В то время как контроль доступа пользователей для Windows 10 разработан с учетом безопасности, новый метод обхода UAC, обнаруженный исследователем безопасности Мэттом Нельсоном, делает меру безопасности бесполезной. Взлом основан на изменении путей приложения реестра Windows и манипулировании утилитой Backup and Restore для загрузки вредоносного кода в систему.

Как это устроено

Стратегия обхода использует преимущества статуса автоматического повышения прав Microsoft, который присваивается доверенным двоичным файлам, которые создаются и снабжаются цифровой подписью софта-гиганта. Это означает, что доверенные двоичные файлы не отображают окно UAC при запуске, несмотря на уровень безопасности. Нельсон также объяснил в своем блоге:

При поиске дополнительных двоичных файлов с автоподъемом с помощью инструмента sysInternals «sigcheck» я наткнулся на «sdclt.exe» и убедился, что он автоматически поднимается из-за своего манифеста.

Наблюдая за потоком выполнения sdclt.exe, становится очевидно, что этот двоичный файл запускает control.exe, чтобы открыть элемент панели управления в контексте высокой целостности.

Двоичный файл sdclt.exe - это встроенная утилита резервного копирования и восстановления, которую Microsoft представила в Windows 7. Нельсон объяснил, что файл sdclt.exe использует двоичный файл панели управления для загрузки страницы настроек резервного копирования и восстановления, когда пользователь открывает утилиту.

Однако sdclt.exe отправляет запрос в локальный реестр Windows, чтобы получить путь к приложению control.exe, прежде чем загружать control.exe. Исследователь признает тот факт, что это создает проблему, поскольку пользователи с низким уровнем привилегий по-прежнему могут изменять ключи реестра. Более того, злоумышленники могут изменить этот раздел реестра и указать его на вредоносное ПО. После этого Windows будет доверять приложению и отозвать запросы UAC, поскольку sdclt.exe автоматически повышается.

Стоит отметить, что метод обхода применим только к Windows 10. Нельсон даже протестировал взлом на Windows 10 build 15031. Чтобы устранить недостатки безопасности, исследователь рекомендует пользователям установить уровень UAC «Всегда уведомлять» или удалить текущий пользователь из группы Local Administrators.