Hernando und Martinez entwickelten Werkzeuge, mit denen sich beliebige USB-Geräte emulieren lassen. In ihrem physischen Angriffsweg geben sie zunächst ein Sierra-Wireless-Gerät vor. Dadurch installiert Windows nach Angaben der Forscher die Komponente SwiService.exe, einen SYSTEM-Dienst, der eine SetDNS-Funktion bereitstellt. Diese nutzen sie, um die DNS-Auflösung umzulenken.
Im nächsten Schritt wird ein Sony-FeliCa-Lesegerät emuliert. Dessen Co-Installer lädt den Forschern zufolge Konfigurationsdateien unverschlüsselt über HTTP und leitet lokale Dateinamen aus URL-Pfaden ab. Eine Pfad-Traversal-Schwachstelle ermögliche es so, eine DLL in System32 abzulegen. Wird das Sierra-Gerät danach erneut verbunden, lade dessen Software die platzierte DLL und verschaffe damit SYSTEM-Rechte.
Die offengelegte Demonstration lief laut den Forschern auf einem vollständig aktualisierten Windows-11-System. Daraus lasse sich jedoch kein allgemeiner Rückschluss auf andere, nicht getestete Windows-Versionen ableiten.
Für die entfernte Variante ersetzen die Forscher die physische Hardware durch synthetischen USB-Datenverkehr über RDP. Ihr Python-Client fälscht dazu eine USB-Identität und präsentiert ein Schein-Gerät von Intel RealSense. Windows folgt dann dem umgeleiteten Installationspfad für das Gerät. Die dabei installierte RealSense-Software lasse sich nach Angaben der Forscher über eine Suchreihenfolge-Manipulation bei CRYPTBASE.dll aus einem vom Benutzer beschreibbaren Installationsverzeichnis missbrauchen. Das führe für einen authentifizierten Benutzer mit niedrigen Rechten ebenfalls zu SYSTEM-Codeausführung.
Microsoft dokumentiert separat, dass umgeleitete USB-Peripherie auf niedriger Ebene denselben Treiberinstallationsprozess nutzt wie ein physischer Windows-Rechner. Zugleich weist das Unternehmen darauf hin, dass Remote Desktop Services unterstütztes Plug and Play sowie die RemoteFX-USB-Umleitung standardmäßig nicht zulässt. Laut Microsoft setzt die Anleitung zur USB-Umleitung zudem voraus, dass die Plug-and-Play-Umleitung aktiviert wird, bevor USB-Weiterleitung auf niedriger Ebene funktioniert.
Administratoren, die diese Funktion nicht benötigen, können sie deaktiviert lassen. Microsoft stellt außerdem Richtlinien für Geräteeinschränkungen bei der Installation bereit. Damit lassen sich Geräte anhand von Hardware- oder Kompatibilitätskennungen, Geräteinstanz-ID und Setup-Klasse erlauben oder blockieren. Auf einem Remote-Desktop-Server können diese Richtlinien laut Microsoft auch für umgeleitete Geräte gelten.
Der physische Angriffsweg hat eine eigene Voraussetzung: Ein Angreifer muss ein emuliertes USB-Gerät an das Zielsystem bringen können. Die Forschung zeigt insgesamt den Missbrauch eines legitimen privilegierten Installationspfads in Kombination mit Schwächen in signierten Paketen von Drittanbietern. Die herstellerspezifischen Ausnutzungsmechanismen für Sierra, Sony und Intel sind ausdrücklich Erkenntnisse der Forscher und nicht unabhängig durch passendes Material der jeweiligen Anbieter bestätigt.