Inget operativsystem är hotskyddat och varje användare vet detta. Det finns en ständig kamp mellan mjukvaruföretag å ena sidan och hackare å andra sidan. Det verkar som det finns många sårbarheter hackare kan dra nytta av, särskilt när det gäller Windows OS.

I början av augusti rapporterade vi om Windows 10: s SilentCleanup-processer som kan användas av angripare för att tillåta skadlig programvara att glida genom UAC-porten i användarens dator. Enligt senaste rapporter är detta inte den enda sårbarheten som döljer sig i Windows UAC.

En ny UAC-förbikoppling med förhöjda privilegier har upptäckts i alla Windows-versioner. Denna sårbarhet har sitt ursprung i miljövariablerna i operativsystemet och gör det möjligt för hackare att kontrollera barnprocesser och ändra miljövariabler.

Hur fungerar den här nya UAC-sårbarheten?

En miljö är en samling variabler som används av processer eller användare. Dessa variabler kan ställas in av användare, program eller själva Windows OS och deras huvudroll är att göra Windows-processerna flexibla.

Miljövariabler som anges av processer är tillgängliga för processen och dess barn. Den miljö som skapas av processvariabler är en flyktig miljö, som bara finns när processen är igång och försvinner helt och lämnar inga spår alls när processen slutar.

Det finns också en andra typ av miljövariabler, som finns i hela systemet efter varje omstart. De kan ställas in i systemegenskaperna av administratörer eller direkt genom att ändra registervärden under miljönyckeln.

Hackare kan använda dessa variabler till sin fördel. De kan använda en skadlig C: / Windows-mappkopia och lura systemvariabler för att använda resurserna från den skadliga mappen, vilket gör att de kan infektera systemet med skadliga DLL-filer och undvika att upptäckas av systemets antivirus. Det värsta är att detta beteende förblir aktivt efter varje omstart.

Miljövariabel utvidgning i Windows tillåter en angripare att samla information om ett system före en attack och så småningom ta fullständig och ihållande kontroll av systemet vid valet genom att köra ett enkelt användarnivåkommando, eller alternativt byta en registernyckel.

Denna vektor låter också angriparens kod i form av en DLL för att ladda in i legitima processer från andra leverantörer eller operativsystemet själv och maskera dess handlingar som målprocessens åtgärder utan att behöva använda kodinjektionstekniker eller använda minnesmanipulationer.

Microsoft tror inte att denna sårbarhet utgör en säkerhetsnöd, men kommer ändå att korrigera den i framtiden.