Enquanto o Controle de Acesso do Usuário para Windows 10 foi desenvolvido com a segurança em mente, uma nova técnica de desvio do UAC descoberta pelo pesquisador de segurança Matt Nelson torna a medida de segurança inútil. O hack depende da modificação dos caminhos do aplicativo de registro do Windows e da manipulação do utilitário de backup e restauração para carregar o código malicioso no sistema.

Como funciona

A estratégia de desvio tira proveito do status de elevação automática da Microsoft atribuído a binários confiáveis, criados e assinados digitalmente pela gigante do software. Isso significa que os binários confiáveis ​​não exibem uma janela do UAC quando iniciados, apesar do nível de segurança. Nelson explicou ainda em seu blog:

Enquanto procurava por mais desses binários de elevação automática usando a ferramenta SysInternals "sigcheck", me deparei com "sdclt.exe" e verifiquei que ele eleva automaticamente devido ao seu manifesto.

Ao observar o fluxo de execução do sdclt.exe, torna-se aparente que esse binário inicia o control.exe para abrir um item do Painel de Controle no contexto de alta integridade.

O binário sdclt.exe é o utilitário interno de Backup e Restauração que a Microsoft introduziu no Windows 7. Nelson explicou que o arquivo sdclt.exe usa o binário do Painel de Controle para carregar a página de configurações de Backup e Restauração quando um usuário abre o utilitário.

No entanto, o sdclt.exe envia uma consulta ao Registro local do Windows para obter o caminho do aplicativo do control.exe antes de carregar o control.exe. O pesquisador reconhece o fato de que isso representa um problema, pois os usuários com baixo nível de privilégio ainda podem modificar as chaves do registro. Mais exatamente, os invasores podem alterar essa chave do registro e apontar para malware. O Windows confiaria no aplicativo e retiraria as solicitações do UAC, pois o sdclt.exe é automaticamente elevado.

Vale ressaltar que a técnica de desvio se aplica apenas ao Windows 10. Nelson até testou o hack no Windows 10 build 15031. Para solucionar a falha de segurança, o pesquisador recomenda que os usuários definam o nível de UAC como "Sempre notificar" ou remova a atualização atual. usuário do grupo Administradores Locais.