Medan användaråtkomstkontrollen för Windows 10 är utformad med säkerhet i åtanke, gör en ny UAC-bypass-teknik som upptäckts av säkerhetsforskaren Matt Nelson säkerhetsåtgärden värdelös. Hacket förlitar sig på att ändra Windows-appens sökvägar och manipulera verktyget Backup and Restore för att ladda skadlig kod i systemet.

Hur det fungerar

Bypassstrategin utnyttjar Microsofts status för automatisk höjning som tilldelas till betrodda binärer, som skapas och digitalt signeras av programvarujätten. Det betyder att de betrodda binärerna inte visar ett UAC-fönster när de startas trots säkerhetsnivån. Nelson förklarade vidare i sin blogg:

När jag letade efter fler av dessa auto-eleving binärer med hjälp av SysInternals-verktyget "sigcheck", kom jag över "sdclt.exe" och bekräftade att det auto-elevates på grund av dess manifest.

När man observerar exekveringsflödet för sdclt.exe blir det uppenbart att denna binära startar control.exe för att öppna ett Kontrollpanel-objekt i högintegritetssammanhang.

Den binära sdclt.exe är det inbyggda verktyget för säkerhetskopiering och återställning som Microsoft introducerade med Windows 7. Nelson förklarade att filen sdclt.exe använder binärkontrollpanelen för att ladda inställningssidan för säkerhetskopiering och återställning när en användare öppnar verktyget.

Sdclt.exe skickar emellertid en fråga till det lokala Windows-registret för att hämta control.exe's appväg innan den laddar control.exe. Forskaren erkänner att detta utgör ett problem eftersom användare med låg behörighetsnivå fortfarande kan ändra registernycklar. Ännu mer kan angriparna ändra registernyckeln och peka på skadlig programvara. Windows skulle då lita på appen och dra tillbaka UAC-instruktioner eftersom sdclt.exe är automatiskt upphöjd.

Det är värt att påpeka att förbikopplingstekniken endast gäller Windows 10. Nelson testade till och med hacket på Windows 10 build 15031. För att hantera säkerhetsfel rekommenderar forskaren att användare ställer in UAC-nivån till “Alltid meddela” eller ta bort den aktuella användare från gruppen Lokala administratörer.