Neviena operētājsistēma nav droša pret draudiem, un to zina katrs lietotājs. Starp programmatūras uzņēmumiem, no vienas puses, un hakeriem, no otras puses, notiek nepārtraukta cīņa. Šķiet, ka ir daudz ievainojamību, ko hakeri var izmantot, īpaši, ja runa ir par Windows OS.

Augusta sākumā mēs ziņojām par Windows 10 SilentCleanup procesiem, kurus uzbrucēji var izmantot, lai ļautu ļaunprātīgai programmatūrai izslīdēt caur UAC vārtiem lietotāju datorā. Saskaņā ar jaunākajiem ziņojumiem, šī nav vienīgā ievainojamība, kas slēpjas Windows UAC.

Visās Windows versijās ir atklāts jauns UAC apvedceļš ar paaugstinātām tiesībām. Šī ievainojamība sakņojas OS vides mainīgajos lielumos un ļauj hakeriem kontrolēt bērnu procesus un mainīt vides mainīgos.

Kā darbojas šī jaunā UAC ievainojamība?

Vide ir mainīgo lielumu kolekcija, ko izmanto procesi vai lietotāji. Šos mainīgos var iestatīt lietotāji, programmas vai pati Windows OS, un to galvenā loma ir padarīt Windows procesus elastīgus.

Vides mainīgie, ko nosaka procesi, ir pieejami šim procesam un tā bērniem. Procesa mainīgo radītā vide ir nepastāvīga, pastāv tikai procesa laikā, un pilnībā izzūd, atstājot pēdas, kad process beidzas.

Pastāv arī otrs vides mainīgo tips, kas atrodas visā sistēmā pēc katras atsāknēšanas. Administratori tos var iestatīt sistēmas īpašībās vai tieši, mainot reģistra vērtības zem vides atslēgas.

Hakeri var izmantot šos mainīgos lielumus savā labā. Viņi var izmantot ļaunprātīgu C: / Windows mapes kopiju un viltot sistēmas mainīgos, lai ļaunprātīgās mapes resursus izmantotu, ļaujot viņiem inficēt sistēmu ar ļaunprātīgiem DLL un izvairīties no sistēmas antivīrusu atklāšanas. Sliktākais ir tas, ka šī uzvedība paliek aktīva pēc katras atsāknēšanas.

Vides mainīgā paplašināšana Windows ļauj uzbrucējam pirms uzbrukuma vākt informāciju par sistēmu un galu galā veikt pilnīgu un pastāvīgu sistēmas kontroli pēc izvēles, palaižot vienu lietotāja līmeņa komandu vai, alternatīvi, mainot vienu reģistra atslēgu.

Šis vektors ļauj arī uzbrucēja kodu DLL formā ielādēt citu pārdevēju vai pašas OS likumīgos procesos un maskēt tā darbības kā mērķa procesa darbības, neizmantojot koda ievadīšanas paņēmienus vai izmantojot atmiņas manipulācijas.

Microsoft neuzskata, ka šī ievainojamība ir drošības ārkārtas situācija, taču nākotnē tā tomēr tiks labota.