🔐 Ataki na mechanizmy UAC w Windows 11: Omijanie kontroli konta użytkownika

📌 Wprowadzenie

Kontrola konta użytkownika (UAC) to jeden z fundamentalnych mechanizmów zabezpieczeń w systemie Windows, który został wprowadzony z myślą o ograniczeniu uprawnień aplikacji i zapobieganiu nieautoryzowanemu uruchamianiu kodu z uprawnieniami administratora.

W systemie Windows 11, pomimo jego nowoczesnej architektury zabezpieczeń, UAC wciąż pozostaje podatne na liczne techniki obejścia (UAC bypass). W niniejszym artykule dokonamy zaawansowanej analizy:

• Czym jest UAC i jak działa.
• Jakie są znane techniki jego obchodzenia.
• Przykłady exploitów i narzędzi używanych w praktyce.
• Jak administratorzy i użytkownicy mogą się chronić.
• Powiązania z zagrożeniami w internecie.

🧠 Czym jest UAC (User Account Control)?

UAC to komponent systemu Windows, który chroni przed:

• Nieautoryzowanymi zmianami w systemie operacyjnym,
• Uruchamianiem programów z podwyższonymi uprawnieniami,
• Eskalacją uprawnień przez złośliwe oprogramowanie.

W trybie domyślnym, użytkownik z uprawnieniami administratora działa jako „standardowy użytkownik”, a do wykonania operacji systemowych wymagane jest świadome potwierdzenie (prompt UAC).

📊 Statystyka: Wzrost ataków omijających UAC

+--------+--------------------------+----------------------+
| Rok    | Wykryte techniki bypass | Narzędzia wykorzyst. |
+--------+--------------------------+----------------------+
| 2021   | 14                       | PowerSploit, UACMe   |
| 2022   | 22                       | Mimikatz, Empire     |
| 2023   | 28                       | Metasploit, SilentClean |
| 2024   | 33+                      | Custom loader’y APT  |
+--------+--------------------------+----------------------+

⚠️ Dlaczego UAC nadal jest podatne?

🔎 Brak izolacji pełnej sesji:

Choć UAC separuje uprawnienia, procesy w tej samej sesji mogą się komunikować – co otwiera drogę do tzw. token stealing.

🔎 Zaufane lokalizacje i aplety:

Wiele aplikacji Microsoftu uruchamia się z pełnym zaufaniem bez promptu UAC (np. eventvwr.exe, compmgmt.msc, fodhelper.exe).

🔎 Słaba konfiguracja polityk:

Użytkownicy i administratorzy często nie zmieniają domyślnych ustawień UAC, a wiele firm wyłącza UAC w środowiskach produkcyjnych dla wygody.

🔧 Najczęściej wykorzystywane techniki omijania UAC

1. Token Manipulation (Token Impersonation)

• Atakujący uruchamia proces jako zwykły użytkownik.
• Kradnie token sesji administratora z innego procesu.
• Używa go do uruchomienia cmd.exe jako admin – bez promptu.

2. Auto-elevating binaries (LOLbins)

• Narzędzia typu fodhelper.exe, sdclt.exe, computerdefaults.exe są białymi listami Microsoftu.
• Mogą być przeładowane złośliwym kodem poprzez wpisy rejestru:

[HKEY_CURRENT_USER\Software\Classes\ms-settings\shell\open\command]
@="C:\\malware.exe"
"DelegateExecute"=""

• Po uruchomieniu fodhelper.exe — kod malware działa z uprawnieniami admina.

3. DLL Hijacking w aplikacjach z auto-elevate

• Legalna aplikacja uruchamia się z podwyższonymi uprawnieniami.
• Podstawiona biblioteka DLL w katalogu aplikacji przejmuje kontrolę.

4. Masquerading i Bypass z użyciem COM Elevation Moniker

• Techniki COM pozwalają uzyskać dostęp do komponentów systemowych bez promptu, np.:

(New-Object -ComObject Shell.Application).ShellExecute("cmd.exe", "", "", "runas", 1)

🔍 Przykłady realnych ataków

🧬 Exploit Fodhelper

Set-ItemProperty "HKCU:\Software\Classes\ms-settings\shell\open\command" -Name "(default)" -Value "cmd.exe"
Set-ItemProperty "HKCU:\Software\Classes\ms-settings\shell\open\command" -Name "DelegateExecute" -Value ""
Start-Process "C:\Windows\System32\fodhelper.exe"

Po uruchomieniu — konsola CMD działa jako administrator.

🧬 PowerSploit – BypassUAC.ps1

Import-Module .\BypassUAC.ps1
Invoke-BypassUAC -Command "powershell.exe -NoP -NonI -W Hidden -Enc ..."

Szczególnie groźne w połączeniu z atakami phishingowymi i RCE.

💣 Powiązania z zagrożeniami w internecie

Mechanizmy omijania UAC są często wykorzystywane w dalszej fazie ataku, po tym jak użytkownik:

• Kliknie złośliwy załącznik,
• Otworzy plik .doc z makrem,
• Pobierze payload przez przeglądarkę lub komunikator.

Zagrożenia w internecie są więc bezpośrednim źródłem aktywacji ataków UAC-bypass. Sam UAC nie chroni przed inicjalnym wektorem ataku.

🛡️ Jak zabezpieczyć system przed UAC bypass?

🔐 Dla użytkowników:

• Nie pracuj na koncie z uprawnieniami administratora na co dzień.
• Nie wyłączaj UAC nawet w środowisku domowym.
• Nie klikaj „Tak” bez zastanowienia — prompt UAC to nie formalność.

🔐 Dla administratorów:

• Ustaw UAC na najwyższy poziom czułości.
• Używaj AppLocker lub WDAC (Windows Defender Application Control).
• Monitoruj użycie procesów takich jak fodhelper.exe, sdclt.exe, eventvwr.exe.
• Zastosuj polityki GPO:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System]
EnableLUA = 1
ConsentPromptBehaviorAdmin = 2
PromptOnSecureDesktop = 1

🔍 ASCII Diagram ataku UAC bypass

[User Clicks Attachment] --> [Initial Execution] --> [UAC Bypass (fodhelper)] --> [Admin Shell Spawned] --> [Persistence + Lateral Movement]

📚 Podsumowanie

Kontrola konta użytkownika (UAC) w Windows 11 pozostaje jednym z głównych celów ataków post-exploitation. Atakujący nie muszą łamać hasła administratora — wystarczy, że skutecznie obejdą UAC, co często dzieje się bez wiedzy użytkownika.

🔑 Najważniejsze wnioski:

• UAC można obejść przy użyciu narzędzi typu LOLBAS i PowerShell.
• Brak odpowiednich polityk i monitoringu to zaproszenie do ataku.
• UAC bypass to brama do dalszej eskalacji uprawnień i trwałej infekcji.

Polecane wpisy

Nowe rodzaje ransomware celujące w użytkowników Windows 11

Nowe rodzaje ransomware celujące w użytkowników Windows 11 🚨 Wprowadzenie Ransomware, czyli złośliwe oprogramowanie, które szyfruje dane na komputerze ofiary Czytaj dalej

Psychologiczne profile cyberprzestępców: Co motywuje hakerów i oszustów?

🧠 Wstęp: Cyberprzestępca jako osobowość, nie tylko technik W dobie cyfrowej transformacji zagrożenia w internecie przestały być jedynie problemem technologicznym. Czytaj dalej