Alors que le contrôle d'accès des utilisateurs pour Windows 10 est conçu dans un souci de sécurité, une nouvelle technique de contournement du contrôle de compte d'utilisateur (UAC) découverte par le chercheur en sécurité, Matt Nelson, rend la mesure de sécurité inutile. Le hack repose sur la modification des chemins d'accès aux applications du registre Windows et sur la manipulation de l'utilitaire de sauvegarde et de restauration pour charger du code malveillant dans le système.

Comment ça fonctionne

La stratégie de contournement tire parti du statut d'élévation automatique de Microsoft attribué aux fichiers binaires approuvés, créés et signés numériquement par le géant du logiciel. Cela signifie que les fichiers binaires approuvés n'affichent pas de fenêtre UAC au lancement, malgré le niveau de sécurité. Nelson a ensuite expliqué dans son blog:

En recherchant plus de ces binaires à auto-élévation à l'aide de l'outil «sigcheck» de SysInternals, je suis tombé sur «sdclt.exe» et j'ai vérifié qu'il s'élevait automatiquement en raison de son manifeste.

Lors de l'observation du flux d'exécution de sdclt.exe, il devient évident que ce fichier binaire démarre control.exe afin d'ouvrir un élément du Panneau de configuration dans un contexte de grande intégrité.

Le binaire sdclt.exe est l'utilitaire intégré de sauvegarde et de restauration introduit par Windows 7 par Microsoft. Nelson a expliqué que le fichier sdclt.exe utilise le binaire du panneau de configuration pour charger la page des paramètres de sauvegarde et de restauration lorsqu'un utilisateur ouvre l'utilitaire.

Cependant, sdclt.exe envoie une requête au registre Windows local pour obtenir le chemin d'application du control.exe avant de charger control.exe. Le chercheur reconnaît le fait que cela pose un problème, car les utilisateurs avec un niveau de privilège faible peuvent toujours modifier les clés de registre. Plus précisément, les attaquants peuvent modifier cette clé de registre et la diriger vers des logiciels malveillants. Windows ferait alors confiance à l'application et retirerait les invites du contrôle de compte d'utilisateur, car sdclt.exe était automatiquement élevé.

Il est intéressant de noter que la technique de contournement ne s'applique qu'à Windows 10. Nelson a même testé le piratage sous Windows 10 build 15031. Pour remédier à la faille de sécurité, le chercheur recommande aux utilisateurs de définir le niveau de contrôle de compte d'utilisateur sur «Toujours notifier» ou de supprimer le niveau actuel. utilisateur du groupe Administrateurs locaux.