Aj keď je kontrola prístupu používateľov pre Windows 10 navrhnutá s ohľadom na bezpečnosť, nová technika obtoku UAC objavená výskumníkom v oblasti bezpečnosti Matt Nelson robí bezpečnostné opatrenie zbytočným. Hacker sa spolieha na úpravu ciest k aplikáciám v registri Windows a na manipuláciu s nástrojom Backup and Restore na načítanie škodlivého kódu do systému.

Ako to funguje

Stratégia obtoku využíva stav automatického zdvíhania spoločnosti Microsoft, ktorý je priradený dôveryhodným binárnym súborom, ktoré vytvára a digitálne podpisuje softvérový gigant. To znamená, že dôveryhodné binárne súbory nezobrazujú okno UAC, keď sa spustia napriek úrovni zabezpečenia. Nelson ďalej vysvetlil vo svojom blogu:

Pri hľadaní ďalších týchto binárnych binárnych súborov pomocou nástroja SysInternals „sigcheck“ som narazil na „sdclt.exe“ a overil som, že sa automaticky zdvíha kvôli svojmu manifestu.

Pri pozorovaní priebehu vykonávania sdclt.exe je zrejmé, že tento binárny súbor spustí ovládací súbor.exe, aby sa otvorila položka ovládacieho panela v kontexte vysokej integrity.

Binárny súbor sdclt.exe je vstavaný nástroj na zálohovanie a obnovenie, ktorý spoločnosť Microsoft uviedla v systéme Windows 7. Nelson vysvetlil, že súbor sdclt.exe používa binárny ovládací panel na načítanie stránky nastavení zálohovania a obnovenia, keď používateľ otvorí tento pomocný program.

Program sdclt.exe však odošle dotaz do miestneho registra systému Windows, aby získal cestu aplikácie control.exe pred načítaním súboru control.exe. Výskumník uznáva skutočnosť, že to predstavuje problém, pretože používatelia s nízkou úrovňou oprávnení môžu stále upravovať kľúče databázy Registry. Útočníci môžu tento kľúč databázy Registry zmeniť a ukázať na škodlivý softvér. Systém Windows by potom aplikácii dôveroval a stiahol výzvy UAC, pretože sdclt.exe je automaticky zvýšený.

Je potrebné zdôrazniť, že technika obchádzania sa týka iba systému Windows 10. Nelson dokonca testoval hack na serveri Windows 10 build 15031. Na riešenie bezpečnostných nedostatkov výskumný pracovník odporúča, aby používatelia nastavili úroveň UAC na „Vždy upozorniť“ alebo odstránili súčasnú používateľ zo skupiny Local Administrators.