El artículo técnico detalla los mecanismos de vulnerabilidad en el sistema Plug and Play (PnP) de Windows, permitiendo a atacantes con acceso físico o remoto comprometer equipos sin interacción del usuario. Basado en las demostraciones presentadas en DEF CON 34 por Alejandro Hernando y Borja Martinez, el texto explica cómo la emulación de dispositivos USB puede introducir código arbitrario con privilegios SYSTEM, explotando vulnerabilidades en los drivers instalados automáticamente.
El proceso técnico se divide en cuatro fases: la conexión de un emulador USB que envía identificadores de dispositivo (VID y PID), la creación de un nodo de dispositivo por el gestor PnP, la instalación del driver a través del servicio Device Setup Manager (DSMSVC) y la descarga de paquetes de cab desde Windows Update si no existe un driver local. A diferencia de las vulnerabilidades Co-Installer, que Microsoft dejó de firmar en enero de 2023, los paquetes primarios pueden seguir siendo vulnerables incluso con las protecciones activadas.
Para la mitigación, el autor recomienda deshabilitar el instalador de Co-Installers mediante la clave de registro DisableCoInstallers y realizar auditorías de seguridad para detectar drivers vulnerables en el almacén local. Se proporcionan instrucciones prácticas para pentesters, incluyendo el uso de hardware como la placa GreatFET One o el Flipper Zero, junto con la librería Python Facedancer, para emular dispositivos Bluetooth vulnerables y probar la seguridad de las estaciones de trabajo Windows.