Ein präparierter USB-Stick, ein frisch installiertes Windows 11 – und noch bevor sich jemand anmeldet, läuft fremder Code mit den höchsten Rechten des Systems. Was klingt wie ein Filmklischee, haben zwei Sicherheitsforscher auf der DEF CON 34 vorgeführt. Ihr Projekt heißt Plug & Pwn und zeigt, wie die automatische Treiberinstallation von Windows zum Einfallstor wird.
Wie der Angriff funktioniert
Kern des Ganzen ist Windows Plug and Play (PnP): Steckt ein neues Gerät, erkennt Windows es, lädt den passenden Treiber über Windows Update und ruft die Installationskomponenten mit SYSTEM-Rechten auf. Der Clou der Forscher Alejandro Hernando (0xedh) und Borja Martínez: Ein Angreifer braucht dafür keine Administratorrechte, keine angemeldete Sitzung und keine vorinstallierte Hersteller-Software.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Im physischen Szenario emuliert ein Linux-System mit dem Werkzeug FaceDancer beliebige USB-Geräte. Windows installiert brav die zugehörige Hersteller-Software. In der gezeigten Kette lassen sich dann Schwächen zweier signierter Pakete verbinden: Ein Dienst von Sierra Wireless stellt eine für normale Nutzer erreichbare Named Pipe bereit, über die sich die DNS-Konfiguration verbiegen lässt. Ein Sony-FeliCa-Zusatzinstaller lädt daraufhin Konfigurationsdaten über unverschlüsseltes HTTP und verarbeitet Pfade unsicher. Das Ergebnis: Eine bösartige DLL landet in einem geschützten Windows-Verzeichnis und wird als SYSTEM ausgeführt – vor der ersten Anmeldung.
Wichtig: Es ist keine einzelne Windows-Lücke, sondern ein Lieferketten-Problem signierter Treiberpakete. Eine gültige Code-Signatur bestätigt nur Herausgeber und Unversehrtheit – nicht, dass jeder Installer, Dienst oder jede Registry-Operation darin sicher gebaut ist.
NoPlug & Pwn: dasselbe ganz ohne USB-Stecker
Noch unangenehmer ist die Variante „NoPlug & Pwn”, die keinen physischen Zugang mehr braucht. Sie missbraucht die USB-Umleitung von Remote Desktop (RDP), wie sie in virtuellen Desktop-Umgebungen oft aktiv ist. Über einen selbstgebauten RDP-Client fälschten die Forscher USB-Gerätebeschreibungen für Hardware, die es gar nicht gibt. Ist die PnP-Umleitung auf dem Server aktiv, folgt Windows dem üblichen Treiber-Ablauf – und über einen unsicher suchenden Zusatzinstaller eines Intel-RealSense-Pakets landet man erneut bei SYSTEM-Rechten. Für VDI-Betreiber ist das ein realer Angriffspfad aus der Ferne.
Was das für dich bedeutet
Einordnung: Das ist eine lokale Rechteausweitung (physisch oder in VDI-Umgebungen mit aktiver USB-Umleitung) – kein Fernangriff, der beliebige Rechner übers Internet übernimmt. Für Windows- und Active-Directory-Umgebungen ist die Lehre trotzdem klar: Die Kette von Standardnutzer zu SYSTEM ist kürzer, als viele denken – und Code-Signatur allein schützt nicht. Das reiht sich in bekannte Rechteausweitungen wie LegacyHive ein, nur dass hier der Weg über Treiberpakete führt.
Was du konkret härten solltest:
- USB-Geräteinstallation per Gruppenrichtlinie einschränken: Erlaube nur bekannte Geräteklassen und unterbinde die automatische Installation beliebiger neuer Hardware.
- RDP-USB- und PnP-Umleitung abschalten, wo sie nicht zwingend gebraucht wird – besonders auf VDI- und Terminalservern.
- Treiberpakete auditieren und ungewöhnliche Treiberinstallationen überwachen. Achte auf privilegierte Dienste, die Dateien, Registry-Werte oder Konfigurationen aus für Normalnutzer beschreibbaren Orten einlesen.
Die Forscher haben Proof-of-Concept-Werkzeuge veröffentlicht, damit Verteidiger die Angriffspfade nachstellen und prüfen können – ein guter Anlass, die eigene Geräte- und Treiber-Politik zu überdenken.
Quellen
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden