Un equipo de investigadores ha descrito una técnica que aprovecha una funcionalidad legítima de Windows: Plug and Play. En su investigación explican cómo, bajo condiciones concretas, el flujo de instalación de dispositivos puede desviarse para terminar en ejecución de código con privilegios SYSTEM en un equipo con Windows 11 actualizado.
La idea central del ataque USB Plug and Play es convertir la ruta de instalación de controladores en un vector de toma de control. Aunque el mecanismo nace en el entorno local (emulación de un dispositivo USB), también existe una variante remota que utiliza RDP y redirección de periféricos.
Cómo funciona el ataque USB Plug and Play en Windows 11
Windows Plug and Play recibe información del hardware que “parece” conectarse: identifica el dispositivo mediante hardware IDs y compatible IDs. Con esos identificadores, el sistema busca un paquete de controlador coincidente e inicia componentes de instalación.
El problema que señalan los investigadores no es que Windows en sí “falle” en el paso de selección, sino que el proceso de instalación puede ser encadenado con puntos débiles adicionales en paquetes de terceros y en la manera en que se ejecutan instaladores o se resuelven rutas de archivos.
La cadena local: de un dispositivo emulado a SYSTEM
En la demostración local, el atacante no necesita un USB real. En su lugar, construyen una emulación de dispositivo que hace que Windows siga el camino habitual de instalación.
Los investigadores describen una cadena con varios pasos:
- Emulación de un dispositivo para que Windows instale un componente asociado a ese fabricante.
- Uso de un servicio de nivel SYSTEM que expone una primitiva para redirigir DNS.
- Emulación posterior de otro lector (de tipo “tarjeta”) para desencadenar un instalador que recupera archivos de configuración mediante HTTP en texto plano.
- Construcción de nombres de archivo locales derivados de la ruta del URL, lo que abre la puerta a un fallo de path traversal.
- Re-conexión del dispositivo emulado para que Windows cargue el DLL plantado y se alcance el control final como SYSTEM.
Un punto importante: la prueba se realizó en un entorno con Windows 11 completamente actualizado. Por ello, los autores advierten que no conviene generalizar el resultado a versiones no probadas del sistema operativo.
La variante remota: misma idea, activación por RDP
Además del escenario físico, los investigadores indican que el flujo puede activarse sin hardware real cuando se usa Remote Desktop y está disponible la redirección Plug and Play o la redirección USB a bajo nivel.
Según Microsoft, esta exposición no está habilitada por defecto. La técnica remota consiste en reemplazar el “dispositivo conectado” por tráfico USB sintético sobre RDP. Con un cliente en Python, el atacante forja la identidad del dispositivo y presenta un dispositivo ficticio, haciendo que Windows siga el mismo camino de instalación redirigido.
Los autores describen que el software de ese dispositivo (en su demostración, relacionado con RealSense) puede verse abusado mediante una secuestro de orden de búsqueda (search-order hijack) para localizar un CRYPTBASE.dll desde un directorio donde el usuario tiene escritura. Así se convierte la ejecución en SYSTEM para un usuario autenticado de mínimos privilegios.
Qué hace que el método dependa de la configuración
En ambos casos, el ataque USB Plug and Play no se plantea como un “golpe automático” para cualquier Windows 11. La técnica depende de precondiciones y decisiones de configuración.
En primer lugar, para el escenario local, el atacante debe poder presentar un dispositivo USB emulado al objetivo. Es decir: necesita un canal para inyectar la identidad del dispositivo que Windows procesará.
En segundo lugar, para el escenario remoto, el acceso a la funcionalidad de redirección es crítico. Los investigadores señalan que Remote Desktop Services no permite de forma predeterminada Plug and Play y la redirección USB tipo RemoteFX, y que la documentación de redirección USB exige habilitar Plug and Play antes de que funcione el reenvío de bajo nivel.
En resumen: si un administrador no necesita esa capacidad, puede mantenerla deshabilitada para reducir superficie de ataque.
Restricciones de instalación: cómo mitigar por políticas
Los autores también destacan que Microsoft ofrece mecanismos para restringir qué dispositivos pueden instalarse, basándose en criterios como:
- hardware IDs y compatible IDs,
- device-instance ID,
- setup class.
Cuando el servidor está en modo de RDP, estas políticas pueden influir también en los dispositivos redirigidos. Por tanto, una estrategia de defensa no es solo “desactivar”, sino también limitar qué dispositivos se aceptan o cuáles se bloquean.
Lo que la investigación deja claro sobre paquetes de terceros
Otro aspecto del que los investigadores hacen énfasis es que el abuso se apoya en la combinación entre una ruta de instalación privilegiada y debilidades en componentes firmados de terceros. En este tipo de ataques, “parece legítimo” porque se aprovecha la confianza asociada a procesos de instalación que usan firmas, pero el problema aparece cuando dentro del ecosistema hay flujos explotables.
También aclaran que los detalles relacionados con fabricantes concretos usados en la demostración pertenecen al trabajo de los investigadores, y que no deben presentarse como una afirmación general sobre otros productos del mismo proveedor, a menos que existan evidencias independientes confirmando hallazgos comparables.
Recomendaciones prácticas para equipos y administradores
Si gestionas equipos con Windows 11 o servidores con RDP, esta investigación sugiere acciones concretas:
- Revisa la redirección USB y Plug and Play en entornos de Remote Desktop y mantén estas funciones deshabilitadas si no son necesarias.
- Aplica restricciones de instalación por hardware IDs, compatible IDs, device-instance ID y setup class para limitar periféricos permitidos.
- Mantén Windows actualizado y controla versiones, ya que el impacto demostrando se basó en un sistema totalmente actualizado.
- Audita software y paquetes de terceros que puedan participar en procesos de instalación de controladores, especialmente si contienen instaladores o componentes que descargan contenido o escriben en rutas sensibles.
- Reduce privilegios: aunque la técnica se centra en llegar a SYSTEM, cuanto menos capacidad tenga el usuario inicial, menor es la probabilidad de completar la cadena.
Conclusión
El ataque USB Plug and Play descrito por investigadores muestra cómo una ruta diseñada para que Windows instale controladores “correctos” puede convertirse en un mecanismo de toma de control cuando se encadena con fallos adicionales y se cumplen condiciones de emulación o redirección.
La clave no es el simple hecho de conectar un USB, sino el contexto: emulación del dispositivo, disponibilidad de redirección en RDP y políticas que determinen qué se instala. Con controles adecuados —especialmente deshabilitar redirección innecesaria y aplicar restricciones por IDs— es posible reducir de forma significativa el riesgo.
Fuente: https://thehackernews.com/2026/08/researchers-turn-usb-auto-install-into.html
