Investigadores de seguridad han demostrado recientemente cómo la función de autoinstalación Plug and Play (PnP) de Windows 11 puede ser manipulada para obtener privilegios de SYSTEM, el nivel más alto de acceso en un entorno Windows. Este hallazgo, presentado en la conferencia DEF CON 34, pone de relieve los riesgos inherentes a la confianza automatizada en controladores de terceros firmados.
El mecanismo del ataque: De un USB emulado al control total
El núcleo del problema reside en la forma en que Windows gestiona la conexión de nuevos dispositivos. Cuando se conecta un periférico, el sistema identifica el hardware y busca automáticamente paquetes de controladores compatibles para facilitar su uso. Los investigadores Alejandro Hernando y Borja Martínez descubrieron que es posible emular dispositivos específicos para forzar al sistema a descargar e instalar software de proveedores legítimos que contiene fallos de seguridad.
La cadena de explotación documentada utiliza una combinación de técnicas sofisticadas:
- Emulación de hardware: Se simula la conexión de dispositivos de marcas como Sierra Wireless o Sony.
- Redirección de DNS y Path Traversal: Mediante la manipulación de servicios de red y fallos en los instaladores de los fabricantes, los atacantes logran depositar archivos maliciosos (DLLs) en directorios críticos como System32.
- Secuestro de orden de búsqueda de DLL (DLL Hijacking): Al reconectar el dispositivo emulado, el sistema carga la DLL maliciosa con privilegios elevados, otorgando al atacante el control total de la máquina.
Riesgos en entornos remotos (RDP)
Uno de los aspectos más preocupantes de esta investigación es que el ataque no requiere necesariamente acceso físico al equipo. Si la redirección de dispositivos USB o Plug and Play está habilitada en una sesión de Escritorio Remoto (RDP), un usuario con pocos privilegios puede enviar tráfico USB sintético para desencadenar el mismo proceso de instalación y escalar sus privilegios a SYSTEM de forma remota.
Recomendaciones de seguridad para empresas
Aunque Microsoft ha señalado que la redirección de bajo nivel no está habilitada por defecto en los servicios de Escritorio Remoto, es fundamental que los administradores de sistemas tomen medidas preventivas:
- Restringir la redirección en RDP: Deshabilitar la redirección de dispositivos Plug and Play y dispositivos USB RemoteFX si no son estrictamente necesarios para la operativa del negocio.
- Políticas de instalación de dispositivos: Implementar directivas de grupo (GPO) para restringir la instalación de dispositivos basados en sus IDs de hardware o clases de configuración.
- Monitoreo de System32: Supervisar la creación de archivos inusuales en directorios del sistema, especialmente aquellos relacionados con controladores de terceros.
Desde Intedya, recordamos la importancia de mantener una postura de seguridad proactiva, revisando no solo las actualizaciones del sistema operativo, sino también las configuraciones de confianza en el hardware y los periféricos permitidos en la red corporativa.
Fuentes
- The Hacker News — Researchers Turn USB Auto-Install Into a Full SYSTEM Takeover on Windows 11
https://thehackernews.com/2026/08/researchers-turn-usb-auto-install-into.html