Ruim 2 weken geleden schreef Xavier Mertens een artikel [1] getiteld "UAC Bypass in JScript Dropper". Dit toont nogmaals aan dat UAC geen goede security boundary is, zeker niet als de UAC slider (schuifregelaar) niet in de hoogste stand staat.

Risico "Admin" account voor dagelijks gebruik
Risico loop je alleen als je een account gebruikt dat lid is van de groep Administrators (en daarmee Administrator privileges hebt, d.w.z. je geen "ordinary user" oftewel "gewone gebruiker" bent). Als je dat wel bent, bepaalt die slider onder welke omstandigheden je de bijbehorende privileges ook daadwerkelijk krijgt.

Administrators lidmaatschap en stand van UAC slider bepalen
Of je lid bent van de Administrators groep kun je, voor zover ik weet op alle recente Windows versies (in elk geval vanaf 7) en talen, zien door op de start knop te drukken en dan in te tikken: UserAccountControlSettings (dat is niet hoofdlettergevoelig) en de Enter-toets in te drukken:

A) Als om een Administrator wachtwoord wordt gevraagd, ben je waarschijnlijk geen lid van de groep Administrators en is jouw account safe voor deze aanval en kun je op "Afbreken" of "Cancel" drukken. Anders ben je waarschijnlijk wel lid van de groep Administrators;

B) Als je scherm wordt gedimd en er een popup-venster op de voorgrond verschijnt, staat de UAC-slider waarschijnlijk al op de bovenste stand (4 van 4). Kies "Yes" of "Ja" om dit te bevestigen. Met deze stand heb je enige bescherming tegen de bedoelde aanval (zie verderop);

C) Het UAC-instellingenscherm verschijnt meteen: de slider staat op stand 3 of lager. Je bent niet beschermd. Overigens is stand 3 de default (standaard) Windows instelling sinds Windows 7.

De aanval
De aanval werkt als volgt:

1) Kwaadaardige code die jij (per ongeluk) opstart, voegt gegevens toe onder jouw deel van het Windows register (een database op elke PC met nagenoeg alle Windows-, Programma- en gebruiker-instellingen). Onder de bestaande key:
worden een aantal subkeys toegevoegd, of indien deze al bestaan (dat zal zelden het geval zijn), overschreven:
Vervolgens wordt aan de waarde "Default" (deze bestaat altijd en is van het type karakterreeks) een pad met commando toegevoegd dat met volledige Administrator rechten zal worden uitgevoerd (zonder dat je dit merkt);

2) Vervolgens zal de kwaadaardige code het volgende legitieme programma opstarten:
Alleen als je lid bent van de groep Administrators zal dat programma (Event Viewer) alle bijbehorende privileges opvragen (zo niet, dan heb je alleen leesrechten in dat programma). Als lid van Administrators zal dit, uitsluitend met de UAC slider in de hoogste stand, tot een UAC popup leiden (omdat Event Viewer in een vertrouwd Windows programma is gebeurt dit niet bij stand 3 en lager).

3) EventVwr.exe is feitelijk een "wrapper" (zeg maar "enveloppe") om:
en dat is dan ook het "programma" dat EventVwr.exe zal trachten te starten. Dat gebeurt tijdens de aanval echter niet, omdat het type "mscfile" (behorend bij de bestandsextensie ".msc" waarvoor elders in het register een koppeling bestaat) is "omgebogen" (zie punt 1) naar -tevens door de malware- op de schijf geplaatste executable code.

Reproduceren van de aanval
Deze aanval kon ik reproduceren door de "value name" genaamd "Default" (zie punt 1) de volgende waarde te geven:

Als je nu opstart:

A) Als je geen lid bent van de groep Administrators zal er niets zichtbaars gebeuren, en de map "C:\Program Files\Dit zou niet moeten kunnen\" zal niet worden aangemaakt.

Als je wel lid bent van de groep Administrators:

B) Als er een UAC popup verschijnt, staat de UAC slider op jouw PC kennelijk op de bovenste stand. De vraag in de popup is echter of je het, normaal gesproken vertrouwde (en door Microsoft uitgegeven) programma "Event Viewer Snap in Launcher" (NL: "Startprogramma voor de module logboeken") wilt starten. Let er in deze situatie (UAC slider op 3) dus op dat je niet zomaar zo'n popup te zien krijgt! Als je nu Yes/Ja kiest, zal de map "C:\Program Files\Dit zou niet moeten kunnen\" worden aangemaakt.

C) Als er geen UAC popup verschijnt zal de UAC slider vermoedelijk op stand 3 of lager staan. In dat geval zal de kwaadaardige code, zonder dat je dit merkt, worden uitgevoerd. In het voorbeeld zal de map "C:\Program Files\Dit zou niet moeten kunnen\" worden aangemaakt.

Nb. om de map "C:\Program Files\Dit zou niet moeten kunnen\" weer te verwijderen, heb je natuurlijk volledige Admin privileges nodig.

Conclusie
Kortom: werken onder een normaal gebruikersaccount is het veiligst (en leidt tot de minste UAC popups, nl. als deze echt noodzakelijk zijn). Wil je persé als admin werken, zet de UAC slider dan in elk geval op 4.

Meer info: zie [2] en [3].

[1] https://isc.sans.edu/forums/diary/UAC+Bypass+in+JScript+Dropper/21813/
[2] https://github.com/enigma0x3/Misc-PowerShell-Stuff/blob/master/Invoke-EventVwrBypass.ps1
[3] https://enigma0x3.net/2016/08/15/fileless-uac-bypass-using-eventvwr-exe-and-registry-hijacking/

Aanvulling 28-01-2017, 11:45: in augustus 2016 verwees de redeactie eerder al naar [3], zie [4].
[4] https://www.security.nl/posting/481560/Onderzoekers+omzeilen+Windows+UAC+via+Event+Viewer