สรุปสั้น
กลไก Plug and Play ของ Windows ที่ออกแบบมาให้ผู้ใช้เสียบอุปกรณ์แล้วใช้งานได้ทันที กำลังถูกนักวิจัยชี้ว่าเป็นเส้นทางยกระดับสิทธิ์ที่ถูกมองข้าม เพราะเมื่อ Windows เห็นรหัสฮาร์ดแวร์ของอุปกรณ์ใหม่ ระบบจะไปค้นหาแพ็กเกจไดรเวอร์ที่ตรงกันมาติดตั้งเอง พร้อมรันคอมโพเนนต์ติดตั้งของผู้ผลิตด้วยสิทธิ์ระดับสูง นาย Alejandro Hernando และนาย Borja Martinez นักวิจัยด้านความมั่นคงปลอดภัย สาธิตในงานวิจัยชื่อ “Plug And Pwn: Weaponizing Windows PnP Auto-Install” ที่เตรียมนำเสนอในงาน DEF CON 34 ว่าพวกเขาสร้างเครื่องมือจำลองอุปกรณ์ USB ตามใจชอบ แล้วต่อขั้นตอนจนผู้ใช้สิทธิ์ต่ำเปลี่ยนเส้นทางการติดตั้งไดรเวอร์ให้กลายเป็นการรันโค้ดด้วยสิทธิ์ SYSTEM บนเครื่อง Windows 11 ที่อัปเดตครบถ้วนได้จริง
ที่น่าสนใจกว่านั้นคือเส้นทางเดียวกันนี้ทำจากระยะไกลได้โดยไม่ต้องมีอุปกรณ์จริงเลย หากเครื่องปลายทางเปิดการ redirect อุปกรณ์ Plug and Play หรือ USB ระดับล่างผ่าน Remote Desktop ไว้ นักวิจัยเขียนไคลเอนต์ภาษา Python ที่ปลอมอัตลักษณ์ USB แล้วยื่นอุปกรณ์ผีให้ Windows มองเห็น ทำให้ระบบเดินตามเส้นทางติดตั้งไดรเวอร์ตามปกติ ทั้งนี้ไมโครซอฟท์ระบุชัดว่าบริการ Remote Desktop Services ไม่อนุญาตการ redirect อุปกรณ์ Plug and Play และ RemoteFX USB เป็นค่าเริ่มต้น เส้นทางระยะไกลจึงขึ้นอยู่กับการตั้งค่าขององค์กร ไม่ใช่ช่องเปิดที่มากับ Windows ทุกเครื่อง และกลไกเฉพาะของผลิตภัณฑ์ Sierra, Sony และ Intel ที่ใช้ในงานนี้ยังเป็นข้อค้นพบของนักวิจัยที่ยังไม่มีเอกสารจากผู้ผลิตมายืนยันตรงกัน
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 11 สิงหาคม 2569 ว่านักวิจัยได้สาธิตการนำกลไก Plug and Play ของ Windows มาใช้ดึงซอฟต์แวร์ของผู้ผลิตที่มีลายเซ็นดิจิทัลถูกต้องสำหรับอุปกรณ์ USB ที่ถูกจำลองขึ้น แล้วรันคอมโพเนนต์ติดตั้งที่มีสิทธิ์สูง จนได้สิทธิ์ SYSTEM บนเครื่อง Windows 11 ที่อัปเดตครบทุกแพตช์ โดยหัวใจของเทคนิคไม่ใช่ช่องโหว่ในตัว Windows เอง แต่เป็นการใช้เส้นทางการติดตั้งที่ถูกต้องตามการออกแบบผสมกับจุดอ่อนในแพ็กเกจของผู้ผลิตภายนอกที่ระบบเลือกมาติดตั้งให้
เอกสารของไมโครซอฟท์เองอธิบายขั้นตอนที่ถูกใช้เป็นจุดตั้งต้นไว้แล้วว่า Windows จะรับค่ารหัสฮาร์ดแวร์และรหัสความเข้ากันได้ของอุปกรณ์ แล้วใช้ค่าเหล่านั้นค้นหาแพ็กเกจไดรเวอร์ที่ตรงกัน ผู้โจมตีที่ควบคุมรหัสเหล่านี้ได้จึงเท่ากับเลือกได้ว่าจะให้ระบบดึงซอฟต์แวร์ตัวไหนมาติดตั้ง ซึ่งเป็นการเลือก “เหยื่อล่อ” ที่มีลายเซ็นถูกต้องและมีจุดอ่อนที่ต้องการ
เส้นทางแรกที่นักวิจัยสาธิตคือแบบใช้อุปกรณ์จริง โดยเริ่มจากจำลองอุปกรณ์ของ Sierra Wireless เพื่อให้ Windows ติดตั้ง SwiService.exe ซึ่งเป็นบริการที่ทำงานด้วยสิทธิ์ SYSTEM และเปิดฟังก์ชัน SetDNS ให้เรียกใช้ได้ พวกเขาใช้ฟังก์ชันนั้นเปลี่ยนเส้นทาง DNS ของเครื่อง แล้วจำลองอุปกรณ์อ่านการ์ด Sony FeliCa ต่อ ซึ่ง co-installer ของอุปกรณ์นี้จะดึงไฟล์ตั้งค่าผ่าน HTTP แบบไม่เข้ารหัสและตั้งชื่อไฟล์ปลายทางจากพาธของ URL โดยตรง
เส้นทางที่สองแทนที่อุปกรณ์จริงด้วยทราฟฟิก USB สังเคราะห์ที่ส่งผ่าน RDP ไคลเอนต์ Python ของนักวิจัยปลอมอัตลักษณ์ USB และยื่นอุปกรณ์ Intel RealSense ผีให้ระบบมองเห็น ทำให้ Windows เดินตามเส้นทางติดตั้งอุปกรณ์ที่ถูก redirect มา จากนั้นซอฟต์แวร์ RealSense ที่ถูกติดตั้งจะถูกโจมตีด้วยการแย่งลำดับการค้นหาไลบรารี CRYPTBASE.dll จากไดเรกทอรีติดตั้งที่ผู้ใช้ทั่วไปเขียนได้ ส่งผลให้ผู้ใช้สิทธิ์ต่ำที่ล็อกอินผ่าน RDP รันโค้ดด้วยสิทธิ์ SYSTEM ได้เช่นกัน ซึ่งสอดคล้องกับเอกสารของไมโครซอฟท์ที่ระบุว่าอุปกรณ์ USB ระดับล่างที่ถูก redirect จะใช้กระบวนการติดตั้งไดรเวอร์เดียวกับเครื่อง Windows จริงทุกประการ
ทั้งนี้ทั้งสองเส้นทางมีเงื่อนไขกำกับอยู่ เส้นทางฝั่งอุปกรณ์จริงต้องการให้ผู้โจมตีมีความสามารถยื่นอุปกรณ์ USB ที่จำลองขึ้นเข้าหาเครื่องเป้าหมายได้ ส่วนเส้นทางระยะไกลต้องการให้องค์กรเปิดการ redirect อุปกรณ์ไว้ก่อน และผลการสาธิตทำบน Windows 11 ที่อัปเดตครบเพียงเวอร์ชันเดียว จึงไม่ควรเหมารวมไปยังเวอร์ชันอื่นที่ยังไม่ถูกทดสอบ
วิธีการโจมตี
จุดแข็งของเทคนิคนี้อยู่ที่การไม่ต้องเจาะ Windows เลย แต่ใช้ Windows เป็นคนไปหยิบซอฟต์แวร์ที่มีจุดอ่อนมาติดตั้งให้เอง ลูกโซ่ฝั่งอุปกรณ์จริงเริ่มจากอุปกรณ์ Sierra Wireless ที่พาบริการสิทธิ์ SYSTEM พร้อมความสามารถตั้งค่า DNS เข้ามา ผู้โจมตีใช้ความสามารถนั้นชี้ DNS ของเครื่องไปยังเซิร์ฟเวอร์ที่ตัวเองควบคุม จากนั้นค่อยจำลองอุปกรณ์ Sony FeliCa ที่ co-installer ดึงไฟล์ตั้งค่าผ่าน HTTP ธรรมดา เมื่อ DNS ถูกจี้ไว้แล้ว เซิร์ฟเวอร์ของผู้โจมตีจึงเป็นผู้ตอบไฟล์ตั้งค่านั้นแทน
ขั้นชี้ขาดอยู่ที่ช่องโหว่ path traversal ในการแปลงพาธของ URL เป็นชื่อไฟล์บนเครื่อง ทำให้นักวิจัยวางไฟล์ DLL ลงในโฟลเดอร์ System32 ได้ จากนั้นเพียงถอดและเสียบอุปกรณ์ Sierra เข้าไปใหม่ ระบบก็จะโหลด DLL ที่ถูกวางไว้ด้วยสิทธิ์ SYSTEM เท่ากับได้สิทธิ์สูงสุดของเครื่องโดยไม่ต้องอาศัยช่องโหว่ใน Windows kernel เลยสักตัว ส่วนเส้นทาง RDP ใช้หลักการเดียวกันแต่เปลี่ยนไปโจมตีการค้นหาไลบรารีของซอฟต์แวร์ RealSense ที่ติดตั้งลงโฟลเดอร์ซึ่งผู้ใช้ทั่วไปเขียนได้ ทำให้วาง CRYPTBASE.dll ปลอมแล้วรอให้กระบวนการสิทธิ์สูงโหลดขึ้นมา
ผลกระทบ
ผลกระทบที่ชัดที่สุดคือสมมติฐานเรื่อง “ต้องมีคนเข้าถึงเครื่องทางกายภาพ” ที่หลายองค์กรใช้ประเมินความเสี่ยงของ USB ใช้ไม่ได้อีกต่อไปเมื่อมีการ redirect อุปกรณ์ผ่าน RDP เพราะผู้ใช้สิทธิ์ต่ำที่ล็อกอินเข้ามาจากระยะไกลสามารถยื่นอุปกรณ์ปลอมเข้าหาเซิร์ฟเวอร์ได้โดยไม่ต้องเดินเข้าไปในห้องเซิร์ฟเวอร์ องค์กรที่ให้บริการเดสก์ท็อปเสมือนหรือ Remote Desktop Session Host ให้ผู้ใช้จำนวนมากใช้ร่วมกัน จึงเสี่ยงที่บัญชีผู้ใช้ธรรมดาเพียงบัญชีเดียวจะยกระดับเป็น SYSTEM แล้วกระโดดต่อไปยังผู้ใช้รายอื่นบนเครื่องเดียวกัน
อีกประเด็นคือขอบเขตความรับผิดชอบที่คลุมเครือ เพราะจุดอ่อนไม่ได้อยู่ในตัวระบบปฏิบัติการแต่อยู่ในแพ็กเกจไดรเวอร์ของผู้ผลิตภายนอกที่มีลายเซ็นถูกต้องและถูกเผยแพร่ผ่านช่องทางของไมโครซอฟท์เอง องค์กรจึงควบคุมได้ยากด้วยการแพตช์ตามปกติ เพราะซอฟต์แวร์ที่เป็นปัญหาอาจไม่เคยถูกติดตั้งบนเครื่องมาก่อนจนกว่าจะมีอุปกรณ์ปลอมมากระตุ้น อย่างไรก็ตามควรย้ำว่ารายละเอียดจุดอ่อนของผลิตภัณฑ์ Sierra, Sony และ Intel ยังเป็นข้อค้นพบฝั่งนักวิจัย และยังไม่มีคำยืนยันจากผู้ผลิตเหล่านั้นที่ตรงกัน
คำแนะนำ
มาตรการที่ได้ผลเร็วที่สุดคือการปิดสิ่งที่ไม่ได้ใช้ องค์กรที่ไม่จำเป็นต้องให้ผู้ใช้ forward อุปกรณ์ USB ผ่าน Remote Desktop ควรปล่อยให้การ redirect อุปกรณ์ Plug and Play และ RemoteFX USB ปิดไว้ตามค่าเริ่มต้น และตรวจสอบว่านโยบายกลุ่มหรือการตั้งค่า Azure Virtual Desktop ที่เคยเปิดไว้เพื่อความสะดวกยังจำเป็นอยู่หรือไม่ เพราะการ forward USB ระดับล่างจะทำงานได้ต่อเมื่อมีการเปิด Plug and Play redirection ไว้ก่อนเท่านั้น
ถัดมาคือการจำกัดว่าอุปกรณ์แบบใดติดตั้งได้บ้าง ไมโครซอฟท์มีนโยบาย Device Installation Restrictions ที่อนุญาตหรือบล็อกอุปกรณ์ตามรหัสฮาร์ดแวร์ รหัสความเข้ากันได้ รหัสอินสแตนซ์ และคลาสของอุปกรณ์ ซึ่งบนเซิร์ฟเวอร์ Remote Desktop นโยบายเหล่านี้มีผลกับอุปกรณ์ที่ถูก redirect เข้ามาด้วย การกำหนดรายการอนุญาตเฉพาะอุปกรณ์ที่องค์กรใช้จริงจะตัดเส้นทางล่ออุปกรณ์แปลกปลอมทิ้งไปเกือบทั้งหมด นอกจากนี้ทีมเฝ้าระวังควรตั้งการแจ้งเตือนเมื่อมีการติดตั้งไดรเวอร์หรือบริการใหม่บนเซิร์ฟเวอร์ที่ควรมีอุปกรณ์คงที่ ตรวจหาไฟล์ DLL ที่ถูกเขียนใหม่ในโฟลเดอร์ System32 และตรวจสอบว่าไดเรกทอรีติดตั้งของซอฟต์แวร์ผู้ผลิตไม่เปิดให้ผู้ใช้ทั่วไปเขียนได้ ซึ่งเป็นเงื่อนไขพื้นฐานของการโจมตีแบบแย่งลำดับการค้นหา DLL