Ein präparierter USB-Stick, ein frisch installiertes Windows 11 – und noch bevor sich jemand anmeldet, läuft fremder Code mit den höchsten Rechten des Systems. Was klingt wie ein Filmklischee, haben zwei Sicherheitsforscher auf der DEF CON 34 vorgeführt. Ihr Projekt heißt Plug & Pwn und zeigt, wie die automatische Treiberinstallation von Windows zum Einfallstor wird.
Wie der Angriff funktioniert
Kern des Ganzen ist Windows Plug and Play (PnP): Steckt ein neues Gerät, erkennt Windows es, lädt den passenden Treiber über Windows Update und ruft die Installationskomponenten mit SYSTEM-Rechten auf. Der Clou der Forscher Alejandro Hernando (0xedh) und Borja Martínez: Ein Angreifer braucht dafür keine Administratorrechte, keine angemeldete Sitzung und keine vorinstallierte Hersteller-Software.
Im physischen Szenario emuliert ein Linux-System mit dem Werkzeug FaceDancer beliebige USB-Geräte. Windows installiert brav die zugehörige Hersteller-Software. In der gezeigten Kette lassen sich dann Schwächen zweier signierter Pakete verbinden: Ein Dienst von Sierra Wireless stellt eine für normale Nutzer erreichbare Named Pipe bereit, über die sich die DNS-Konfiguration verbiegen lässt. Ein Sony-FeliCa-Zusatzinstaller lädt daraufhin Konfigurationsdaten über unverschlüsseltes HTTP und verarbeitet Pfade unsicher. Das Ergebnis: Eine bösartige DLL landet in einem geschützten Windows-Verzeichnis und wird als SYSTEM ausgeführt – vor der ersten Anmeldung.
Wichtig: Es ist keine einzelne Windows-Lücke, sondern ein Lieferketten-Problem signierter Treiberpakete. Eine gültige Code-Signatur bestätigt nur Herausgeber und Unversehrtheit – nicht, dass jeder Installer, Dienst oder jede Registry-Operation darin sicher gebaut ist.
Dein AD härten: 12 Sofortmaßnahmen
Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.
Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.
NoPlug & Pwn: dasselbe ganz ohne USB-Stecker
Noch unangenehmer ist die Variante „NoPlug & Pwn“, die keinen physischen Zugang mehr braucht. Sie missbraucht die USB-Umleitung von Remote Desktop (RDP), wie sie in virtuellen Desktop-Umgebungen oft aktiv ist. Über einen selbstgebauten RDP-Client fälschten die Forscher USB-Gerätebeschreibungen für Hardware, die es gar nicht gibt. Ist die PnP-Umleitung auf dem Server aktiv, folgt Windows dem üblichen Treiber-Ablauf – und über einen unsicher suchenden Zusatzinstaller eines Intel-RealSense-Pakets landet man erneut bei SYSTEM-Rechten. Für VDI-Betreiber ist das ein realer Angriffspfad aus der Ferne.
Was das für dich bedeutet
Einordnung: Das ist eine lokale Rechteausweitung (physisch oder in VDI-Umgebungen mit aktiver USB-Umleitung) – kein Fernangriff, der beliebige Rechner übers Internet übernimmt. Für Windows- und Active-Directory-Umgebungen ist die Lehre trotzdem klar: Die Kette von Standardnutzer zu SYSTEM ist kürzer, als viele denken – und Code-Signatur allein schützt nicht. Das reiht sich in bekannte Rechteausweitungen wie LegacyHive ein, nur dass hier der Weg über Treiberpakete führt.
Was du konkret härten solltest:
- USB-Geräteinstallation per Gruppenrichtlinie einschränken: Erlaube nur bekannte Geräteklassen und unterbinde die automatische Installation beliebiger neuer Hardware.
- RDP-USB- und PnP-Umleitung abschalten, wo sie nicht zwingend gebraucht wird – besonders auf VDI- und Terminalservern.
- Treiberpakete auditieren und ungewöhnliche Treiberinstallationen überwachen. Achte auf privilegierte Dienste, die Dateien, Registry-Werte oder Konfigurationen aus für Normalnutzer beschreibbaren Orten einlesen.
Die Forscher haben Proof-of-Concept-Werkzeuge veröffentlicht, damit Verteidiger die Angriffspfade nachstellen und prüfen können – ein guter Anlass, die eigene Geräte- und Treiber-Politik zu überdenken.
Quellen
Mehr Klartext, direkt ins Postfach
Neue Analysen zu Security, KI und Crypto per Mail – zum Einstieg die AD-Checkliste mit 12 Sofortmaßnahmen als PDF.
Zur Anmeldung