Plug-and-Pwn: USB-Gerät anstecken reicht für Systemrechte — so schließen Sie den Angriffspfad jetzt

Windows hat eine Funktion, die kaum jemand aktiv abschaltet: Wird ein unbekanntes USB-Gerät angeschlossen, sucht das Betriebssystem automatisch nach passenden Treibern — teils über Windows Update. Genau dieser Automatismus wird beim sogenannten „Plug-and-Pwn“-Angriff zur Schwachstelle. Kein Klick des Nutzers, keine Bestätigung, kein Download — das Anschließen des Geräts reicht. Der Angriff zielt auf Privilegienerweiterung bis auf SYSTEM-Ebene; und in bestimmten Umgebungen braucht der Angreifer dafür nicht einmal physischen Zugang.

Der Mechanismus: was Windows im Hintergrund tut

Windows' Plug-and-Play-Infrastruktur (PnP) soll das Einrichten neuer Hardware komfortabel machen. Erkennt das System ein unbekanntes Gerät, startet es im Hintergrund eine automatische Treibersuche. Diese Suche schließt Windows Update ein: Windows fragt dort an, ob ein passender Treiber für die erkannte Hardware existiert, und installiert ihn bei Fund — ohne Rückfrage an den Nutzer.

Angreifer setzen genau hier an. Ein präpariertes USB-Gerät kann eine Treiberanfrage auslösen, die auf vom Angreifer kontrollierte Infrastruktur umgeleitet wird — oder Schwachstellen im Download- und Installationsprozess selbst werden ausgenutzt. Das Ergebnis: Codeausführung mit erhöhten Rechten, in dokumentierten Fällen auf SYSTEM-Ebene. Ohne jede Nutzeraktion.

Auch aus der Ferne: der RDP-Faktor

Was dieses Angriffsmuster für viele Unternehmensumgebungen besonders brisant macht: Physischer Zugang zum Zielrechner ist nicht zwingend erforderlich. Windows unterstützt die Weiterleitung von USB-Geräten über Remote Desktop Protocol (RDP). Leitet ein Nutzer in einer RDP-Sitzung ein lokal angeschlossenes USB-Gerät weiter, kann genau dieselbe automatische Treiberinstallation auf dem entfernten System ausgelöst werden.

Terminal-Server-Umgebungen, Virtual Desktop Infrastructure (VDI) und alle Systeme, auf denen USB-Weiterleitung über RDP aktiv ist, sind damit potenziell betroffen — nicht nur Arbeitsplätze, an denen jemand physisch einen Stick einsteckt. Die Angriffsfläche ist damit deutlich größer, als der Begriff „USB-Angriff“ auf den ersten Blick vermuten lässt.

Was das für Ihr Risikoprofil bedeutet

Der entscheidende Unterschied zu vielen anderen Angriffsvektoren: Hier muss niemand eine E-Mail öffnen, einen Link anklicken oder einen Anhang starten. Das senkt die Einstiegshürde erheblich. Ein Angreifer, der Zugang zu einem USB-Port bekommt — physisch oder über eine RDP-Sitzung mit USB-Weiterleitung — kann diesen Pfad nutzen, ohne auf Nutzerinteraktion angewiesen zu sein.

Für Umgebungen mit erhöhtem Schutzbedarf — Terminal Server, Buchhaltungssysteme, Produktionssteuerung, alle Systeme mit privilegierten Konten — ist das ein Angriffspfad, der aktiv bewertet werden sollte.

Was Administratoren jetzt konfigurieren sollten

Mehrere Maßnahmen sind in den meisten Windows-Umgebungen verfügbar und in vielen Fällen ohne größere Abhängigkeiten umsetzbar:

USB-Geräteklassen einschränken. Über Gruppenrichtlinien oder Intune lässt sich steuern, welche USB-Geräteklassen auf einem System erlaubt sind. Wer keinen Bedarf an unbekannten USB-Geräten hat, sollte die automatische Installation neuer Geräte deaktivieren oder auf genehmigte Hardware beschränken.

Automatische Treibersuche über Windows Update abschalten. In verwalteten Umgebungen sollten Treiber ohnehin nur über geprüfte, interne Quellen kommen. Die automatische Suche über Windows Update lässt sich per Gruppenrichtlinie deaktivieren — das ist eine sinnvolle Grundeinstellung für produktive Systeme, unabhängig von diesem Angriffsmuster.

USB-Weiterleitung in RDP restriktiv konfigurieren. Wer Terminal Server oder VDI betreibt, sollte prüfen: Wird USB-Weiterleitung wirklich benötigt? Und wenn ja — für welche Geräteklassen? Für die meisten Nutzer reicht die gezielte Freigabe von Druckern oder spezifischer Peripherie; eine generelle USB-Weiterleitung sollte die Ausnahme sein, nicht der Standard.

Least Privilege konsequent umsetzen. Ein Treiber, der mit erhöhten Rechten installiert wird, richtet mehr Schaden an, wenn der angemeldete Nutzer ohnehin über Administratorrechte verfügt. Reguläre Arbeitssitzungen ohne administrative Rechte betreiben — dieser Grundsatz zahlt hier direkt auf die Schadensbegrenzung ein.

Einschätzung

Aus unserer Sicht ist der „Plug-and-Pwn“-Angriff kein theoretisches Szenario aus einem Lehrbuch. Er nutzt eine Funktion, die in Windows standardmäßig aktiv ist und in den meisten Umgebungen nie hinterfragt wurde — weil sie bequem ist. Die Gegenmittel sind vorhanden und seit Jahren verfügbar; sie müssen nur aktiv konfiguriert werden. Wer Terminal Server oder RDP mit USB-Weiterleitung betreibt, sollte die USB-Richtlinien und die Treiber-Download-Konfiguration heute auf die Review-Liste setzen.

Quellen: Golem.de — „Kein Klick nötig: Plug-and-Pwn-Angriff kapert Windows-Systeme per USB“ (https://www.golem.de/news/kein-klick-noetig-plug-and-pwn-angriff-kapert-windows-systeme-per-usb-2608-211809.html)