Mens brugeradgangskontrol til Windows 10 er designet med sikkerhed for øje, gør en ny UAC-bypass-teknik, der er opdaget af sikkerhedsforsker Matt Nelson, sikkerhedsforanstaltningen ubrugelig. Hacket er afhængig af at ændre Windows-registreringsdatabase-appstierne og manipulere værktøjet Backup and Restore for at indlæse ondsindet kode i systemet.

Hvordan det virker

Bypassstrategien drager fordel af Microsofts status som auto-elevation, der er tildelt tillidelige binære filer, som oprettes og digitalt underskrives af softwaregiganten. Det betyder, at de betroede binære filer ikke viser et UAC-vindue, når de lanceres på trods af sikkerhedsniveauet. Nelson forklarede yderligere i sin blog:

Mens jeg søgte efter flere af disse auto-eleving binære filer ved hjælp af SysInternals-værktøjet "sigcheck", stødte jeg på "sdclt.exe" og bekræftede, at det auto-elevates på grund af dets manifest.

Når man observerer udførelsesstrømmen af ​​sdclt.exe, bliver det tydeligt, at denne binære starter control.exe for at åbne et Kontrolpanel-element i højintegritet kontekst.

Binæren sdclt.exe er det indbyggede værktøj til sikkerhedskopiering og gendannelse, som Microsoft introducerede med Windows 7. Nelson forklarede, at sdclt.exe-filen bruger Kontrolpanel binært til at indlæse siden med indstillinger for sikkerhedskopi og gendannelse, når en bruger åbner værktøjet.

Sdclt.exe sender imidlertid en forespørgsel til det lokale Windows-registreringsdatabase for at hente control.exe's appsti, før den indlæses control.exe. Forskeren anerkender, at dette udgør et problem, da brugere med lavt privilegieniveau stadig kan ændre registernøgler. Mere til det punkt kan angribere ændre denne registreringsdatabase nøgle og pege den til malware. Windows ville derefter stole på appen og trække UAC-meddelelser tilbage, da sdclt.exe er auto-elevated.

Det er værd at påpege, at bypass-teknikken kun gælder for Windows 10. Nelson testede endda hacket i Windows 10 build 15031. For at tackle sikkerhedsfejlen anbefaler forskeren, at brugerne indstiller UAC-niveauet til “Always Notify” eller fjerner det aktuelle bruger fra gruppen Lokale administratorer.