Mens Access Access Control for Windows 10 er designet med tanke på sikkerhet, gjør en ny UAC-bypass-teknikk som er oppdaget av sikkerhetsforsker Matt Nelson, sikkerhetstiltaket ubrukelig. Hacket er avhengig av å endre Windows-registerets appstier og manipulere verktøyet for sikkerhetskopiering og gjenoppretting for å laste inn skadelig kode i systemet.

Hvordan det fungerer

Bypassstrategien drar fordel av Microsofts status som automatisk heving som er tilordnet til pålitelige binære filer, som er opprettet og signert digitalt av programvaregiganten. Det betyr at de pålitelige binærene ikke viser et UAC-vindu når de lanseres til tross for sikkerhetsnivået. Nelson forklarte videre i bloggen sin:

Mens jeg søkte etter flere av disse auto-eleving binærene ved å bruke SysInternals-verktøyet "sigcheck", kom jeg over "sdclt.exe" og bekreftet at det automatisk hever seg på grunn av dets manifest.

Når man observerer utførelsesflyten av sdclt.exe, blir det tydelig at denne binæren starter control.exe for å åpne opp et Kontrollpanel-element i høy integritet-sammenheng.

Binæren sdclt.exe er det innebygde verktøyet for sikkerhetskopiering og gjenoppretting som Microsoft introduserte med Windows 7. Nelson forklarte at sdclt.exe-filen bruker Kontrollpanel binær for å laste inn innstillingssiden for sikkerhetskopi og gjenoppretting når en bruker åpner verktøyet.

Imidlertid sender sdclt.exe en spørring til det lokale Windows-registeret for å skaffe control.exe sin appsti før den laster control.exe. Forskeren erkjenner det faktum at dette utgjør et problem ettersom brukere med lavt privilegienivå fortsatt kan endre registernøkler. Angriperne kan angripere endre denne registernøkkelen og vise den til skadelig programvare. Windows vil da stole på appen og trekke UAC-spørsmål, siden sdclt.exe er automatisk forhøyet.

Det er verdt å påpeke at bypass-teknikken bare gjelder Windows 10. Nelson testet til og med hacket på Windows 10 build 15031. For å løse sikkerhetsfeilen anbefaler forskeren at brukere setter UAC-nivået til “Always Notify” eller fjerner den gjeldende bruker fra gruppen Lokale administratorer.