Zatímco Řízení přístupu uživatelů pro Windows 10 je navrženo s ohledem na zabezpečení, nová technika obtoku UAC objevená výzkumným pracovníkem v oblasti bezpečnosti Matt Nelson činí bezpečnostní opatření zbytečnou. Hack se spoléhá na úpravu cest aplikace registru systému Windows a manipulaci s nástrojem Backup and Restore k načtení škodlivého kódu do systému.

Jak to funguje

Strategie přemostění využívá výhodu automatického zvýšení výšky společnosti Microsoft, která je přiřazena důvěryhodným binárním souborům, které jsou vytvořeny a digitálně podepsány softwarovým gigantem. To znamená, že důvěryhodné binární soubory při spuštění neuvidí okno UAC, a to i přes úroveň zabezpečení. Nelson dále vysvětlil ve svém blogu:

Při hledání dalších těchto automatických binárních souborů pomocí nástroje „sigcheck“ v nástroji SysInternals jsem narazil na „sdclt.exe“ a ověřil jsem, že se kvůli jeho manifestu automaticky zvyšuje.

Při pozorování průběhu provádění sdclt.exe je zřejmé, že tento binární soubor spustí control.exe, aby se otevřela položka ovládacího panelu v kontextu s vysokou integritou.

Binární sdclt.exe je vestavěný nástroj pro zálohování a obnovení, který společnost Microsoft představila v systému Windows 7. Nelson vysvětlil, že soubor sdclt.exe používá binární ovládací panel k načtení stránky nastavení zálohování a obnovení, když uživatel otevře tento nástroj.

Sdclt.exe však odešle dotaz do místního registru Windows, aby získal cestu aplikace control.exe před načtením control.exe. Výzkumník uznává skutečnost, že to představuje problém, protože uživatelé s nízkou úrovní oprávnění mohou stále upravovat klíče registru. Útočníci mohou tento klíč registru změnit a ukázat jej na malware. Systém Windows by pak aplikaci důvěřoval a stáhl výzvy UAC, protože sdclt.exe je automaticky zvýšen.

Je třeba zdůraznit, že technika bypassu se vztahuje pouze na Windows 10. Nelson dokonce testoval hack na Windows 10 build 15031. Aby řešil bezpečnostní chybu, výzkumník doporučuje, aby uživatelé nastavili úroveň UAC na „Vždy upozornit“ nebo odstranili stávající uživatel ze skupiny Local Administrators.