USB機器の偽装だけでSYSTEM権限に — DEF CON 34で公開されたWindows PnP攻撃「Plug & Pwn」

WindowsにUSB機器を挿すだけで、管理者権限（SYSTEM）のコード実行が成立する——。そんな攻撃手法が、2026年8月にラスベガスで開催されたセキュリティカンファレンス「DEF CON 34」で公開された。攻撃名は「Plug & Pwn」。発表者はセキュリティ研究者のAlejandro Hernando氏とBorja Martinez氏で、攻撃ツール一式と再現手順をWebサイト（plugandpwn.com）で公開している。

この攻撃が狙うのは、WindowsのPlug and Play（PnP）の自動インストール機能だ。USB機器を接続すると、Windowsは対応するドライバーパッケージをMicrosoftのサーバーから自動でダウンロードし、ベンダーのコードをSYSTEM権限で実行する。この仕組み自体は正常な機能だが、研究者らはUSB機器の「身元」を偽装することで、この特権的なインストール経路を攻撃に転用できることを示した。

何が危険なのか：署名済みパッケージの「特権インストール」経路

USB機器を接続すると、Windowsは機器のベンダーID（VID）や製品ID（PID）を読み取り、一致するドライバーを探す。見つからなければ、Microsoftのサーバーから署名済みパッケージを自動ダウンロードしてインストールする。このとき、パッケージに含まれるベンダーのソフトウェアはSYSTEM権限で実行される。

研究者らは、この「PnPがインストーラーになる」性質に注目した。従来、権限昇格には「管理者権限でファイルを配置して実行する」という前提が必要だった。しかしPnP経路なら、特権のないユーザーでも、署名済みパッケージを特権的にインストールさせられる。問題は、その署名済みパッケージの中身が攻撃に使える「部品」になっていることだ。

発表の核心は「暗号的な信頼（署名）と、論理的な安全性は別物」という指摘にある。署名済みパッケージだからといって、その中のサービスやコンポーネントが攻撃的に監査されているとは限らない。単体では「仕様」に見える弱点も、組み合わせればSYSTEM権限の奪取につながる。

物理経路：Sierra Wireless + Sonyのゼロクリックチェーン

物理攻撃では、USB開発ボード「FaceDancer」を使ってUSB機器を偽装する。攻撃チェーンは次のように進む。

1. Sierra Wireless機器を偽装 — WindowsがSierra Wirelessのサービス「SwiService.exe」をインストールする。このサービスはSYSTEM権限で動作し、Everyoneが読み書きできる名前付きパイプを公開している。誰でも（ローカルでもSMB越しでも）接続して「SetDNS」機能を呼び出せるため、攻撃者は端末の既定DNSを自分のサーバーに向けられる
2. Sony FeliCa機器を偽装 — WindowsがSonyの「felica_coinst.dll」（署名済みカタログに含まれる共インストーラー）をSYSTEM権限で実行する。このコンポーネントは設定ファイルを平文HTTPで取得し、ダウンロードURLの「最後のスラッシュ以降」をそのままファイル名にする。ドットやバックスラッシュの検査がないため、パストラバーサル（パス改ざん）でSystem32フォルダ内への任意ファイル書き込みがSYSTEM権限で成立する
3. Sierra機器を再接続 — 植え付けたDLLが読み込まれ、SYSTEM権限のコード実行に至る

このチェーンは、ログイン前・クリック0回で約5分で完了する。発表では「Windows 11の完全に更新された環境」で実証された。DNSの乗っ取り（Sierra）と任意ファイル書き込み（Sony）という、2つのベンダーの低深刻度の弱点を連鎖させて高インパクトの攻撃にしている点が特徴だ。

遠隔経路：「NoPlug & Pwn」— 実機なしでRDP越しにSYSTEMへ

物理攻撃には「USB機器を挿す」という前提がある。これをなくしたのが、RDP（リモートデスクトップ）のUSBリダイレクション機能を悪用する遠隔攻撃「NoPlug & Pwn」だ。

RDPのUSBリダイレクションは、手元のPCに挿したUSB機器をリモートセッションに転送する正規機能だ。ここで研究者らは、サーバー側はクライアントが送ってくるUSB記述子（機器の自己紹介情報）をそのまま信じる点に注目した。実機がなくても、クライアントが「Intel RealSenseカメラです」という偽の記述子を送れば、サーバーはPnPデバイスとして認識し、ドライバーをSYSTEM権限でインストールする。

研究者らは、純Python製のRDPクライアント（aardwolfライブラリ使用）でURBDRCチャネルに偽のUSB機器を送り込むツール「rdp_usb_pnp.py」を開発した。Intel RealSenseのドライバーはインストール時に、一般ユーザーが書き込めるディレクトリに実行ファイルを置いてSYSTEM権限で実行する。その実行ファイルは自フォルダを優先してDLLを探すため、ユーザー書き込み可能なフォルダに偽の「CRYPTBASE.dll」を置けば、DLLハイジャックでSYSTEM権限のコード実行が成立する。物理攻撃とは異なるベンダー（Intel）を使うことで、特定製品だけの問題ではないことを示している。

重要な前提：既定では無効。ただし「有効化した環境」が標的

この遠隔経路には明確な前提条件がある。RDPのUSBリダイレクションは既定で無効だ。Microsoftは「Remote Desktop Servicesは、サポートされるPnPリダイレクションとRemoteFX USBリダイレクションを既定で許可しない」と説明している。USBリダイレクションを有効化した環境、典型的には管理されたVDI（仮想デスクトップ基盤）環境が標的になる。

さらに、Sierra WirelessやSonyのコンポーネントが存在しない環境では、この特定チェーンは成立しない。研究者らも、実証は「完全に更新されたWindows 11」でのものであり、未検証のWindowsバージョンに一般化すべきではないと注記している。

Microsoftの公式見解と緩和策

Microsoftは、PnP経路のリスク軽減策としてデバイスインストール制限を提供している。これはハードウェアID・互換ID・デバイスインスタンスID・セットアップクラス単位で、デバイスのインストールを許可またはブロックできるグループポリシーだ。RDPサーバーでは、リダイレクトされたデバイスにもこのポリシーが適用される。

研究者らは、この攻撃を「正規の特権インストール経路と、署名済みサードパーティパッケージの弱点の組み合わせ」として説明している。単一のCVEに紐づく脆弱性というより、複数のベンダーコンポーネントの組み合わせで成立する攻撃チェーンである点に注意が必要だ。研究者らは、各ベンダーの固有の攻撃メカニズムは研究者による調査結果であり、ベンダー側の資料が独立に裏付けない限り、その帰属は研究者のものとすべきだとしている。

公開されたツールと再現環境

plugandpwn.comでは、以下のツールが公開されている。

• usb_trigger.py — FaceDancerでUSB機器（VID/PID・記述子）を偽装するスクリプト
• rdp_usb_pnp.py — 実機なしでRDP越しにUSB機器を偽装する純Pythonクライアント
• pnp_simulate.c — PnPインストールの流れを再現する「PNP simulate」ツール（Setup DI API・Windows Update COMを使用）
• wacom_powert.reg — WacomサービスをSYSTEMシェルにするPoCのレジストリ設定

研究者らは、WacomとAtherosのコンポーネントを連鎖させた別のチェーン（Print Monitor経由でSpoolerにDLLを読み込ませる）も公開している。7年前（2019年）のCVEに一致するAtherosのパッケージが今もインストール可能だったことも報告されており、PnP経路が古い脆弱なパッケージの「運び屋」になり得ることを示している。

今何をすべきか

1. RDPのUSBリダイレクション設定を確認する — 使っていないなら無効のままにする。有効化しているVDI環境は、この攻撃の標的になり得る
2. デバイスインストール制限を適用する — グループポリシーで、許可するハードウェアID・セットアップクラスを限定する。RDPサーバーではリダイレクトされたデバイスにも適用される
3. USB機器の持ち込みを管理する — 物理経路は「偽装USB機器を挿せる立場」の人物（内部関係者や納品業者など）が前提。重要端末へのUSB機器の接続を制限・監視する
4. パッチ管理の範囲を再確認する — PnP経路は署名済みパッケージを自動インストールするため、「アンインストールしたはず」の古いベンダーソフトウェアが復活する可能性がある。インストールされるドライバー・サービスの棚卸しを検討する

この研究の核心は「署名済み＝安全」ではない、という点にある。PnPは正規の特権インストール経路であり、これを悪用する攻撃は「特定の1つの脆弱性」ではなく「複数の部品の組み合わせ」で成立する。修正パッチ1本で終わる話ではないため、設定とポリシーでの防御が基本になる。

出典: plugandpwn.com — Plug & Pwn: Weaponizing Windows PnP（DEF CON 34） / Microsoft Learn — RDPでのUSBデバイスのリダイレクト / Microsoft Learn — デバイスインストール制限ポリシー