17 марта 2017 / время чтения: 2 мин. / всего просмотров: 39
ИБ-эксперт использовал утилиту Windows Backup And Restore для загрузки вредоносного кода
Исследователь в сфере кибербезопасности Мэтт Нельсон раскрыл подробности техники обхода защитного механизма ОС Windows 10, известного как User Account Control (UAC, контроль учетных записей).
Новый метод предполагает модификацию прописанных путей к папкам в реестре Windows, а также использование утилиты Windows Backup And Restore (Архивация и Восстановление) для загрузки вредоносного кода.
Техника основана на принципе автоматического повышения привилегий, действующего для различных доверенных файлов. В поисках новых методов обхода UAC Нельсон решил проверить, возможно ли использовать автоэлевацию для загрузки файлов, помимо тех, что одобрены Microsoft.
В ходе исследования Нельсон нашел лазейку в виде исполняемого файла sdclt.exe (утилита Backup And Restore, впервые представленная в Windows 7). По его словам, при запуске утилиты sdclt.exe использует control.exe (Панель управления) для загрузки контрольной панели Backup And Restore. Однако перед загрузкой control.exe процесс sdclt.exe отправляет запрос в локальный реестр Windows на указание пути к control.exe, который обычно выглядит вот так: HKCU:\Software\Microsoft\Windows\CurrentVersion\App Paths\control.exe.
Как отметил исследователь, это представляет проблему, поскольку пользователи с низкими привилегиями могут модифицировать ключи реестра, в том числе для control.exe. Таким образом, злоумышленник может изменить данный ключ реестра и использовать sdclt.exe для запуска вредоносного кода. При этом Windows не выдаст никаких предупреждений.
Вышеописанный метод работает только на компьютерах под управлением Windows 10 и не затрагивает более ранние версии операционной системы, утверждает Нельсон. Исследователь опубликовал PoC-код атаки на GitHub.
Новый метод предполагает модификацию прописанных путей к папкам в реестре Windows, а также использование утилиты Windows Backup And Restore (Архивация и Восстановление) для загрузки вредоносного кода.
Техника основана на принципе автоматического повышения привилегий, действующего для различных доверенных файлов. В поисках новых методов обхода UAC Нельсон решил проверить, возможно ли использовать автоэлевацию для загрузки файлов, помимо тех, что одобрены Microsoft.
В ходе исследования Нельсон нашел лазейку в виде исполняемого файла sdclt.exe (утилита Backup And Restore, впервые представленная в Windows 7). По его словам, при запуске утилиты sdclt.exe использует control.exe (Панель управления) для загрузки контрольной панели Backup And Restore. Однако перед загрузкой control.exe процесс sdclt.exe отправляет запрос в локальный реестр Windows на указание пути к control.exe, который обычно выглядит вот так: HKCU:\Software\Microsoft\Windows\CurrentVersion\App Paths\control.exe.
Как отметил исследователь, это представляет проблему, поскольку пользователи с низкими привилегиями могут модифицировать ключи реестра, в том числе для control.exe. Таким образом, злоумышленник может изменить данный ключ реестра и использовать sdclt.exe для запуска вредоносного кода. При этом Windows не выдаст никаких предупреждений.
Вышеописанный метод работает только на компьютерах под управлением Windows 10 и не затрагивает более ранние версии операционной системы, утверждает Нельсон. Исследователь опубликовал PoC-код атаки на GitHub.