Новый метод обхода UAC в Windows 10 позволяет подключить вредоносную DLL-библиотеку

Исследователи Мэтт Гребер (Matt Graeber) и Мэтт Нелсон (Matt Nelson) обнаружили новый способ обхода функции Контроля учетных записей в Windows, предназначенной для предотвращения несанкционированных изменений в компьютере.

Новая атака работает на устройствах под управлением Windows 10, и в отличие от остальных подобных методов, не детектируется решениями по безопасности, поскольку не предполагает использование копии файла с привилегиями или внедрение кода. Греберу и Нелсону удалось обойти UAC, используя сложный, многоэтапный процесс, в конечном итоге позволяющий подключить вредоносную DLL-библиотеку и запустить ее на системе с повышенными привилегиями.

Проанализировав ряд установленных по умолчанию задач в планировщике Windows 10, исследователи выяснили, что один из процессов (SilentCleanup) может запускаться непривилегированным пользователем, но исполняться с повышенными правами. Как пояснили эксперты, файл SilentCleanup связан с утилитой Disk Cleanup или Cleanmgr.exe. При запуске cleanmgr.exe права процесса автоматически повышаются до максимального уровня, что связано с установленными настройками в конфигурации задачи.

После запуска утилита Disk Cleanup создает новую папку GUID в C:\Users\\AppData\Local\Temp, куда копируется несколько DLL-файлов, а также dismhost.exe. Запустившись dismhost.exe. начинает в определенном порядке выгружать файлы DLL из папки C:\Users\\AppData\Local\Temp\ <guid>. Поскольку текущий пользователь имеет доступ с правом на запись к директории %TEMP%, вполне возможно подменить DLL, используемый процессом dismhost.exe. 

Исследователи представили свои наработки специалистам Microsoft, однако в компании отметили, что механизм Контроля учетных записей не относится к функциям безопасности и, соответственно, данная проблема не может рассматриваться как уязвимость.