O Rato USB Que Instala Software Sozinho: A Falha na Cadeia de Fornecimento Que Ninguém Fiscaliza
Ligue qualquer periférico a um computador com Windows e o sistema operativo vai buscar e executa o código do fabricante com privilégios elevados, sem revisão e sem registo. O interruptor que o desliga existe numa diretiva de grupo que quase nenhum parque informático configurou, porque a categoria não tem dono.
Pergunte quem é o dono da categoria dos periféricos enquanto software e veja a pergunta ricochetear. A equipa de infraestruturas diz que ratos e monitores são um assunto de compras. As compras arquivam-nos em material de escritório. Entre as duas respostas fica um facto incómodo: a instalação automática de drivers transforma cada periférico do parque informático numa relação viva de entrega de código, na qual o sistema operativo é o intermediário e o fabricante do dispositivo é um fornecedor de software que ninguém avaliou. Ligue o que for a um computador com Windows e o sistema lê o identificador de hardware, procura-o num catálogo e obtém o que o fabricante registou como «software de suporte», com privilégios elevados, sem revisão e sem registo. A revisão da cadeia de fornecimento de software da empresa cobre instaladores, gestores de pacotes e lojas de aplicações. O inventário de hardware cobre etiquetas de ativos e depreciação. O momento em que um dispositivo é ligado pertence às duas listas e não é auditado por nenhuma delas.
O que acontece realmente quando se liga um dispositivo USB?
Todos os dispositivos USB anunciam-se através de um identificador. O Windows resolve esse identificador face a um catálogo de pacotes fornecidos pelos fabricantes e instala o que encontra: um pacote de drivers entregue através do Windows Update e, muitas vezes, uma aplicação complementar de «suporte de hardware» que a Microsoft Store obtém em nome do dispositivo. Parte desse código é genuinamente necessária ao dispositivo. O resto é o que o fabricante decidiu incluir à boleia: painéis de controlo, atualizadores, pedidos de conta, serviços em segundo plano. O sistema operativo não traça uma linha rígida entre os dois, e o utilizador nunca vê um ponto de decisão. Um utilizador que nunca descarregaria e executaria um ficheiro executável aleatório aceita, sem pensar duas vezes, o que quer que o sistema instale por iniciativa própria. O canal chega já com confiança prévia porque os compradores presumem que a mediação do sistema operativo significa validação por parte do sistema operativo, e é exatamente essa confiança presumida que legitima o que quer que venha a reboque do pacote.
A suposição de validação é verificável, porque os requisitos de publicação são públicos. Para associar uma aplicação da Store a um driver, o fabricante reserva uma «capacidade personalizada» enviando à equipa de revisão de aplicações de suporte de hardware da Microsoft um pequeno questionário: que recursos a capacidade necessita, se os eventos de dados saem do dispositivo para o parceiro, se estão envolvidos identificadores pessoais. A aprovação regressa sob a forma de uma cadeia de capacidade, e a Microsoft assina depois um descritor que autoriza aplicações nomeadas a utilizá-la. Leia os passos da própria Microsoft para programadores de drivers e repare no que o processo realmente é: uma revisão de acessos, feita por correio eletrónico, sobre aquilo a que a aplicação pode aceder. Não é uma auditoria a tudo o resto que o fabricante envia no mesmo pacote assinado. O atualizador, a telemetria, a promoção incluída chegam todos por uma porta que foi verificada para uma pergunta diferente.
Quando o pacote é frágil, o momento de ligação transforma-se em exploração. Em agosto de 2021, um investigador de segurança demonstrou que ligar um rato Razer a um computador com Windows 10 fazia o sistema operativo obter o instalador do Razer Synapse e executá-lo com privilégios de SYSTEM. O seletor de pastas do assistente de instalação conseguia abrir uma janela do PowerShell; essa janela herdava os privilégios de SYSTEM. Qualquer utilizador comum com um dongle Razer barato, ou um telemóvel a simular o identificador de hardware da Razer, podia ficar com controlo total da máquina. Dias depois, a mesma classe de falha foi reportada no software incluído da SteelSeries. Os dispositivos nunca foram o problema. Foram os instaladores que os respetivos identificadores de hardware invocavam.
E quando é o próprio intermediário que falha, a falha atinge todo o parque informático de uma vez. Em dezembro de 2023, computadores com Windows começaram a renomear todas as impressoras instaladas para «HP LaserJet M101-M106» e a obter a aplicação HP Smart da Microsoft Store, inclusive em PCs sem qualquer equipamento HP ligado, depois de metadados de dispositivo incorretos terem convencido o Windows de que as impressoras eram da HP. A correção que a Microsoft lançou em janeiro de 2024 foi um utilitário de remoção dedicado, o Microsoft Printer Metadata Troubleshooter: uma ferramenta cuja única função era desinstalar software que o sistema operativo tinha instalado por conta própria. É o canal a funcionar como previsto, apenas apontado aos metadados errados.
É possível desligar a instalação automática de drivers no Windows?
Em parte, e a forma dessa «em parte» é que importa. Todas as edições, incluindo a Home, trazem um interruptor de consumidor escondido (Propriedades do Sistema, depois Hardware, depois Definições de Instalação de Dispositivos) que pede ao Windows para não descarregar aplicações e ícones personalizados dos fabricantes; cobre os extras decorativos, não o mecanismo em si. Os controlos que realmente têm efeito vivem na Diretiva de Grupo, em Configuração do Computador, Modelos Administrativos, Sistema, Instalação de Dispositivos, disponível nas edições Professional, Enterprise e Education, mas não na Home. A definição «Impedir a obtenção de metadados de dispositivos a partir da Internet» impede que o Windows vá silenciosamente buscar as listas de pacotes dos fabricantes. Na pasta Restrições de Instalação de Dispositivos, mais abaixo, «Permitir a instalação de dispositivos que correspondam a qualquer um destes IDs de dispositivo» combinada com «Impedir a instalação de dispositivos não descritos por outras definições de política» inverte o padrão: uma lista de permissões de hardware aprovado, tudo o resto bloqueado, um bloqueio que a própria Microsoft documenta em detalhe.
Então porque é que esta lista de permissões continua por configurar? Porque transforma uma predefinição silenciosa em trabalho visível, e ninguém orçamentou esse trabalho. Imagine o lançamento: a partir do primeiro dia, cada modelo de periférico que ainda não esteja na lista transforma-se num pedido de suporte técnico. As estações de ancoragem das secretárias partilhadas. A webcam da sala de reuniões. O teclado que um diretor trouxe de casa. É de esperar um pico nas primeiras semanas e uma cauda constante a cada renovação de equipamento, e a própria lista vai precisar de um responsável, para sempre. Não há um levantamento público sobre a prática das empresas neste ponto, por isso trate isto como experiência reportada e não como medição: nos parques informáticos que observamos, estas políticas ficam por tocar, não porque alguém pesou o custo dos pedidos de suporte face à exposição, mas porque ninguém é dono da decisão. É a falha de governação em miniatura. O controlo existe, documentado e gratuito; o que falta é um nome associado a ele.
O rato como administrador
Porque é que os instaladores complementares se transformam sistematicamente em falhas de escalonamento de privilégios? Porque o software instalado no momento da ligação de um dispositivo corre com privilégios elevados, já que instalar drivers o exige. Isso torna cada um destes instaladores uma superfície de ataque, e não há razão para esperar que o assistente do painel de controlo de um fabricante esteja escrito segundo o padrão do kernel ao lado do qual corre. A falha da Razer não foi um exploit exótico; foi uma caixa de diálogo de ficheiros aberta para o utilizador errado, com o privilégio errado. Por isso o modelo de ameaça inverte-se. Um periférico não precisa de firmware malicioso nem de um implante para ser perigoso. Basta um identificador de hardware que invoque um instalador frágil. Ligar o dispositivo transforma-se na primeira fase de um ataque, executado pela própria vítima, incentivado pela plataforma.
A consequência de segunda ordem recai sobre as compras. Se um fabricante de periféricos é, na prática, um fornecedor de software, deve ser tratado como tal na aquisição: que faz o pacote complementar, o que envia para fora, como se atualiza, o que deixa de funcionar se for recusado. Estas perguntas não custam nada e mudam o comportamento dos fornecedores mais depressa do que qualquer interruptor de política, porque atuam sobre o incentivo e não apenas sobre o mecanismo. Esta é a metade menos glamorosa da estratégia técnica: mapear onde é que o código entra de facto no parque informático, em vez de onde o organograma diz que entra. E o padrão generaliza-se. Qualquer canal que execute código de terceiros com autoridade delegada e sem revisão é o mesmo problema de governação com outra roupagem; fazemos o mesmo argumento a propósito de sistemas agénticos que atuam sobre a sua infraestrutura. Confiar no intermediário não é o mesmo que validar a carga que ele transporta.
O que fazer é curto. Descubra se as Restrições de Instalação de Dispositivos do seu parque informático estão de facto configuradas; se a resposta for «ninguém sabe», já aprendeu algo importante. Dê à categoria um responsável e um orçamento para pedidos de suporte. Registe os eventos de ligação de dispositivos com o mesmo interesse que dedicaria ao lançamento de um instalador. E da próxima vez que alguém lhe disser que um monitor é só um monitor, pergunte-lhe o que é que ele instalou.
Perguntas frequentes
O Windows instala software automaticamente quando ligo um dispositivo USB?
Sim. O Windows resolve o identificador de hardware do dispositivo e instala o pacote de drivers correspondente, que pode incluir qualquer software complementar que o fabricante tenha registado junto dele, entregue através do Windows Update ou da Microsoft Store. O driver é necessário; o resto é escolha do fabricante, e ninguém na sua organização reviu nenhum dos dois antes de serem executados.
Como é que as empresas bloqueiam a instalação de aplicações de fabricantes junto com os drivers?
Nas edições com Diretiva de Grupo (Professional, Enterprise e Education), os controlos ficam em Configuração do Computador, Modelos Administrativos, Sistema, Instalação de Dispositivos. «Impedir a obtenção de metadados de dispositivos a partir da Internet» impede a obtenção automática dos pacotes dos fabricantes, e em Restrições de Instalação de Dispositivos, «Permitir a instalação de dispositivos que correspondam a qualquer um destes IDs de dispositivo» junto com «Impedir a instalação de dispositivos não descritos por outras definições de política» transformam o padrão aberto numa lista de permissões. É preciso orçamentar a cauda de pedidos de suporte: cada modelo de periférico que ainda não esteja na lista gera um pedido, até a lista amadurecer, razão pela qual a política precisa de um responsável nomeado. Máquinas com edição Home ou não geridas só conseguem mitigar, através do interruptor de Definições de Instalação de Dispositivos, contas de utilizador padrão e controlo de aplicações.
Periféricos baratos ou sem marca são mais arriscados de ligar a um portátil de trabalho?
O preço e a marca são sinais fracos, em qualquer dos sentidos: a falha do instalador com privilégios de SYSTEM de 2021 chegou com a Razer, uma marca de topo, e a instalação automática da HP Smart em 2023 atingiu máquinas sem qualquer equipamento HP. O risco está no software que o identificador de hardware de um dispositivo invoca, por isso um identificador desconhecido que puxa um instalador desconhecido com privilégios elevados é o pior cenário, independentemente do preço. A regra prática: adquira periféricos com as mesmas perguntas que faria a um fornecedor de software, porque é exatamente isso que o fabricante se torna no momento em que o dispositivo é ligado.
Relacionado
- No Ubuntu 26.04 LTS, o Coreutils Que Sustenta as Suas Compilações Já Não É GNU
- O Prêmio da Soberania: por que a IA soberana corporativa está vencendo pelo acesso, não pela velocidade
- Os Processos por Segredos Comerciais Ganham-se Anos Antes de Alguém se Demitir. Pergunte à Faccenda Chicken.
- Security & Trust
Escrito por uma persona editorial de IA do sistema editorial proprietário da Abyshire e revisto pela nossa equipa.