Bahaya Tersembunyi di Balik Otomatisasi USB Windows

Bahaya Tersembunyi di Balik Otomatisasi USB Windows – Peneliti keamanan siber mengungkap teknik serangan baru bernama “Plug and Pwn” yang mengeksploitasi fitur bawaan Windows Plug and Play (PnP).

Teknik ini memaksa sistem operasi Windows mengunduh dan menginstal perangkat lunak atau driver vendor yang rentan, lalu menggunakannya untuk memperoleh hak akses tertinggi (NT AUTHORITY\SYSTEM).

Riset yang dipresentasikan pada ajang DEF CON 34 oleh peneliti Alejandro Hernando dan Borja Martínez ini menyoroti bagaimana Windows secara otomatis mengidentifikasi perangkat keras (hardware) baru, mencari paket driver yang cocok, dan mengeksekusinya di tingkat sistem.

Menariknya, beberapa rantai serangan ini dapat dieksekusi tanpa memerlukan interaksi pengguna (zero-click), bahkan tanpa pengguna harus login, serta dapat dilancarkan secara jarak jauh melalui koneksi Remote Desktop Protocol (RDP).

Penyalahgunaan Windows Plug and Play

Windows mendukung fitur bernama co-installers, yang secara otomatis mengunduh dan menginstal aplikasi pendukung vendor saat perangkat USB baru dicolokkan.

Mengapa Fitur Ini Berbahaya?

Ketika Windows mendeteksi hardware baru, sistem akan mengambil paket resmi yang bertanda tangan (signed vendor packages) dan menjalankan komponen vendor tersebut sebagai SYSTEM.

Jalur instalasi dengan hak akses tinggi ini berjalan secara otomatis tanpa menampilkan peringatan User Account Control (UAC) kepada pengguna.

Para peneliti menjelaskan bahwa Plug and Pwn berfokus pada kerentanan alur instalasi perangkat Windows itu sendiri, bukan sekadar memanfaatkan cacat pada satu aplikasi vendor tertentu.

Perangkat USB Palsu hingga Serangan Jarak Jauh 

Para peneliti memperagakan dua metode utama untuk mengeksploitasi fitur ini:

1. Eksploitasi Fisik Menggunakan Perangkat USB Palsu (Hardware Emulation)

Dengan menggunakan framework FaceDancer pada perangkat Linux/Raspberry Pi, peneliti memalsukan identitas perangkat USB agar dikenali oleh Windows sebagai hardware resmi tertentu.

Skenario Serangan Zero-Click (Sierra Wireless & Sony FeliCa):

• Peneliti menyamar sebagai perangkat Sierra Wireless, memicu Windows menginstal aplikasi yang dapat digunakan untuk mengubah pengaturan DNS komputer.
• Peneliti kemudian menyamar sebagai perangkat Sony FeliCa, memicu instalasi perangkat lunak Sony yang mengunduh berkas melalui koneksi tidak terenkripsi (HTTP).
• Dengan mengendalikan DNS, unduhan dialihkan ke server peretas untuk menanamkan berkas berbahaya berhak akses SYSTEM.
• Peneliti menyamar kembali sebagai perangkat Sierra untuk memuat berkas berbahaya tersebut dan membuka reverse shell berhak akses SYSTEM.

Seluruh alur serangan ini berhasil diuji pada Windows 11 yang diperbarui sepenuhnya, tanpa ada pengguna yang login, dan hanya membutuhkan waktu sekitar lima menit.

2. Serangan Jarak Jauh “NoPlug & Pwn” via RDP

Serangan ini tidak memerlukan perangkat keras fisik sama sekali. Peneliti memanfaatkan fitur RDP USB redirection, fitur yang memungkinkan perangkat USB di komputer lokal diakses di dalam sesi Windows jarak jauh.

Peneliti membuat klien RDP berbasis Python yang mengirimkan deskriptor USB buatan saat terhubung via RDP. Komputer Windows target menganggap deskriptor palsu tersebut sebagai perangkat USB asli yang dicolokkan.

Lalu otomatis mengunduh dan menginstal driver serta co-installer vendor (seperti driver kamera Intel RealSense) sebagai SYSTEM. Peretas kemudian menggunakan teknik DLL hijacking untuk mengambil alih kendali penuh.

Langkah Mitigasi dan Pengerasan Sistem

Meskipun masalah utama terletak pada arsitektur instalasi perangkat Windows, ada beberapa langkah yang dapat diambil oleh administrator sistem untuk menekan risiko serangan ini:

1.  Menonaktifkan Fitur Co-Installers via Registry

Administrator dapat mencegah paket driver mengeksekusi co-installers otomatis dengan menambahkan nilai Registry berikut:

Path: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Device Installer

Name: DisableCoInstallers (DWORD-32)

Value: 1

Catatan: Meskipun langkah ini dapat menggagalkan beberapa rantai serangan (seperti kasus Sony FeliCa dan Intel RealSense), peneliti menegaskan bahwa langkah ini tidak menghilangkan seluruh area serangan, karena pemrosesan berkas INF dan layanan driver tetap berjalan.

2.  Rekomendasi Pengerasan Sistem Tambahan

• Batasi Instalasi Perangkat: Terapkan kebijakan pembatasan instalasi perangkat (device installation restrictions) atau gunakan daftar putih ID perangkat keras (hardware-ID allow-lists).
• Matikan PnP Redirection pada RDP/VDI: Nonaktifkan pengalihan perangkat PnP pada host RDP dan lingkungan Virtual Desktop Infrastructure (VDI) yang tidak membutuhkannya dengan mengaktifkan kebijakan fDisablePNPRedir.

Sumber berita:

WeLiveSecurity