Hoewel de gebruikerstoegangscontrole voor Windows 10 is ontworpen met beveiliging in het achterhoofd, maakt een nieuwe UAC-bypasstechniek ontdekt door beveiligingsonderzoeker Matt Nelson de beveiligingsmaatregel onbruikbaar. De hack is afhankelijk van het wijzigen van de paden van de Windows-registerapp en het manipuleren van het hulpprogramma Back-up en herstellen om schadelijke code in het systeem te laden.

Hoe het werkt

De bypass-strategie maakt gebruik van de automatische hoogtestatus van Microsoft die is toegewezen aan vertrouwde binaries, die zijn gemaakt en digitaal zijn ondertekend door de softwaregigant. Dat betekent dat de vertrouwde binaire bestanden ondanks het beveiligingsniveau geen UAC-venster weergeven. Nelson verklaarde verder in zijn blog:

Tijdens het zoeken naar meer van deze automatisch opheffende binaire bestanden met behulp van de SysInternals-tool "sigcheck", kwam ik "sdclt.exe" tegen en verifieerde dat het automatisch opheft vanwege zijn manifest.

Bij het observeren van de uitvoeringsstroom van sdclt.exe, wordt het duidelijk dat dit binaire bestand control.exe start om een ​​regelpaneelitem te openen in een context met hoge integriteit.

Het binaire bestand sdclt.exe is het ingebouwde hulpprogramma Back-up en terugzetten dat Microsoft met Windows 7 heeft geïntroduceerd. Nelson legde uit dat het bestand sdclt.exe het binaire bestand Configuratiescherm gebruikt om de instellingenpagina Back-up en terugzetten te laden wanneer een gebruiker het hulpprogramma opent.

Sdclt.exe verzendt echter een query naar het lokale Windows-register om het app-pad van control.exe te verkrijgen voordat control.exe wordt geladen. De onderzoeker erkent het feit dat dit een probleem vormt, omdat gebruikers met een laag privilegieniveau nog steeds registersleutels kunnen wijzigen. Meer ter zake, aanvallers kunnen deze registersleutel wijzigen en op malware wijzen. Windows zou de app dan vertrouwen en UAC-prompts intrekken, omdat sdclt.exe automatisch wordt verhoogd.

Het is vermeldenswaard dat de bypass-techniek alleen van toepassing is op Windows 10. Nelson testte zelfs de hack op Windows 10 build 15031. Om de beveiligingsfout aan te pakken, beveelt de onderzoeker gebruikers aan om het UAC-niveau in te stellen op “Altijd op de hoogte brengen” of de huidige verwijderen gebruiker uit de groep Lokale beheerders.