Alejandro HernandoとBorja MartínezがDEF CON 34で発表したPlug and Pwn攻撃は、WindowsのPlug and Play機能を悪用し、不安全なドライバパッケージをインストールすることでSYSTEM権限を取得する。この攻撃は、Windowsが新しいハードウェアを認識しドライバパッケージをインストールするプロセスを操作することで機能する。一部の攻撃チェーンではユーザーの操作やログイン中のユーザーが不要で、RDP経由でリモートから実行可能だ。

攻撃ではFaceDancerソフトウェアとCynthionおよびGreatFETハードウェアを使用し、Windowsが特定のUSBデバイスと認識するように偽装したデバイスを接続させ、関連するドライバパッケージをインストールさせる。この過程で、不安全なコンポーネントや脆弱性を含む署名付きパッケージをインストールすることでSYSTEM権限を奪取する。攻撃者はDNS設定を変更し、Sony FeliCaソフトウェアの脆弱性を利用してシステムに悪意のあるファイルを配置し、SYSTEM権限で逆シェルを開くことが可能だ。

攻撃を防ぐためには、Windows管理者が'DisableCoInstallers'レジストリ値を有効化することが推奨される。しかし、これは攻撃面を完全に排除するものではない。