UAC в Windows 10 можно обойти используя утилиту очистки диска

UAC в Windows 10 можно обойти используя утилиту очистки диска

Эксперты нашли способ обойти Контроль учетных записей (UAC) в Windows 10, для этого они воспользовались родной утилитой Microsoft для очистки диска.

Контроль учетных записей был представлен еще в Windows Vista и был создан для защиты системы от несанкционированных изменений, внесенных пользователями, приложениями или вредоносными программами. За последние годы хакеры нашли несколько способов обойти UAC, в основном, за счет подмен DLL.

Исследователи Matt Graeber и Matt Nelson нашли способ обойти UAC, который, как они утверждают, имеет ряд преимуществ.

Анализ запланированных по умолчанию задач в Windows 10 показал, что существует некая задача с именем SilentCleanup, которая запускает процесс очистки диска cleanmgr.exe с самыми высокими привилегиями, даже если он запущен от пользователя, не имеющего прав администратора. Процесс создает новую папку с именем GUID в папке Temp и копирует в нее исполняемый файл и различные DLL. Затем исполняемый файл запускается и начинает загрузку DLL- библиотек в определенном порядке.

Если злоумышленник сможет заменить один из файлов DLL на вредоносный, прежде чем его загрузит исполняемый файл, то он сможет обойти UAC и выполнить код с высокими привилегиями.

Graeber и Nelson написали PoC-скрипт, который следит за созданием папки GUID и заменяет последний загружаемый DLL-файл на вредоносный.

Исследователи говорят, что этот метод является более эффективным, он не требует каких-либо внедрений в процесс и за счет этого существует меньшая вероятность того, что его обнаружат антивирусные решения. Другие преимущества этого метода в том, что для процесса копирования файлов не требуются дополнительные права в системе. Кроме того, этот метод работает даже при самом жестком режиме UAC, а вредоносная DLL удаляется сразу после завершения процесса очистки диска.

Эксперты сообщили Microsoft об этом методе, однако получили ответ, что это не может быть квалифицировано как уязвимость, так как UAC не является единственным средством защиты.

«Этот метод обхода можно нейтрализовать путем отключения задачи очистки диска, либо урезать ей права в системе» - пояснил Nelson в своем блоге.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Инфосистемы Джет заключила соглашение о взаимодействии Jet CSIRT с НКЦКИ

Компания «Инфосистемы Джет» заключила соглашение о взаимодействии Центра мониторинга и реагирования на инциденты ИБ Jet CSIRT с Национальным координационным центром по компьютерным инцидентам (НКЦКИ) для предоставления экспертных сервисов по организации взаимодействия с ГосСОПКА.

Ранее портфель услуг «Инфосистемы Джет» в части защиты объектов критической информационной инфраструктуры (КИИ) включал обследование и категорирование объектов КИИ, проектирование и внедрение средств защиты информации, разработку организационно-распорядительной документации и эксплуатацию систем безопасности. С получением Jet CSIRT статуса Корпоративного центра ГосСОПКА в этот список добавились экспертные сервисы по передаче данных об инцидентах ИБ регулятору. Теперь ИТ-компания сможет закрывать задачи заказчиков по обеспечению безопасности объектов КИИ и выполнению требований законодательства в этой области «под ключ».

Передача функций по взаимодействию с ГосСОПКА на аутсорсинг в «Инфосистемы Джет» позволяет компаниям сократить затраты на формирование и содержание штата ИБ-специалистов, не организовывать собственный канал передачи данных в НКЦКИ и сэкономить на выстраивании процессов категорирования, фильтрации и обработки киберинцидентов в объектах КИИ.

«Выбор Корпоративного центра ГосСОПКА для передачи данных об инцидентах ИБ регулятору не отменяет требований к наличию у заказчика ИБ-команды, однако позволяет снизить нагрузку на нее. Такую службу можно сформировать из минимального числа специалистов, которые будут только курировать работу сервис-провайдера и смогут фокусироваться на решении внутренних задач. Более того, за счет отказа от ночных дежурных смен ИБ-специалистов можно сократить затраты на ФОТ в 2-3 раза. Что касается оборудования и лицензий, то тут экономия может быть также кратной. При этом важно, что такой аутсорсинг позволяет повысить эффективность превентивных мер защиты, мер по детектированию и реагированию, поскольку указанными задачами занимаются специализированные эксперты с большим опытом», — прокомментировал Алексей Мальнев, руководитель Центра мониторинга и реагирования на инциденты ИБ Jet CSIRT компании «Инфосистемы Джет».

Сведения об инцидентах в значимых объектах КИИ Jet CSIRT передает в ГосСОПКА круглосуточно — в течение 3 часов с момента их возникновения. В последующие 48 часов Центр также уведомляет НКЦКИ о принятых мерах по реагированию на атаку. В случае с незначимыми объектами КИИ оповещение о вредоносной активности происходит в течение 24 часов. 

Данные передаются в автоматическом режиме по защищенному каналу в соответствии с согласованным с заказчиком регламентом. Для исключения отправки в ГосСОПКА сведений о ложных срабатываниях средств защиты информацию дополнительно проверяют аналитики по мониторингу инцидентов ИБ. 

«Мы применяем системный подход к защите данных наших заказчиков: не только выполняем требования регуляторов в области ИБ, но и внедряем международные стандарты. Недавно мы получили подтверждение в виде Сертификата соответствия нашей Системы менеджмента ИБ требованиям международного стандарта ISO/IEC 27001:2013. Хочется отметить, что в России немногие ИТ-компании успешно проходят такую сертификацию, так как она предполагает детальный аудит всех внутренних процессов, проверку технологий и навыков команды», — добавил Алексей Мальнев.

Команда Jet CSIRT помогает владельцам объектов КИИ и в решении задач по реагированию на киберинциденты. В зависимости от выбранной опции (консультационное или техническое реагирование), эксперты могут предоставлять заказчикам точные инструкции по реагированию или реализовать весь процесс Incident Response собственными силами.

Комплекс услуг от «Инфосистемы Джет» по защите объектов КИИ «под ключ» будет востребован компаниями финансового сектора, предприятиями энергетики, горнодобывающей, металлургической и химической промышленности, а также другими организациями, на которые распространяется действие 187-ФЗ «О безопасности критической информационной инфраструктуры в РФ» и его подзаконных актов.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru