Windows 11のPlug and Play機能は、エミュレートされたUSBデバイス用の署名付きベンダーソフトウェアを取得し、特権付きのロードコンポーネントを実行するために悪用可能である。研究者のアレハンドロ・エルナンドとボルハ・マルティネスは、この方法で完全なシステムアクセスを獲得した。この攻撃は物理的なUSBデバイスを必要とせず、リモートデスクトップ経由でも実行可能である。

攻撃はSierra Wirelessデバイスをエミュレートして始まり、WindowsにSwiService.exeのロードを促す。このサービスはDNSリダイレクトに利用される。その後、Sony FeliCaリーダーをエミュレートし、設定ファイルをプレーンテキストHTTP経由で取得する。この過程でDLLがインジェクトされ、SYSTEM権限が獲得される。

この手法は完全にアップデートされたWindows 11システムでテストされている。リモート攻撃はRDP経由で仮想USBトラフィックを利用して実行される。MicrosoftはPlug and PlayとRemoteFX USBリダイレクトをデフォルトで無効にしているが、これらの機能が有効になっている場合、攻撃は可能となる。