートで権限を昇格させることができます。
別のチェーンでは、PnP経由でインストールされたWacomとAtherosのソフトウェアパッケージを組み合わせています。Wacomサービスには、特定のレジストリ値が存在する場合に対話型のSYSTEMコマンドプロンプトを起動できるコードパスが含まれています。
しかし、その値を書き込むには管理者権限が必要です。ここで足りないプリミティブを補うのがAtherosサービスです。ユーザーが制御可能な設定ファイルを読み込み、特権を伴うレジストリ変更を実行します。
Plugandpwnはこの2つのコンポーネントを橋渡しし、Atherosを利用して悪意あるプリントモニターDLLをレジストリに登録します。再起動後、Windowsの印刷スプーラーがそのDLLをSYSTEMとしてロードします。このDLLは必要なWacomのレジストリ値を設定し、Wacomサービスを再起動させることができます。
今回の調査結果は、より広範なリスクを浮き彫りにしています。すなわち、Windows Updateで配信される署名済みのドライバパッケージは暗号学的には信頼できるものであっても、インストール時の挙動には依然として危険が潜んでいる可能性があるということです。
組織は、USBデバイスのインストールを制限し、不要なRDP USBリダイレクトを無効化し、レガシーなドライバパッケージを棚卸しした上で、予期しないドライバのインストール、プリントモニターの登録、DNSの変更、ユーザーと対話するSYSTEMサービスを監視すべきです。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの完全な可視性を獲得し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/new-plug-pwn-attack-abuses-windows-plug-play/
