На конференции DEF CON 34 исследователи Алехандро Эрнандо и Борха Мартинес представили новый класс атак под названием Plug and Pwn, который эксплуатирует штатный механизм Windows Plug and Play. Суть метода в том, что злоумышленник может заставить систему автоматически установить уязвимое программное обеспечение при подключении USB-устройства, что в итоге даёт полный контроль над машиной с правами уровня SYSTEM.

Особую опасность представляет то, что в ряде сценариев атака не требует ни действий пользователя, ни даже активной сессии — достаточно просто физически подключить вредоносное USB-устройство к компьютеру. Это делает метод привлекательным для целевых атак, где злоумышленник имеет кратковременный доступ к машине жертвы.

Исследователи продемонстрировали, что проблема кроется не в конкретных драйверах, а в самом доверительном отношении Windows к процессу автоматической установки устройств. Вместо того чтобы полагаться на безопасность встроенных механизмов, атакующие могут подменить легитимные компоненты или использовать необновляемые версии драйверов.

По сути, это эволюция старых техник с использованием автозапуска, но с более глубоким уровнем привилегий и меньшими требованиями к взаимодействию с пользователем. Вопрос о том, насколько быстро Microsoft отреагирует на данную проблему, остаётся открытым, ведь патчи для подобных фундаментальных механизмов требуют серьёзной переработки подсистемы.