Kaut arī Windows 10 lietotāja piekļuves kontrole ir izstrādāta, ņemot vērā drošību, jaunais UAC apvedceļa paņēmiens, ko atklāja drošības pētnieks Metjū Nelsons, padara drošības pasākumu bezjēdzīgu. Hakets ir atkarīgs no Windows reģistra lietotņu ceļu modificēšanas un ar utilītas Backup and Restore manipulācijām, lai ļaunprātīgu kodu ielādētu sistēmā.

Kā tas strādā

Apvedceļa stratēģijā tiek izmantots Microsoft automātiskā pacēluma statuss, kas tiek piešķirts uzticamiem bināriem failiem, kurus izveidojis un digitāli parakstījis programmatūras gigants. Tas nozīmē, ka, neraugoties uz drošības līmeni, uzticamajos bināros failos netiek parādīts UAC logs. Nelsons savā emuārā sīkāk paskaidroja:

Meklējot vairāk no šiem automātiski paaugstinošajiem binārajiem failiem, izmantojot SysInternals rīku “sigcheck”, es saskāros ar “sdclt.exe” un pārliecinājos, ka tas automātiski paaugstinās tā manifesta dēļ.

Novērojot sdclt.exe izpildes plūsmu, kļūst skaidrs, ka šis binārais fails startē control.exe, lai atvērtu vadības paneļa vienību augstas integritātes kontekstā.

Binārā sdclt.exe ir iebūvētā dublēšanas un atjaunošanas utilīta, kuru Microsoft ieviesa ar Windows 7. Nelsons paskaidroja, ka fails sdclt.exe izmanto vadības paneļa bināro failu, lai ielādētu dublēšanas un atjaunošanas iestatījumu lapu, kad lietotājs atver utilītu.

Tomēr sdclt.exe nosūta vaicājumu vietējam Windows reģistram, lai iegūtu control.exe lietotnes ceļu, pirms tas ielādē control.exe. Pētnieks atzīst faktu, ka tas rada problēmas, jo lietotāji ar zemu privilēģiju līmeni joprojām var modificēt reģistra atslēgas. Vēl vairāk, uzbrucēji var mainīt šo reģistra atslēgu un norādīt to uz ļaunprātīgu programmatūru. Tad Windows uzticētos lietotnei un atsauktu UAC uzvednes, jo sdclt.exe tiek automātiski paaugstināts.

Ir vērts norādīt, ka apvedceļš tiek piemērots tikai operētājsistēmai Windows 10. Nelsons pat pārbaudīja uzlauzšanu operētājsistēmā Windows 10 build 15031. Lai novērstu drošības trūkumus, pētnieks iesaka lietotājiem iestatīt UAC līmeni uz “Vienmēr paziņot” vai noņemt pašreizējo. lietotājs no grupas Vietējie administratori.