Блог IT для Windows

Всё для Windows, софт, исходники

Метод обхода UAC в Windows 10 позволяет подключить вредоносную DLL

E-mail Печать
(0 голоса, среднее 0 из 5)

Исследователи Мэтт Гребер (Matt Graeber) и Мэтт Нелсон (Matt Nelson) обнаружили новый способ обхода функции Контроля учетных записей в Windows, предназначенной для предотвращения несанкционированных изменений в компьютере.

Новая атака работает на устройствах под управлением Windows 10, и в отличие от остальных подобных методов, не детектируется решениями по безопасности, поскольку не предполагает использование копии файла с привилегиями или внедрение кода. Греберу и Нелсону удалось обойти UAC, используя сложный, многоэтапный процесс, в конечном итоге позволяющий подключить вредоносную DLL-библиотеку и запустить ее на системе с повышенными привилегиями.

Проанализировав ряд установленных по умолчанию задач в планировщике Windows 10, исследователи выяснили, что один из процессов (SilentCleanup) может запускаться непривилегированным пользователем, но исполняться с повышенными правами. Как пояснили эксперты, файл SilentCleanup связан с утилитой Disk Cleanup или Cleanmgr.exe. При запуске cleanmgr.exe права процесса автоматически повышаются до максимального уровня, что связано с установленными настройками в конфигурации задачи.

После запуска утилита Disk Cleanup создает новую папку GUID в C:\Users\\AppData\Local\Temp, куда копируется несколько DLL-файлов, а также dismhost.exe. Запустившись dismhost.exe. начинает в определенном порядке выгружать файлы DLL из папки C:\Users\\AppData\Local\Temp\ <guid>. Поскольку текущий пользователь имеет доступ с правом на запись к директории %TEMP%, вполне возможно подменить DLL, используемый процессом dismhost.exe.

Исследователи представили свои наработки специалистам Microsoft, однако в компании отметили, что механизм Контроля учетных записей не относится к функциям безопасности и, соответственно, данная проблема не может рассматриваться как уязвимость.

Источник: www.securitylab.ru

 

Добавить комментарий


Защитный код
Обновить

Экспорт RSS

feed-image RSS

Праздники и история IT

Кто на сайте

Сейчас 130 гостей онлайн

Статистика

Яндекс.Метрика
Анализ веб сайтов

Поиск


Голосования

Какой операционной системой вы пользуетесь
 

Наш опрос

Каким браузером вы пользуетесь
 
Каким антивирусом вы пользуетесь