Uit [1]: The new UAC bypass method works as follows: 1. Dridex creates a directory in Windows\System32\6886. Daar heb je al volledige admin rechten voor nodig; met de UAC slider op de hoogste stand (4 van 4) leidt de poging om een subdir ergens onder C:\Windows\ aan te maken tot een UAC prompt. Trouwens, ook het starten van recdisc.exe (create recovery disc) leidt, met de UAC slider op de hoogste stand, eerst tot een UAC prompt. Als je als gewone gebruiker recdisk.exe start, word je gevraagd om eerst admin credentials in te voeren. De doelgroep lijken dus admins met de UAC slider stand op de default waarde 3 of lager (zie ook [2]); in andere situaties word je op z'n minst gewaarschuwd als je deze malware start. (Ervan uitgaande dat de write-up van Vitali Kremez in [1] tot zover klopt). De beschreven nieuwe Dridex malware kopieert, naar verluidt, zowel de legitieme recdisc.exe als een kwaadaardige SPP.dll naar C:\Windows\System32\6886\ en start recdisk.exe vanuit die laatste map. Door een slordigheid van ...