А вам нравится «BIS Journal»?

Присоединяйтесь к обществу профессионалов по информационной безопасности.

«BIS Journal» рекомендует!
Нажмите МНЕ НРАВИТСЯ!

17 марта, 2017

ИБ-эксперт использовал утилиту Windows Backup And Restore для загрузки вредоносного кода

Исследователь в сфере кибербезопасности Мэтт Нельсон раскрыл подробности техники обхода защитного механизма ОС Windows 10, известного как User Account Control (UAC, контроль учетных записей).

Новый метод предполагает модификацию прописанных путей к папкам в реестре Windows, а также использование утилиты Windows Backup And Restore (Архивация и Восстановление) для загрузки вредоносного кода.

Техника основана на принципе автоматического повышения привилегий, действующего для различных доверенных файлов. В поисках новых методов обхода UAC Нельсон решил проверить, возможно ли использовать автоэлевацию для загрузки файлов, помимо тех, что одобрены Microsoft.

В ходе исследования Нельсон нашел лазейку в виде исполняемого файла sdclt.exe (утилита Backup And Restore, впервые представленная в Windows 7). По его словам, при запуске утилиты sdclt.exe использует control.exe (Панель управления) для загрузки контрольной панели Backup And Restore. Однако перед загрузкой control.exe процесс sdclt.exe отправляет запрос в локальный реестр Windows на указание пути к control.exe, который обычно выглядит вот так: HKCU:\Software\Microsoft\Windows\CurrentVersion\App Paths\control.exe.

Как отметил исследователь, это представляет проблему, поскольку пользователи с низкими привилегиями могут модифицировать ключи реестра, в том числе для control.exe. Таким образом, злоумышленник может изменить данный ключ реестра и использовать sdclt.exe для запуска вредоносного кода. При этом Windows не выдаст никаких предупреждений.

Вышеописанный метод работает только на компьютерах под управлением Windows 10 и не затрагивает более ранние версии операционной системы, утверждает Нельсон. Исследователь опубликовал PoC-код атаки на GitHub.

 


Поделитесь с друзьями:

Мы в социальных сетях

События

Пн
Вт
Ср
Чт
Пт
Сб
Вс
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31