главный исследователь безопасности enSilo Йотэм Готтесман обнаружил простой метод обхода механизма Windows User Account Control (UAC), который затрагивает все поддержанные Версии для Windows, который в некоторых сценариях эксплуатации приводит к командам выполнения нападавших с поднятыми привилегиями.

Техника, которую обнаружил Готтесман, полагается на методы, используемые, чтобы взаимодействовать и управлять переменными окружения.

Переменные окружения Windows - ряд временных параметров настройки, которые характерны для каждого Windows, обрабатывают и унаследованы их дочерними процессами, которые могут прочитать и написать их ценности.

Переменные окружения уровня Windows и их возможности

Неизвестный подавляющему большинству пользователей то, что есть класс общесистемных переменных окружения, которые относятся ко всей операционной системе Windows.

Они включают детали как текущее имя пользователя пользователя, область PC и пути к файлам для различных папок, таких как Windows OS, AppData, профиль пользователя, и так далее.

Этот набор переменных окружения сохранен в Windows Registry, следовательно они автоматически постоянные через перезагрузки и могут также быть изменены любым пользователем через команды «набора» или «setx».

Обходы UAC ухудшаются, когда объединено высоко данные привилегию заявления

Но есть больше. Из-за пути построен Windows, есть специальные приложения, которые, когда начато постоянными пользователями, выполняют процессы с более высокими привилегиями (Диспетчер задач, Дисковая Очистка - известный обход UAC, Зрителя Событий - известный обход UAC, больше).

Когда пользователь запускает одно из этих приложений, Windows UAC доверяет своему выполнению по умолчанию и не показывает предупреждение.

Мошенники могут использовать измененные переменные окружения, чтобы породить злонамеренные дочерние процессы в соответствии с законным приложением и выполнить нападение. Windows UAC останется тихим, в то время как нападение бежит с поднятыми привилегиями, потому что UAC доверяет родительскому процессу.

Доказательство понятия набрасывается на ту работу

Готтесман описал пять типов нападений, которые могут быть объединены в технической рецензии для enSilo.

В одном примере нападавший может создать копию папки C:/Windows и изменить общесистемную переменную окружения, чтобы указать на неправильную папку Windows OS. Это урегулирование активирует после системной перезагрузки и позволяет нападавшему загружать злонамеренный DLLs на системе.

Это не означает, что нападавший угнал OS, но когда другие законные приложения должны будут загрузить систему DLL, они будут указаны на неправильное местоположение, где нападавший может легко изменить и заменить файлы без продуктов безопасности, предупреждающих пользователя.

В другом подобном нападении он обманул Windows в погрузку той же папки C:/Windows от местной сетевой папки, подразумевая, что злонамеренные DLLs не должны даже быть сохранены в той же файловой системе.

Обход UAC с поднятыми работами привилегий над всеми версиями для Windows Вызов злонамеренного дочернего процесса с поднятыми привилегиями с помощью законного приложения и угнанных переменных окружения Windows

В его примерах Готтесман смог загрузить mmc.exe, пульт управления Windows с поднятыми привилегиями в соответствии с svchost.exe, между тем загрузив злонамеренный DLL от папки C:/copied/Windows нападавшего. Это было сделано без UAC предупреждение и с поднятыми привилегиями.

Патч Windows будет прибывать в будущее

enSilo исследователь уведомил Microsoft, но компания классифицировала это как проблему обхода UAC, и не возвышение недостатка привилегий. Microsoft не полагает, что UAC обходят недостаток безопасности, означая, что ее не исправят с предельной безотлагательностью, но будут в конечном счете иметь дело с в будущем. Кодекс доказательства понятия доступен на GitHub.

«Расширение переменной окружения в Windows позволяет нападавшему собирать информацию о системе до нападения и в конечном счете брать на себя полное и постоянное управление системы во время выбора, управляя единственной командой уровня пользователя, или альтернативно, изменяя один регистрационный ключ», объясняет Готтесман.

«Этот вектор также позволяет кодексу нападавшего в форме DLL, чтобы загрузить в законные процессы других продавцов или самого OS и маскарада его действия как действия целевого процесса, не имея необходимость использовать кодовые методы инъекции или манипуляции памяти использования», добавил исследователь также. «Сторонние услуги, которые бегут от имени администратора, могут также быть уязвимы для этого нападения и позволить постоянным пользователям поднимать свои привилегии в системе».

Обход UAC с поднятыми работами привилегий над всеми версиями для Windows Исследователь, управляющий его образцом деяния