Windows Plug and Play is ontworpen om hardware automatisch te herkennen en daarbij passende, ondertekende software te installeren. Maar precies die “legitieme” keten kan in handen van een aanvaller veranderen in een route naar SYSTEM-code-uitvoering. Onderzoekers beschrijven hoe USB auto-install kan worden omgebogen tot een volledige overname op Windows 11, zelfs op een systeem dat volledig is bijgewerkt.
De kern van het verhaal: Windows gebruikt hardware- en compatibiliteits-ID’s om een bijpassend driverpakket te selecteren. Wanneer een aanvaller een gemuimd USB-apparaat presenteert (of remote een USB-identiteit simuleert), kan de installatieflow leiden tot uitvoering van geprivilegieerde componenten—onder voorwaarden die Microsoft niet als standaard blootstelling ziet.
Hoe USB auto-install verandert in SYSTEM-toegang
De onderzoekers, Alejandro Hernando en Borja Martinez, presenteren hun aanpak onder de titel “Plug And Pwn” tijdens DEF CON 34. Zij bouwden tooling waarmee willekeurige USB-apparaten kunnen worden nagebootst, zodat Windows het installation-pad voor dat “apparaat” volgt.
Volgens hun beschrijving kan een niet-geprivilegieerde gebruiker—mits de juiste voorwaarden aanwezig zijn—deze PnP-installatiestap omzetten in uitvoering op SYSTEM.
De fysieke aanvalsketen (lokale USB-emulatie)
In hun demonstratie start de aanval met het emuleren van een specifiek type hardware. Zodra Windows het gesimuleerde apparaat herkent, installeert het een bijbehorende servicecomponent die als SYSTEM draait.
Daarna zetten de onderzoekers een volgende stap in: ze gebruiken die service om DNS-verkeer te omleiden. Vervolgens emuleren ze een ander apparaat (een reader-variant), waardoor een co-installatiemechanisme configuratiebestanden ophaalt via plaintext HTTP en lokale bestandsnamen afleidt op basis van de URL-padstructuur.
De beveiligingsfout waar de keten om draait, is een path-traversal-kwetsbaarheid. Daarmee kunnen ze een DLL wegzetten in System32. Wanneer het eerste gesimuleerde apparaat wordt “herverbonden”, wordt de geplaatste DLL geladen, waarna de onderzoekers alsnog uitkomen op SYSTEM.
Let op de nuance die zij zelf benadrukken: hun bewijs komt uit een setup met een volledig bijgewerkt Windows 11-systeem. De techniek is dus niet zomaar universeel te generaliseren naar alle Windows-versies of configuraties.
Remote variant via RDP: USB-redirectie is cruciaal
Naast de lokale keten beschrijven de onderzoekers een remote aanpak. In plaats van fysiek USB-hardware te tonen, bootsen zij de benodigde USB-identiteit na via synthetische USB-verkeerstromen over Remote Desktop Protocol (RDP).
Ze stellen dat deze route alleen mogelijk is wanneer Plug and Play-ondersteuning of lage-level USB-redirectie is geconfigureerd. Microsoft geeft daarbij aan dat deze redirectie niet als standaardinstelling geldt.
Concreet: hun Python-client simuleert een USB-identiteit waardoor Windows een “phantom” apparaattype (in hun demonstratie gekoppeld aan Intel RealSense-mechanismen) volgt en het bijbehorende installatiepad activeert. Daarmee wordt de fysieke ketenvervolglogica remote opnieuw doorlopen.
Daarna misbruiken ze een search-order hijack rond CRYPTBASE.dll. Door het pad te laten uitkomen op een map die een gebruiker kan beschrijven, kan de low-privilege gebruiker alsnog uitgroeien tot SYSTEM code execution via de geauthenticeerde installatieflow.
Waarom dit niet “automatisch” voor iedereen geldt
Een belangrijk punt uit het onderzoek is dat de remote route configuratie-afhankelijk is. In de communicatie van Microsoft staat dat RDP niet standaard de ondersteunde Plug and Play én RemoteFX USB-redirectie toestaat, en dat de richtlijnen voor USB-redirectie vereisen dat Plug and Play-redirectie eerst is ingeschakeld.
Voor beheerders betekent dit: als je de functie niet nodig hebt, kun je ze juist uit laten. Daarnaast bestaan er device-installatiebeperkingen waarmee je op basis van hardware- of compatibiliteits-ID’s, device-instance ID’s en setup class apparaten kunt toestaan of blokkeren.
Op een RDP-server kunnen die beleidsregels bovendien ook doorwerken naar gespiegelde of doorgestuurde (redirected) apparaten.
Het mechanisme achter de schermen: driverselectie op basis van ID’s
De onderzoekers verwijzen naar Microsoft’s eigen driverdocumentatie over de selectie. Windows krijgt hardware- en compatible IDs binnen en gebruikt die informatie om een passend driverpakket te vinden.
Die stap is op zich logisch: het is bedoeld om “het juiste” installatiepakket te kiezen bij een bepaald apparaat. In dit onderzoek wordt datzelfde selectieprincipe gebruikt als hefboom: de aanvaller stuurt Windows een profiel aan dat overeenkomt met een gewenste target in de installatorketen.
Wat er precies wordt misbruikt: combinaties van legitieme routes
De aanval is geen enkelvoudige bug die één slag wint. Het is een samengestelde aanpak: een legitieme geprivilegieerde installatieflow wordt gecombineerd met zwakheden in (onderdelen van) ondertekeningsketens of vendor-specifieke pakketten en installatiemechanismen.
De details die in de keten terugkomen—Sierra, Sony en Intel-achtige exploitmechanics—moeten volgens de onderzoekers als onderzoeksbevindingen worden gezien. Ze vragen uitdrukkelijk dat je de attributie bij benadering alleen doet waar onafhankelijke matching of bevestiging door vendor-materiaal bestaat.
Praktische aanbevelingen voor beheerders
Omdat de blootstelling deels via configuratie en deels via het installatiepad loopt, loont het om de beheerlaag te versterken. Dit zijn maatregelen die logisch passen bij de beschrijving:
- Laat USB-redirectie over RDP uit als je de functionaliteit niet nodig hebt. Sluit de extra installatieroute waar Windows anders in kan terechtkomen.
- Gebruik device-installation policies om apparaten te blokkeren of juist toe te staan op basis van hardware/compatible IDs en device-instance ID’s. Zo beperk je welke driverpakketten überhaupt mogen landen.
- Beperk mogelijkheden tot emulatie waar dat in jouw omgeving relevant is. Bij een lokale keten moet een aanvaller in elk geval het (geëmuleerde) apparaat aan het systeem kunnen presenteren.
- Hanteer een patch- en controlecyclus die niet alleen naar CVE’s kijkt, maar ook naar vendor-installatiestromen en componenten die draaien met hogere privileges.
- Monitor installatie- en driver-events op servers en endpoints, met aandacht voor scenario’s die niet passen bij het normale device-landschap.
Als je deze basis op orde hebt, verklein je de kans dat een “USB auto-install”-flow kan uitgroeien tot geprivilegieerde uitvoering.
Wat betekent dit voor Windows 11-gebruikers?
Voor eindgebruikers en teams die systemen beheren, is de boodschap duidelijk: automatische installatie van hardware is handig, maar als je die route combineert met slimme emulatie en een kwetsbare component in de keten, kan het resultaat escaleren.
De onderzoekers tonen daarbij aan dat een volledig bijgewerkt Windows 11-systeem niet per definitie betekent dat dit soort ketens niet mogelijk zijn. Tegelijk is het ook geen “instant” aanval voor iedereen: de remote variant vereist specifieke instellingen, en de fysieke variant vereist dat een aanvaller het apparaat kan emuleren richting de doelcomputer.
Conclusie
USB auto-install via Plug and Play is ontworpen voor gemak, maar in het gepubliceerde onderzoek wordt diezelfde geautomatiseerde driverselectie ingezet als aanvalsmotor. Door USB-emulatie te combineren met vendor-specifieke installatiecomponenten en misbruik van kwetsbare stappen, kunnen onderzoekers op een volledig gepatcht Windows 11-systeem uitkomen op SYSTEM-code execution.
De remote route via RDP is daarbij niet standaard aanwezig: alleen wanneer USB-redirectie en de juiste Plug and Play-voorwaarden zijn ingeschakeld, ontstaat dezelfde logica remote. Voor organisaties is dat vooral een pleidooi om functies uit te schakelen die je niet gebruikt en om device-installatiebeleid consequent toe te passen.
Wil je meer context over hoe “legitieme” installaties en softwareketens kunnen worden misbruikt voor escalatie? Lees dan ook BdThemes supply chain aanval via JSON: wat je moet weten en vergelijk de patronen die daar terugkomen met de aanvalsketen rond installatiecomponenten.
Bron: https://thehackernews.com/2026/08/researchers-turn-usb-auto-install-into.html
