Serangan “Plug and Pwn” Bisa Eksploitasi USB Palsu untuk Mendapatkan Akses SYSTEM di Windows

Ahmandonk.com — Peneliti keamanan mengungkap teknik serangan baru bernama “Plug and Pwn” yang memanfaatkan fitur Windows Plug and Play (PnP) untuk mendapatkan hak akses SYSTEM pada komputer Windows.

Serangan ini menarik perhatian karena tidak selalu membutuhkan interaksi pengguna. Dalam beberapa skenario yang didemonstrasikan peneliti, Windows dapat secara otomatis mendeteksi perangkat USB palsu, mencari paket driver yang sesuai, kemudian menjalankan komponen perangkat lunak dari vendor dengan hak istimewa NT AUTHORITY\SYSTEM.

Lebih mengejutkan lagi, salah satu varian serangan yang disebut “NoPlug & Pwn” dapat dilakukan melalui Remote Desktop Protocol (RDP) tanpa membutuhkan perangkat USB fisik.

Memanfaatkan Windows Plug and Play

Riset Plug and Pwn dipresentasikan pada konferensi DEF CON 34 oleh peneliti keamanan Alejandro Hernando dan Borja Martínez.

Windows memiliki mekanisme Plug and Play yang memungkinkan sistem secara otomatis mengenali perangkat baru, mencari driver yang sesuai, dan memasang perangkat lunak pendukung dari vendor.

Masalahnya, proses instalasi tersebut dapat melibatkan komponen seperti:

• Driver perangkat
• Co-installer
• Service
• Executable pendukung
• Komponen vendor lainnya

Beberapa komponen tersebut dapat dijalankan menggunakan hak akses SYSTEM, bahkan tanpa menampilkan prompt UAC kepada pengguna.

Menurut para peneliti, kondisi tersebut dapat menjadi jalur serangan ketika paket perangkat lunak vendor yang dipasang secara otomatis memiliki kelemahan yang dapat dieksploitasi.

“Razer bug is the same family. The difference is that we went after the install path itself instead of one vendor’s installer.”

Dengan kata lain, riset ini tidak hanya berfokus pada satu produk vendor tertentu, tetapi mengeksplorasi jalur instalasi perangkat melalui Windows Plug and Play itu sendiri.

USB Palsu Bisa Menyamar sebagai Perangkat Resmi

Dalam demonstrasinya, peneliti menggunakan perangkat keras yang menjalankan FaceDancer, bersama perangkat seperti Cynthion dan GreatFET yang terhubung ke komputer Linux.

Teknologi tersebut memungkinkan perangkat USB untuk mengemulasikan identitas perangkat lain.

Windows kemudian dapat melihat perangkat tersebut seolah-olah merupakan hardware tertentu dan mencoba mencari paket driver yang cocok.

Salah satu teknik yang digunakan adalah membuat perangkat tampil sebagai perangkat komposit sehingga Windows menggunakan usbccgp.sys dan melakukan enumerasi terhadap masing-masing interface.

Perangkat kemudian dapat melakukan re-enumeration, yaitu menghilang dan muncul kembali dengan identitas hardware berbeda.

Dengan teknik tersebut, peneliti dapat memicu rangkaian instalasi beberapa paket perangkat lunak vendor.

Serangan Sony dan Sierra Wireless

Dalam demonstrasi zero-click secara fisik, peneliti menggabungkan perilaku instalasi perangkat dari Sierra Wireless dan Sony FeliCa.

Rangkaian serangannya secara sederhana adalah:

1. Perangkat palsu menyamar sebagai perangkat Sierra Wireless.
2. Windows memasang perangkat lunak terkait.
3. Komponen tersebut dimanfaatkan untuk mengubah konfigurasi DNS.
4. Perangkat kemudian menyamar sebagai Sony FeliCa.
5. Windows memasang perangkat lunak Sony lainnya.
6. Perangkat lunak tersebut mengunduh file melalui koneksi yang tidak terenkripsi.
7. DNS yang telah dimanipulasi mengarahkan proses download ke server milik penyerang.
8. Kelemahan pada perangkat lunak Sony dimanfaatkan untuk menempatkan file berbahaya dengan hak SYSTEM.
9. Perangkat kembali menyamar sebagai Sierra Wireless.
10. Windows memuat file berbahaya tersebut dan penyerang memperoleh reverse shell dengan hak SYSTEM.

Peneliti mengatakan serangan tersebut berhasil dilakukan terhadap komputer Windows 11 yang telah diperbarui, bahkan ketika tidak ada pengguna yang sedang login.

Seluruh proses demonstrasi membutuhkan waktu sekitar lima menit.

Tidak Harus Menggunakan USB Fisik

Salah satu bagian paling menarik dari riset ini adalah varian yang dinamakan “NoPlug & Pwn”.

Teknik ini memanfaatkan fitur USB redirection pada RDP.

USB redirection memungkinkan perangkat USB yang terhubung ke komputer lokal pengguna diteruskan ke sesi Windows remote. Dalam penelitian tersebut, peneliti membuat klien RDP Python yang mengirimkan descriptor USB tertentu saat melakukan koneksi.

Windows di sisi remote kemudian memperlakukan descriptor tersebut sebagai perangkat USB sungguhan.

Dengan demikian, sistem dapat membuat perangkat Plug and Play dan memulai proses instalasi driver tanpa adanya perangkat USB fisik yang benar-benar terpasang pada komputer target.

Eksploitasi Intel RealSense

Dalam demonstrasi NoPlug & Pwn, peneliti menyamar sebagai kamera Intel RealSense.

Paket Windows Update untuk perangkat tersebut memiliki co-installer yang dapat disalahgunakan melalui DLL hijacking untuk mendapatkan hak SYSTEM.

Serangan ini hanya dapat dilakukan pada sistem yang mengaktifkan USB redirection, tetapi menurut peneliti fitur tersebut cukup umum digunakan dalam lingkungan virtual desktop infrastructure (VDI).

Artinya, organisasi yang mengandalkan RDP atau VDI perlu memperhatikan risiko ini, khususnya pada lingkungan yang memungkinkan perangkat USB diteruskan ke mesin remote.

DisableCoInstallers Bisa Membantu, tetapi Tidak Sepenuhnya Mengatasi Masalah

Analis kerentanan Will Dormann menyarankan administrator Windows untuk mengaktifkan registry value DisableCoInstallers.

Pengaturan tersebut berada di:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Device Installer

Administrator dapat membuat nilai DWORD 32-bit:

DisableCoInstallers

dan mengaturnya menjadi:

1

Konfigurasi ini dapat mencegah driver package menjalankan co-installer ketika proses instalasi perangkat berlangsung.

Namun, langkah tersebut bukan solusi menyeluruh.

Menurut Alejandro Hernando, pengaturan tersebut memang dapat mematahkan beberapa rangkaian serangan yang mereka demonstrasikan, termasuk serangan Sony FeliCa dan Intel RealSense melalui RDP.

Tetapi mekanisme lain dalam Plug and Play tetap tersedia, termasuk:

• PnP enumeration
• Windows Update driver resolution
• Driver staging
• INF processing
• Service yang dipasang melalui INF

Para peneliti bahkan mendemonstrasikan skenario lain yang memanfaatkan paket Wacom dan Atheros, termasuk kerentanan CVE-2019-10617 pada service driver Atheros yang dipasang melalui file INF, bukan co-installer.

Bagaimana Administrator Windows Mengurangi Risikonya?

Untuk komputer atau lingkungan yang sensitif, peneliti merekomendasikan agar DisableCoInstallers tidak digunakan sebagai satu-satunya pertahanan.

Beberapa langkah yang dapat dipertimbangkan administrator antara lain:

• Mengaktifkan DisableCoInstallers.
• Membatasi instalasi perangkat berdasarkan hardware ID allow-list.
• Membatasi perangkat USB yang boleh digunakan pada komputer sensitif.
• Menonaktifkan USB redirection pada RDP/VDI jika tidak diperlukan.
• Menggunakan kebijakan pembatasan instalasi device melalui Group Policy.
• Memastikan sistem Windows dan driver selalu mendapatkan pembaruan keamanan.
• Memantau pemasangan driver dan service baru.
• Menggunakan EDR untuk mendeteksi proses tidak biasa yang berjalan sebagai SYSTEM.

Untuk lingkungan RDP/VDI, perhatian khusus perlu diberikan pada konfigurasi PnP device redirection, karena serangan NoPlug & Pwn menunjukkan bahwa perangkat virtual dapat diperlakukan Windows seperti hardware yang benar-benar terhubung.

Bukan Sekadar Masalah USB

Riset Plug and Pwn menunjukkan bahwa ancaman dari perangkat USB tidak selalu berupa BadUSB klasik yang menjalankan perintah sebagai keyboard palsu.

Permasalahan yang lebih mendasar adalah bagaimana Windows menangani perangkat baru dan secara otomatis mempercayai paket perangkat lunak yang terkait dengan hardware tersebut.

Dalam kondisi tertentu, proses otomatis tersebut dapat menyebabkan software vendor dijalankan menggunakan hak SYSTEM.

Yang membuat teknik ini semakin menarik adalah fakta bahwa serangan tidak selalu membutuhkan klik pengguna, bahkan dalam skenario tertentu dapat dilakukan dari jarak jauh melalui RDP.

Karena itu, administrator Windows tidak cukup hanya mengandalkan antivirus atau memblokir USB secara umum. Kontrol terhadap instalasi perangkat, driver, co-installer, dan USB redirection pada RDP/VDI juga perlu menjadi bagian dari strategi keamanan endpoint.