Mentre User Access Control per Windows 10 è progettato pensando alla sicurezza, una nuova tecnica di bypass UAC scoperta dal ricercatore di sicurezza Matt Nelson rende inutile la misura di sicurezza. L'hacking si basa sulla modifica dei percorsi delle app del registro di Windows e sulla manipolazione dell'utility Backup and Restore per caricare codice dannoso nel sistema.

Come funziona

La strategia di bypass sfrutta lo stato di elevazione automatica di Microsoft assegnato a file binari affidabili, creati e firmati digitalmente dal colosso del software. Ciò significa che i binari attendibili non visualizzano una finestra UAC all'avvio nonostante il livello di sicurezza. Nelson ha inoltre spiegato nel suo blog:

Durante la ricerca di più di questi binari con elevazione automatica utilizzando lo strumento SysInternals "sigcheck", mi sono imbattuto in "sdclt.exe" e ho verificato che si elevava automaticamente a causa del suo manifest.

Quando si osserva il flusso di esecuzione di sdclt.exe, diventa evidente che questo file binario avvia control.exe per aprire un elemento del Pannello di controllo in un contesto ad alta integrità.

Il binario sdclt.exe è l'utilità di backup e ripristino integrata che Microsoft ha introdotto con Windows 7. Nelson ha spiegato che il file sdclt.exe utilizza il file binario del Pannello di controllo per caricare la pagina delle impostazioni di backup e ripristino quando un utente apre l'utilità.

Tuttavia, sdclt.exe invia una query al registro di Windows locale per ottenere il percorso dell'app control.exe prima che carichi control.exe. Il ricercatore riconosce che ciò pone un problema in quanto gli utenti con un livello di privilegio basso possono ancora modificare le chiavi del registro. Più precisamente, gli aggressori possono modificare questa chiave di registro e indicarla al malware. Windows si fiderebbe quindi dell'app e ritirerebbe le richieste di controllo dell'account utente poiché sdclt.exe viene elevato automaticamente.

Vale la pena sottolineare che la tecnica di bypass si applica solo a Windows 10. Nelson ha persino testato l'hack su Windows 10 build 15031. Per risolvere il problema di sicurezza, il ricercatore raccomanda agli utenti di impostare il livello di controllo dell'account utente su "Notifica sempre" o rimuovere la corrente utente dal gruppo degli amministratori locali.