Onderzoekers omzeilen Windows UAC via Event Viewer
Onderzoekers zijn er opnieuw in geslaagd om een beveiligingsfunctie van Windows 7 en Windows 10 te omzeilen die ongewenste aanpassingen aan systeeminstellingen moet voorkomen. Het gaat om Gebruikersaccountbeheer, ook bekend als User Account Control (UAC).
UAC werd met Windows Vista geïntroduceerd en toont gebruikers een pop-up als er iets in het systeem wordt aangepast. Onderzoekers Matt Graeber en Matt Nelson lieten eind juli al zien hoe ze UAC via Schijfopruiming konden omzeilen. Nu hebben ze een andere methode ontdekt, namelijk het gebruik van Event Viewer. Via Event Viewer is het mogelijk om logbestanden te bekijken van gebeurtenissen die zich binnen het besturingssysteem hebben voorgedaan.
Gebruikten de onderzoekers voor het omzeilen van UAC via Schijfopruiming een kwaadaardig dll-bestand, in het geval van de nu getoonde methode via Event Viewer gebeurt dit zonder aanvullende bestanden. Het lukte de onderzoekers om via Event Viewer een registerproces te kapen, PowerShell te starten en vervolgens met verhoogde rechten commando's op de machine uit te voeren.
De onderzoekers hebben de aanval op Windows 7 en Windows 10 gedemonstreerd, maar stellen dat waarschijnlijk ook andere Windowsversies kwetsbaar zijn. Om de aanval uit te voeren moet een aanvaller wel al toegang tot het systeem hebben. Graeber en Nelson laten niet weten of ze het probleem aan Microsoft hebben gemeld. Dat was wel het geval met de methode die van Schijfopruiming gebruikmaakte. De softwaregigant stelde destijds dat het niet om een beveiligingslek ging en was dan ook niet van plan om het op te lossen.
ja dit heb jij jaren geleden natuurlijk getest in windows 10
En ja, als je toch al toegang met beheerdersrechten hebt, dan is niets meer veilig. ????
This particular technique can be remediated or fixed by setting the UAC level to “Always Notify” or by removing the current user from the Local Administrators group.
[...]
Het schijnt (volgens de onderzoekers) niet te werken als je UAC op het (standaard !!!) hoogste niveau laat staan.
Vanaf Windows 7 is echter niet meer het hoogste niveau "Always notify" de standaardinstelling, maar is jammer genoeg de standaardinstelling het een na hoogste niveau "Notify me only when apps try to make changes to my computer".
En die standaardinstelling "Notify me only when apps try to make changes to my computer" is minder veilig, zo blijkt voor de zoveelste keer.
Het is eerder al gezegd, en het blijkt ook nu weer een goeie raad: stel UAC in op het hoogste niveau, "Always notify".
Het schijnt (volgens de onderzoekers) niet te werken als je UAC op het (standaard !!!) hoogste niveau laat staan.
Vanaf Windows 7 is echter niet meer het hoogste niveau "Always notify" de standaardinstelling, maar is jammer genoeg de standaardinstelling het een na hoogste niveau "Notify me only when apps try to make changes to my computer".
En die standaardinstelling "Notify me only when apps try to make changes to my computer" is minder veilig, zo blijkt voor de zoveelste keer.
Het is eerder al gezegd, en het blijkt ook nu weer een goeie raad: stel UAC in op het hoogste niveau, "Always notify".
Als je daar ook nog eens de gebruikersrecht bij omlaag schroeft heb je een aardige verdediging opgebouwd. Het is voor mij nog steeds een raadsel waarom mensen standaard met admin rechten blijven werken. In 99% van de tijd / situaties volkomen onnodig.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
