Мэтт Нельсон: App Paths можно использовать для обхода UAC в Windows 10

Мэтт Нельсон: App Paths можно использовать для обхода UAC в Windows 10

Исследователь в области безопасности Мэтт Нельсон (Matt Nelson) подробно описал метод обхода контроля учетных записей (UAC) в Windows 10, при котором используется ключ в реестре App Paths.

В течение последних нескольких месяцев Нельсон подробно описывал другие методы обхода UAC, в их число входил метод, при котором использовалась программа просмотра событий (Event Viewer) и метод, использующий утилиту очистки диска. Первый способ был использован в атаках, распространяющих вредоносные программы Remos RAT и Erebus.

Теперь исследователь обнаружил еще один метод обхода, который работает только в Windows 10. По словам Нельсона, Microsoft сосредоточилась на решении проблем, связанных с ранее раскрытыми методами обхода, а новый работает в Windows 10 build 15031.

Поскольку подписанные Microsoft бинарные файлы автоматически повышаются в привилегиях, исследователь решил более внимательно изучить этот механизм и обнаружил проблему в sdclt.exe, который относится к инструменту резервного копирования и восстановления системы компьютера в Windows. Как оказалось, sdclt.exe автоматически повышается в привилегиях, но только в Windows 10 (в Windows 7 есть механизим, предотвращающий это).

Как оказалось, sdclt.exe запускает control.exe, чтобы открыть элемент панели управления, исследователь обнаружил, что процесс получает путь к control.exe, запрашивая ключ App Path для него в HKEY_CURRENT_USER.

«Вызовы HKEY_CURRENT_USER (или HKCU) особенно интересны. Это часто означает, что процесс с повышенными привилегиями взаимодействует с местом реестра и туда может вторгнуться процесс со средними привилегиями» - говорит Нельсон.

Если поиск полного пути control.exe не возвращает инфолрмацию из HKCU, sdclt.exe продолжает типичный порядок поиска Windows. Однако злоумышленник может использовать эту схему, чтобы запросом sdclt.exe модифицировать ключ App Paths.

Эксперт отмечает, что этот метод подразумевает, что злоумышленник должен поместить вредоносный файл на диск, чтобы запустить его с повышенными привилегиями. Нельсон также опубликовал скрипт на GitHub, демонстрирующий атаку с использованием этого метода обхода.

«Скрипт получает полный путь к предполагаемому вредоносу, в нашем случае это будет C:\Windows\System32\cmd.exe, автоматически добавит ключи и запустит sdclt.exe» - объясняет исследователь.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Чешское отделение Huawei обвиняют в тайном сборе персональных данных

Huawei опять появилась в заголовках новостных изданий — государственное радио Чехии сообщило, что чешское подразделение китайской телекоммуникационной компании тайно собирает персональные данные клиентов, чиновников и деловых партнеров.

В качестве своих источников государственное чешское радио называет двух бывших менеджеров Huawei. Пожелавшие сохранить анонимность экс-сотрудники заявили, что Huawei требовала заносить данные в системы, к которым был доступ из Китая.

«Менеджеры, работавшие в штате Huawei на протяжении многих лет, рассказали нашим корреспондентам, что их заставляли заносить персональные данные пользователей в системы, которые были отделены от корпоративных данных», — говорится в отчете, часть которого цитирует AFP.

Бывшие сотрудники уточнили, что среди таких данных были: количество детей, финансовое состояние, хобби и личные интересы.

«Доступ к этой информации в системе управления взаимоотношениями с клиентами (CRM) управлялся только из отделений Huawei, расположенных в Китае», — заявил один из «источников».

Напомним, что еще одни претензии к Huawei связаны со слухами, что китайский техногинант тайно помог Северной Корее построить сеть 3G.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru