UACME

UACMe

• هزيمة التحكم في حساب مستخدم Windows عن طريق إساءة استخدام الباب الخلفي Windows AutoElevate المدمج.

متطلبات النظام

• x86-32/x64 Windows 7/8/8.1/10/11 (العميل، بعض الطرق تعمل على إصدار الخادم أيضًا).
• مطلوب حساب مسؤول مع UAC تم ضبطه على الإعدادات الافتراضية.

الاستخدام

تشغيل الملف القابل للتنفيذ من سطر الأوامر: akagi32 [Key] [Param] أو akagi64 [Key] [Param]. راجع "أمثلة التشغيل" أدناه لمزيد من المعلومات.

المعلمة الأولى هي عدد الطريقة المستخدمة، والثانية هي الأمر الاختياري (اسم الملف القابل للتنفيذ بما في ذلك المسار الكامل) للتشغيل. يمكن أن تكون المعلمة الثانية فارغة - في هذه الحالة سيقوم البرنامج بتنفيذ cmd.exe مرتفع من مجلد system32.

ملاحظة : منذ الإصدار 3.5.0، أصبحت جميع الطرق "الثابتة" قديمة وتمت إزالتها تمامًا مع جميع الأكواد/الوحدات الداعمة. إذا كنت لا تزال في حاجة إليها - استخدم فرع v3.2.x

المفاتيح (انقر للتوسيع/الطي)

1. المؤلف: ليو ديفيدسون
   • النوع: اختطاف Dll
   • الطريقة: عملية الملف
   • الهدف (الأهداف): system32sysprepsysprep.exe
   • المكون (المكونات): cryptbase.dll
   • التنفيذ: ucmStandardAutoElevation
   • يعمل من: ويندوز 7 (7600)
   • ثابت في: Windows 8.1 (9600)
     • كيف: قام sysprep.exe بتعزيز عناصر بيان LoadFrom
   • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
2. المؤلف: مشتق ليو ديفيدسون
   • النوع: اختطاف Dll
   • الطريقة: عملية الملف
   • الهدف (الأهداف): system32sysprepsysprep.exe
   • المكون (المكونات): ShCore.dll
   • التنفيذ: ucmStandardAutoElevation
   • يعمل من: Windows 8.1 (9600)
   • ثابت في: Windows 10 TP (> 9600)
     • الكيفية: التأثير الجانبي لانتقال ShCore.dll إلى KnownDlls
   • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
3. المؤلف: ليو ديفيدسون مشتق من WinNT/Pitou
   • النوع: اختطاف Dll
   • الطريقة: عملية الملف
   • الهدف (الأهداف): system32oobesetupsqm.exe
   • المكون (المكونات): WdsCore.dll
   • التنفيذ: ucmStandardAutoElevation
   • يعمل من: ويندوز 7 (7600)
   • ثابت في: Windows 10 TH2 (10558)
     • كيف: الآثار الجانبية لإعادة تصميم OOBE
   • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
4. المؤلف: جون إريكسون، WinNT/Gootkit، mzH
   • النوع: AppCompat
   • الطريقة: إعادة توجيه EXE Shim
   • الهدف (الأهداف): system32cliconfg.exe
   • عناصر): -
   • التنفيذ: ucmShimRedirectEXE
   • يعمل من: ويندوز 7 (7600)
   • ثابت في: Windows 10 TP (> 9600)
     • الكيفية: تمت إزالة الرفع التلقائي لـ Sdbinst.exe، KB3045645/KB3048097 لبقية إصدارات Windows
   • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
5. المؤلف: WinNT/سيمدا
   • النوع: واجهة COM مرتفعة
   • الطريقة: محرر الأمان
   • الهدف (الأهداف): مفاتيح التسجيل HKLM
   • عناصر): -
   • التنفيذ: ucmSimdaTurnOffUac
   • يعمل من: ويندوز 7 (7600)
   • ثابت في: Windows 10 TH1 (10147)
     • كيف: تم تغيير طريقة واجهة ISecurityEditor
   • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
6. المؤلف: Win32/Carberp
   • النوع: اختطاف Dll
   • الطريقة: ووسا
   • الهدف (الأهداف): ehomemcx2prov.exe، system32migwizmigwiz.exe
   • المكونات: WdsCore.dll، CryptBase.dll، CryptSP.dll
   • التنفيذ: ucmWusaMethod
   • يعمل من: ويندوز 7 (7600)
   • ثابت في: Windows 10 TH1 (10147)
     • كيف: تمت إزالة خيار WUSA /extract
   • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
7. المؤلف: مشتق Win32/Carberp
   • النوع: اختطاف Dll
   • الطريقة: ووسا
   • الهدف (الأهداف): system32cliconfg.exe
   • المكون (المكونات): ntwdblib.dll
   • التنفيذ: ucmWusaMethod
   • يعمل من: ويندوز 7 (7600)
   • ثابت في: Windows 10 TH1 (10147)
     • كيف: تمت إزالة خيار WUSA /extract
   • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
8. المؤلف: ليو ديفيدسون مشتق من Win32/Tilon
   • النوع: اختطاف Dll
   • الطريقة: عملية الملف
   • الهدف (الأهداف): system32sysprepsysprep.exe
   • المكون (المكونات): Actionqueue.dll
   • التنفيذ: ucmStandardAutoElevation
   • يعمل من: ويندوز 7 (7600)
   • ثابت في: Windows 8.1 (9600)
     • كيف: قام sysprep.exe بتقوية بيان LoadFrom
   • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
9. المؤلف: ليو ديفيدسون، WinNT/Simda، مشتق Win32/Carberp
   • النوع: اختطاف Dll
   • الطريقة: IFileOperation، ISecurityEditor، WUSA
   • الهدف (الأهداف): مفاتيح تسجيل IFEO، system32cliconfg.exe
   • المكون (المكونات): قام المهاجم بتعريف ملف Dll الخاص بأداة التحقق من التطبيق
   • التنفيذ: ucmAvrfMethod
   • يعمل من: ويندوز 7 (7600)
   • ثابت في: Windows 10 TH1 (10147)
     • الكيفية: تمت إزالة خيار WUSA /extract، وتم تغيير طريقة واجهة ISecurityEditor
   • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
10. المؤلف: WinNT/Pitou، مشتق Win32/Carberp
    • النوع: اختطاف Dll
    • الطريقة: IFileOperation، WUSA
    • الهدف (الأهداف): system32{جديد} أو {موجود}{autoelevated}.exe، على سبيل المثال Winsat.exe
    • المكون (المكونات): قام المهاجم بتعريف ملف dll، على سبيل المثال PowProf.dll، DevObj.dll
    • التنفيذ: ucmWinSATMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: Windows 10 TH2 (10548)
      • الكيفية: AppInfo يعزز التحكم في مسار التطبيق بشكل مرتفع
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
11. المؤلف: جون إريكسون، WinNT/Gootkit، mzH
    • النوع: AppCompat
    • الطريقة: تصحيح ذاكرة الرقائق
    • الهدف (الأهداف): system32iscsicli.exe
    • المكون (المكونات): كود القشرة الذي أعده المهاجم
    • التنفيذ: ucmShimPatch
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: Windows 8.1 (9600)
      • الكيفية: تمت إزالة الرفع التلقائي لـ Sdbinst.exe، KB3045645/KB3048097 لبقية إصدارات Windows
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
12. المؤلف: مشتق ليو ديفيدسون
    • النوع: اختطاف Dll
    • الطريقة: عملية الملف
    • الهدف (الأهداف): system32sysprepsysprep.exe
    • المكون (المكونات): dbgcore.dll
    • التنفيذ: ucmStandardAutoElevation
    • يعمل من: Windows 10 TH1 (10240)
    • ثابت في: Windows 10 TH2 (10565)
      • كيف: تم تحديث بيان sysprep.exe
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
13. المؤلف: مشتق ليو ديفيدسون
    • النوع: اختطاف Dll
    • الطريقة: عملية الملف
    • الهدف (الأهداف): system32mmc.exe EventVwr.msc
    • المكون (المكونات): elsext.dll
    • التنفيذ: ucmMMCMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: Windows 10 RS1 (14316)
      • كيف: تمت إزالة التبعية المفقودة
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
14. المؤلف: ليو ديفيدسون، مشتق من WinNT/Sirefef
    • النوع: اختطاف Dll
    • الطريقة: عملية الملف
    • الهدف (الأهداف): systemcredwiz.exe، system32wbemoobe.exe
    • المكون (المكونات): netutils.dll
    • التنفيذ: ucmSirefefMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: Windows 10 TH2 (10548)
      • الكيفية: AppInfo يعزز التحكم في مسار التطبيق بشكل مرتفع
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
15. المؤلف: ليو ديفيدسون، Win32/Addrop، مشتق Metasploit
    • النوع: اختطاف Dll
    • الطريقة: عملية الملف
    • الهدف (الأهداف): system32cliconfg.exe
    • المكون (المكونات): ntwdblib.dll
    • التنفيذ: ucmGenericAutoelevation
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: Windows 10 RS1 (14316)
      • كيف: تمت إزالة الرفع التلقائي لـ Cliconfg.exe
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
16. المؤلف: مشتق ليو ديفيدسون
    • النوع: اختطاف Dll
    • الطريقة: عملية الملف
    • الهدف (الأهداف): system32GWXGWXUXWorker.exe، system32inetsrvinetmgr.exe
    • المكون (المكونات): SLC.dll
    • التنفيذ: ucmGWX
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: Windows 10 RS1 (14316)
      • الكيفية: التحكم في مسار التطبيق المرتفع من خلال AppInfo وتقوية inetmgr القابلة للتنفيذ
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
17. المؤلف: مشتق ليو ديفيدسون
    • النوع: Dll Hijack (إعادة توجيه الاستيراد)
    • الطريقة: عملية الملف
    • الهدف (الأهداف): system32sysprepsysprep.exe
    • المكون (المكونات): unbcl.dll
    • التنفيذ: ucmStandardAutoElevation2
    • يعمل من: Windows 8.1 (9600)
    • ثابت في: Windows 10 RS1 (14371)
      • كيف: تم تحديث بيان sysprep.exe
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
18. المؤلف: مشتق ليو ديفيدسون
    • النوع: اختطاف Dll (البيان)
    • الطريقة: عملية الملف
    • الهدف (الأهداف): system32taskhost.exe، system32tzsync.exe (أي ملف ms exe بدون بيان)
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmAutoElevateManifest
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: Windows 10 RS1 (14371)
      • كيف: تمت مراجعة منطق التحليل الواضح
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
19. المؤلف: مشتق ليو ديفيدسون
    • النوع: اختطاف Dll
    • الطريقة: عملية الملف
    • الهدف (الأهداف): system32inetsrvinetmgr.exe
    • المكون (المكونات): MsCoree.dll
    • التنفيذ: ucmInetMgrMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: Windows 10 RS1 (14376)
      • الكيفية: inetmgr.exe تقوية البيان القابل للتنفيذ، MitigationPolicy->ProcessImageLoadPolicy->PreferSystem32Images
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
20. المؤلف: مشتق ليو ديفيدسون
    • النوع: اختطاف Dll
    • الطريقة: عملية الملف
    • الهدف (الأهداف): system32mmc.exe، Rsop.msc
    • المكون (المكونات): WbemComn.dll
    • التنفيذ: ucmMMCMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: Windows 10 RS3 (16232)
      • الكيفية: يتطلب الهدف أن يتم توقيع wbemcomn.dll بواسطة MS
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
21. المؤلف: مشتق ليو ديفيدسون
    • النوع: اختطاف Dll
    • الطريقة: IFileOperation، SxS DotLocal
    • الهدف (الأهداف): system32sysprepsysprep.exe
    • المكون (المكونات): comctl32.dll
    • التنفيذ: ucmSXSMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: Windows 10 RS3 (16232)
      • الكيفية: سياسة التخفيف->ProcessImageLoadPolicy->PreferSystem32Images
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
22. المؤلف: مشتق ليو ديفيدسون
    • النوع: اختطاف Dll
    • الطريقة: IFileOperation، SxS DotLocal
    • الهدف (الأهداف): system32consent.exe
    • المكون (المكونات): comctl32.dll
    • التنفيذ: ucmSXSMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 2.5.0
23. المؤلف: مشتق ليو ديفيدسون
    • النوع: اختطاف Dll
    • الطريقة: عملية الملف
    • الهدف (الأهداف): system32pkgmgr.exe
    • المكون (المكونات): DismCore.dll
    • التنفيذ: ucmDismMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 2.5.1
24. المؤلف: BreakingMalware
    • النوع: واجهة برمجة تطبيقات شل
    • الطريقة: توسيع متغيرات البيئة
    • الهدف (الأهداف): system32CompMgmtLauncher.exe
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmCometMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: Windows 10 RS2 (15031)
      • كيف: تمت إزالة الرفع التلقائي لـ CompMgmtLauncher.exe
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
25. المؤلف: Enigma0x3
    • النوع: واجهة برمجة تطبيقات شل
    • الطريقة: معالجة مفتاح التسجيل
    • الهدف (الأهداف): system32EventVwr.exe، system32CompMgmtLauncher.exe
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmHijackShellCommandMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: Windows 10 RS2 (15031)
      • الكيفية: تمت إعادة تصميم EventVwr.exe، وإزالة الرفع التلقائي لـ CompMgmtLauncher.exe
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
26. المؤلف: Enigma0x3
    • النوع: حالة السباق
    • الطريقة: الكتابة فوق الملف
    • الهدف (الأهداف): %temp%GUIDdismhost.exe
    • المكون (المكونات): LogProvider.dll
    • التنفيذ: ucmDiskCleanupRaceCondition
    • يعمل من: Windows 10 TH1 (10240)
    • متوافق مع AlwaysNotify
    • ثابت في: Windows 10 RS2 (15031)
      • كيف: تم تغيير أذونات أمان الملف
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
27. المؤلف: إكسبلايف
    • النوع: واجهة COM مرتفعة
    • الطريقة: IARPUninstallStringLauncher
    • الهدف (الأهداف): تم تحديد المهاجم
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmUninstallLauncherMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: Windows 10 RS3 (16199)
      • كيف: تمت إزالة واجهة UninstallStringLauncher من COMAutoApprovalList
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
28. المؤلف: استغلال/ دودة الرمل
    • النوع: مكون مدرج في القائمة البيضاء
    • الطريقة: تثبيت InfDefaultInstall
    • الهدف (الأهداف): تم تحديد المهاجم
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmSandwormMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: Windows 8.1 (9600)
      • الكيفية: تمت إزالة InfDefaultInstall.exe من g_lpAutoApproveEXEList (MS14-060)
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
29. المؤلف: Enigma0x3
    • النوع: واجهة برمجة تطبيقات شل
    • الطريقة: معالجة مفتاح التسجيل
    • الهدف (الأهداف): system32sdclt.exe
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmAppPathMethod
    • يعمل من: Windows 10 TH1 (10240)
    • ثابت في: Windows 10 RS3 (16215)
      • الكيفية: تحديث Shell API
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
30. المؤلف: مشتق ليو ديفيدسون، lhc645
    • النوع: اختطاف Dll
    • الطريقة: مسجل WOW64
    • الهدف (الأهداف): syswow64{أي ملف exe مرتفع، على سبيل المثال wusa.exe}
    • المكون (المكونات): wow64log.dll
    • التنفيذ: ucmWow64LoggerMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 2.7.0
31. المؤلف: Enigma0x3
    • النوع: واجهة برمجة تطبيقات شل
    • الطريقة: معالجة مفتاح التسجيل
    • الهدف (الأهداف): system32sdclt.exe
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmSdcltIsolatedCommandMethod
    • يعمل من: Windows 10 TH1 (10240)
    • ثابت في: Windows 10 RS4 (17025)
      • الكيفية: تحديث مكونات Shell API/Windows
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
32. المؤلف: شي تاو
    • النوع: اختطاف Dll
    • الطريقة: تجاوز UIPI باستخدام تطبيق uiAccess
    • الهدف (الأهداف): Program FilesWindows Media Playerosk.exe، system32EventVwr.exe، system32mmc.exe
    • المكونات: duser.dll، osksupport.dll
    • التنفيذ: ucmUiAccessMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 2.7.1
33. المؤلف: winscripting.blog
    • النوع: واجهة برمجة تطبيقات شل
    • الطريقة: معالجة مفتاح التسجيل
    • الهدف (الأهداف): system32fodhelper.exe
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmShellRegModMethod
    • يعمل من: Windows 10 TH1 (10240)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 2.7.2
34. المؤلف: جيمس فورشو
    • النوع: واجهة برمجة تطبيقات شل
    • الطريقة: توسيع متغيرات البيئة
    • الهدف (الأهداف): system32svchost.exe عبر system32schtasks.exe
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmDiskCleanupEnvironmentVariable
    • يعمل من: Windows 8.1 (9600)
    • متوافق مع AlwaysNotify
    • تم إصلاحه في: Windows 10 (تصحيح النينجا الصامت، نشرة الأمان المفترضة لشهر مايو 2023)
      • الكيفية: تحديث مكونات Shell API/Windows
    • حالة الكود: تمت إضافته في الإصدار 2.7.2
35. المؤلف: وكالة المخابرات المركزية وجيمس فورشو
    • النوع: انتحال شخصية
    • الطريقة: التلاعب بالرموز
    • الهدف (الأهداف): التطبيقات المرتفعة تلقائيًا
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmTokenModification
    • يعمل من: ويندوز 7 (7600)
    • متوافق مع AlwaysNotify، راجع الملاحظة
    • ثابت في: Windows 10 RS5 (17686)
      • كيف: تمت إضافة فحص رمز الوصول الإضافي ntoskrnl.exe->SeTokenCanImpersonate
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
36. المؤلف: توماس فانهاوت المعروف أيضًا باسم SandboxEscaper
    • النوع: حالة السباق
    • الطريقة: نقطة إعادة التوزيع لـ NTFS واختطاف Dll
    • الهدف (الأهداف): wusa.exe، pkgmgr.exe
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmJunctionMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 2.7.4
37. المؤلف: إرنستو فرنانديز، توماس فانهوت
    • النوع: اختطاف Dll
    • الطريقة: نقطة إعادة التوزيع SxS DotLocal، NTFS
    • الهدف (الأهداف): system32dccw.exe
    • المكون (المكونات): GdiPlus.dll
    • التنفيذ: ucmSXSDccwMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 2.7.5
38. المؤلف: كليمنت روولت
    • النوع: مكون مدرج في القائمة البيضاء
    • الأسلوب: انتحال سطر الأوامر APPINFO
    • الهدف (الأهداف): system32mmc.exe
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmHakrilMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 2.7.6
39. المؤلف: ستيفان كانثاك
    • النوع: اختطاف Dll
    • الطريقة: منشئ ملفات تعريف كود .NET
    • الهدف (الأهداف): system32mmc.exe
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmCorProfilerMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 2.7.7
40. المؤلف: روبن بونين
    • النوع: اختطاف معالج COM
    • الطريقة: معالجة مفتاح التسجيل
    • الهدف (الأهداف): system32mmc.exe، system32recdisc.exe
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmCOMHandlersMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: Windows 10 19H1 (18362)
      • كيف: الآثار الجانبية لتغييرات Windows
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
41. المؤلف: أودفار مو
    • النوع: واجهة COM مرتفعة
    • الطريقة: ICMLuaUtil
    • الهدف (الأهداف): تم تحديد المهاجم
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmCMLaUtilShellExecMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 2.7.9
42. المؤلف: BreakingMalware وEnigma0x3
    • النوع: واجهة COM مرتفعة
    • الطريقة: IFwCplLua
    • الهدف (الأهداف): تم تحديد المهاجم
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmFwCplLuaMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: Windows 10 RS4 (17134)
      • الكيفية: تحديث Shell API
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
43. المؤلف: مشتق Oddvar Moe
    • النوع: واجهة COM مرتفعة
    • الطريقة: IColorDataProxy، ICMLuaUtil
    • الهدف (الأهداف): تم تحديد المهاجم
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmDccwCOMMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 2.8.3
44. المؤلف: bytecode77
    • النوع: واجهة برمجة تطبيقات شل
    • الطريقة: توسيع متغيرات البيئة
    • الهدف (الأهداف): عمليات متعددة يتم رفعها تلقائيًا
    • المكونات: مختلفة لكل هدف
    • التنفيذ: ucmVolatileEnvMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: Windows 10 RS3 (16299)
      • الكيفية: تم تجاهل متغيرات دليل نظام المستخدم الحالية أثناء إنشاء العملية
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
45. المؤلف: bytecode77
    • النوع: واجهة برمجة تطبيقات شل
    • الطريقة: معالجة مفتاح التسجيل
    • الهدف (الأهداف): system32slui.exe
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmSluiHijackMethod
    • يعمل من: Windows 8.1 (9600)
    • ثابت في: Windows 10 20H1 (19041)
      • كيف: الآثار الجانبية لتغييرات Windows
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
46. المؤلف: مجهول
    • النوع: حالة السباق
    • الطريقة: معالجة مفتاح التسجيل
    • الهدف (الأهداف): system32BitlockerWizardElev.exe
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmBitlockerRCMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: Windows 10 RS4 (>16299)
      • الكيفية: تحديث Shell API
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
47. المؤلف: clavoillotte & 3gstudent
    • النوع: اختطاف معالج COM
    • الطريقة: معالجة مفتاح التسجيل
    • الهدف (الأهداف): system32mmc.exe
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmCOMHandlersMethod2
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: Windows 10 19H1 (18362)
      • كيف: الآثار الجانبية لتغييرات Windows
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
48. المؤلف: ديروكو
    • النوع: واجهة COM مرتفعة
    • الطريقة: ISPPLUAObject
    • الهدف (الأهداف): تم تحديد المهاجم
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmSPPLUAObjectMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: Windows 10 RS5 (17763)
      • كيف: تم تغيير طريقة واجهة ISPPLUAObject
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
49. المؤلف: RinN
    • النوع: واجهة COM مرتفعة
    • الطريقة: ICreateNewLink
    • الهدف (الأهداف): system32TpmInit.exe
    • المكون (المكونات): WbemComn.dll
    • التنفيذ: ucmCreateNewLinkMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: Windows 10 RS1 (14393)
      • كيف: التأثير الجانبي لمقدمة Consent.exe COMAutoApprovalList
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
50. المؤلف: مجهول
    • النوع: واجهة COM مرتفعة
    • الطريقة: IDateTimeStateWrite، ISPPLUAObject
    • الهدف (الأهداف): خدمة w32time
    • المكون (المكونات): w32time.dll
    • التنفيذ: ucmDateTimeStateWriterMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: Windows 10 RS5 (17763)
      • كيف: التأثير الجانبي لتغيير واجهة ISPPLUAObject
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
51. المؤلف: مشتق bytecode77
    • النوع: واجهة COM مرتفعة
    • الطريقة: IAccessibilityCplAdmin
    • الهدف (الأهداف): system32rstrui.exe
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmAcCplAdminMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: Windows 10 RS4 (17134)
      • الكيفية: تحديث Shell API
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
52. المؤلف: ديفيد ويلز
    • النوع: مكون مدرج في القائمة البيضاء
    • الطريقة: تحليل إساءة استخدام AipNormalizePath
    • الهدف (الأهداف): تم تحديد المهاجم
    • المكون (المكونات): المهاجم المحدد
    • التنفيذ: ucmDirectoryMockMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 3.0.4
53. المؤلف: إيمريك ناسي
    • النوع: واجهة برمجة تطبيقات شل
    • الطريقة: معالجة مفتاح التسجيل
    • الهدف (الأهداف): system32sdclt.exe
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmShellRegModMethod
    • يعمل من: Windows 10 (14393)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 3.1.3
54. المؤلف: egre55
    • النوع: اختطاف Dll
    • الطريقة: إساءة استخدام البحث في مسار Dll
    • الهدف (الأهداف): syswow64SystemPropertiesAdvanced.exe وSystemProperties*.exe الأخرى
    • المكون (المكونات): AppDataLocalMicrosoftWindowsAppssrrstr.dll
    • التنفيذ: طريقة ucmEgre55
    • يعمل من: Windows 10 (14393)
    • ثابت في: Windows 10 19H1 (18362)
      • الكيفية: تم تحديث SysDm.cpl!_CreateSystemRestorePage لاستدعاء مكتبة التحميل الآمن
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
55. المؤلف: جيمس فورشو
    • النوع: هاك واجهة المستخدم الرسومية
    • الطريقة: تجاوز UIPI مع تعديل الرمز المميز
    • الهدف (الأهداف): system32osk.exe، system32msconfig.exe
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmTokenModUIAccessMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 3.1.5
56. المؤلف: هاشم جواد
    • النوع: واجهة برمجة تطبيقات شل
    • الطريقة: معالجة مفتاح التسجيل
    • الهدف (الأهداف): system32WSReset.exe
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmShellRegModMethod2
    • يعمل من: Windows 10 (17134)
    • ثابت في: ويندوز 11 (22000)
      • كيف: إعادة تصميم مكونات Windows
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.7؟
57. المؤلف: ليو ديفيدسون مشتق من Win32/Gapz
    • النوع: اختطاف Dll
    • الطريقة: عملية الملف
    • الهدف (الأهداف): system32sysprepsysprep.exe
    • المكون (المكونات): unattend.dll
    • التنفيذ: ucmStandardAutoElevation
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: Windows 8.1 (9600)
      • كيف: قام sysprep.exe بتعزيز عناصر بيان LoadFrom
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
58. المؤلف: RinN
    • النوع: واجهة COM مرتفعة
    • الطريقة: IEditionUpgradeManager
    • الهدف (الأهداف): system32clipup.exe
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmEditionUpgradeManagerMethod
    • يعمل من: Windows 10 (14393)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 3.2.0
59. المؤلف: جيمس فورشو
    • النوع: معلومات التطبيق ALPC
    • الطريقة: RAiLaunchAdminProcess وDebugObject
    • الهدف (الأهداف): تم تحديد المهاجم
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmDebugObjectMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 3.2.3
60. المؤلف: مشتق Enigma0x3 بواسطة WinNT/Glupteba
    • النوع: واجهة برمجة تطبيقات شل
    • الطريقة: معالجة مفتاح التسجيل
    • الهدف (الأهداف): system32CompMgmtLauncher.exe
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmGluptebaMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: Windows 10 RS2 (15063)
      • كيف: تمت إزالة الرفع التلقائي لـ CompMgmtLauncher.exe
    • حالة الكود: تمت إزالته بدءًا من الإصدار 3.5.0؟
61. المؤلف: مشتق Enigma0x3/bytecode77 لنسيم سرير
    • النوع: واجهة برمجة تطبيقات شل
    • الطريقة: معالجة مفتاح التسجيل
    • الهدف (الأهداف): system32slui.exe، system32changepk.exe
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmShellRegModMethod
    • يعمل من: Windows 10 (14393)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 3.2.5
62. المؤلف: winscripting.blog
    • النوع: واجهة برمجة تطبيقات شل
    • الطريقة: معالجة مفتاح التسجيل
    • الهدف (الأهداف): system32computerdefaults.exe
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmShellRegModMethod
    • يعمل من: Windows 10 RS4 (17134)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 3.2.6
63. المؤلف: أروش أجرامبور
    • النوع: اختطاف Dll
    • الطريقة: محرر الأمان
    • الهدف (الأهداف): عناصر ذاكرة التخزين المؤقت للصورة الأصلية
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmNICPoisonMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 3.2.7
64. المؤلف: أروش أجرامبور
    • النوع: واجهة COM مرتفعة
    • الطريقة: IIEAxiAdminInstaller، IIEAxiInstaller2، IFileOperation
    • الهدف (الأهداف): ذاكرة التخزين المؤقت لتثبيت الوظيفة الإضافية لـ IE
    • المكون (المكونات): المهاجم المحدد
    • التنفيذ: ucmIeAddOnInstallMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 3.5.1
65. المؤلف: أروش أجرامبور
    • النوع: واجهة COM مرتفعة
    • الطريقة: IWscAdmin
    • الهدف (الأهداف): اختطاف بروتوكول Shell
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmWscActionProtocolMethod
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: Windows 11 24H2 (26100)
      • كيف: الآثار الجانبية لتغييرات Windows
    • حالة الكود: تمت إضافته في الإصدار 3.5.2
66. المؤلف: أروش أجرامبور
    • النوع: واجهة COM مرتفعة
    • الأسلوب: IFwCplLua، اختطاف بروتوكول Shell
    • الهدف (الأهداف): إدخال تسجيل بروتوكول Shell ومتغيرات البيئة
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmFwCplLuaMethod2
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: Windows 11 24H2 (26100)
      • كيف: الآثار الجانبية لتغييرات Windows
    • حالة الكود: تمت إضافته في الإصدار 3.5.3
67. المؤلف: أروش أجرامبور
    • النوع: واجهة برمجة تطبيقات شل
    • الطريقة: اختطاف بروتوكول Shell
    • الهدف (الأهداف): system32fodhelper.exe
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmMsSettingsProtocolMethod
    • يعمل من: Windows 10 TH1 (10240)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 3.5.4
68. المؤلف: أروش أجرامبور
    • النوع: واجهة برمجة تطبيقات شل
    • الطريقة: اختطاف بروتوكول Shell
    • الهدف (الأهداف): system32wsreset.exe
    • المكون (المكونات): المهاجم المحدد
    • التنفيذ: ucmMsStoreProtocolMethod
    • يعمل من: Windows 10 RS5 (17763)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 3.5.5
69. المؤلف: أروش أجرامبور
    • النوع: واجهة برمجة تطبيقات شل
    • الطريقة: توسيع متغيرات البيئة، Dll Hijack
    • الهدف (الأهداف): system32taskhostw.exe
    • المكون (المكونات): pcadm.dll
    • التنفيذ: ucmPcaMethod
    • يعمل من: ويندوز 7 (7600)
    • متوافق مع AlwaysNotify
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 3.5.6
70. المؤلف: V3ded
    • النوع: واجهة برمجة تطبيقات شل
    • الطريقة: معالجة مفتاح التسجيل
    • الهدف (الأهداف): system32fodhelper.exe، system32computerdefaults.exe
    • المكون (المكونات): المهاجم المحدد
    • التنفيذ: ucmShellRegModMethod3
    • يعمل من: ويندوز 10 (10240)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 3.5.7
71. المؤلف: أروش أجرامبور
    • النوع: اختطاف Dll
    • الطريقة: محرر الأمان
    • الهدف (الأهداف): عناصر ذاكرة التخزين المؤقت للصورة الأصلية
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmNICPoisonMethod2
    • يعمل من: Windows 7 RTM (7600)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 3.5.8
72. المؤلف: إيمريك ناسي
    • النوع: اختطاف Dll
    • الطريقة: إساءة استخدام البحث في مسار Dll
    • الهدف (الأهداف): syswow64msdt.exe، system32sdiagnhost.exe
    • المكون (المكونات): BluetoothDiagnosticUtil.dll
    • التنفيذ: ucmMsdtMethod
    • يعمل من: ويندوز 10 (10240)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 3.5.9
73. المؤلف: orange_8361 وأنطونيو كوكو
    • النوع: واجهة برمجة تطبيقات شل
    • الطريقة: إلغاء تسلسل .NET
    • الهدف (الأهداف): system32mmc.exe EventVwr.msc
    • المكون (المكونات): المهاجم المحدد
    • التنفيذ: ucmDotNetSerialMethod
    • يعمل من: Windows 7 RTM (7600)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 3.6.0
74. المؤلف: zcgonvh
    • النوع: واجهة COM مرتفعة
    • الطريقة: IElevatedFactoryServer
    • الهدف (الأهداف): تم تحديد المهاجم
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmVFServerTaskSchedMethod
    • يعمل من: Windows 8.1 (9600)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 3.6.1
75. المؤلف: مشتق zcgonvh بواسطة Wh04m1001
    • النوع: واجهة COM مرتفعة
    • الطريقة: ملف تعريف التشخيص
    • الهدف (الأهداف): تم تحديد المهاجم
    • المكون (المكونات): تم تعريف المهاجم
    • التنفيذ: ucmVFServerDiagProfileMethod
    • يعمل من: Windows 7 RTM (7600)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 3.6.2
76. المؤلف: هاكر هاوس
    • النوع: اختطاف Dll
    • الأسلوب: إساءة استخدام البحث في مسار Dll، والتلاعب بمفتاح التسجيل
    • الهدف (الأهداف): syswow64iscsicpl.exe
    • المكون (المكونات): iscsiexe.dll
    • التنفيذ: ucmIscsiCplMethod
    • يعمل من: Windows 7 RTM (7600)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 3.6.3
77. المؤلف: أروش أجرامبور
    • النوع: اختطاف Dll
    • الطريقة: عملية الملف
    • الهدف (الأهداف): system32mmc.exe
    • المكون (المكونات): atl.dll
    • التنفيذ: ucmAtlHijackMethod
    • يعمل من: Windows 7 RTM (7600)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 3.6.4
78. المؤلف: انطونيو كوكو
    • النوع: انتحال شخصية
    • الطريقة: مخطط بيانات SSPI
    • الهدف (الأهداف): تم تحديد المهاجم
    • المكون (المكونات): المهاجم المحدد
    • التنفيذ: ucmSspiDatagramMethod
    • يعمل من: Windows 7 RTM (7600)
    • متوافق مع AlwaysNotify
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 3.6.5
79. المؤلف: جيمس فورشو وستيفان كانثاك
    • النوع: هاك واجهة المستخدم الرسومية
    • الطريقة: تجاوز UIPI مع تعديل الرمز المميز
    • الهدف (الأهداف): system32osk.exe، system32mmc.exe
    • المكون (المكونات): المهاجم المحدد
    • التنفيذ: ucmTokenModUIAccessMethod2
    • يعمل من: ويندوز 7 (7600)
    • ثابت في: غير مثبت؟
      • كيف: -
    • حالة الكود: تمت إضافته في الإصدار 3.6.6

ملحوظة:

• الطريقة (30) (63) وتم تنفيذها لاحقًا فقط في الإصدار x64؛
• تتطلب الطريقة (30) الإصدار x64 لأنها تسيء استخدام ميزة النظام الفرعي WOW64؛
• الطريقة (55) ليست موثوقة حقًا (مثل أي اختراق لواجهة المستخدم الرسومية) وتم تضمينها للمتعة فقط؛
• تتطلب الطريقة (78) ألا تكون كلمة مرور حساب المستخدم الحالية فارغة.

تشغيل الأمثلة:

• akagi32.exe 23
• akagi64.exe 61
• akagi32 23 ج:windowssystem32calc.exe
• akagi64 61 ج:windowssystem32charmap.exe

تحذير

• تعرض هذه الأداة فقط طريقة تجاوز UAC الشائعة التي تستخدمها البرامج الضارة، وتعيد تنفيذ بعضها بطريقة مختلفة لتحسين المفاهيم الأصلية. هناك طرق مختلفة، غير معروفة لعامة الناس بعد. كن على علم بهذا؛
• هذه الأداة غير مخصصة لاختبارات AV ولم يتم اختبارها للعمل في بيئة AV عدوانية، إذا كنت لا تزال تخطط لاستخدامها مع برنامج bloatware AV المثبت - فاستخدمها على مسؤوليتك الخاصة؛
• قد تضع بعض برامج AV علامة على هذه الأداة على أنها HackTool، بينما تقوم MSE/WinDefender بوضع علامة عليها باستمرار على أنها برامج ضارة، كلا؛
• إذا قمت بتشغيل هذا البرنامج على جهاز كمبيوتر حقيقي، فتذكر إزالة جميع بقايا البرنامج بعد الاستخدام، لمزيد من المعلومات حول الملفات التي يسقطها في مجلدات النظام، راجع كود المصدر؛
• تم إنشاء معظم الطرق لـ x64، مع عدم وجود دعم x86-32 في الاعتبار. لا أرى أي معنى في دعم إصدارات 32 بت من Windows أو wow64، ولكن مع التعديلات الصغيرة، سيتم تشغيل معظمها تحت wow64 أيضًا.

إذا كنت تتساءل لماذا لا يزال هذا موجودًا ويعمل - إليك الشرح - Microsoft WHITEFLAG الرسمي (بما في ذلك البيانات غير الكفؤة تمامًا كمكافأة) https://devblogs.microsoft.com/oldnewthing/20160816-00/?p=94105

سياسة دعم واختبار Windows 10

• تم اختبار UACMe فقط مع متغيرات LSTB/LTSC (1607/1809) وإصدارات RTM-1 الأخيرة، على سبيل المثال، إذا كان الإصدار الحالي هو 2004، فسيتم اختباره في 2004 (19041) والإصدار السابق 1909 (18363)؛
• لا يتم دعم الإصدارات الداخلية حيث قد يتم إصلاح الطرق هناك.

حماية

• الحساب بدون امتيازات إدارية.

استخدام البرامج الضارة

• نحن لا نتحمل أي مسؤولية عن استخدام هذه الأداة في الأغراض الضارة. إنه مجاني ومفتوح المصدر ومتاح كما هو للجميع.

استخدام آخر

• يُستخدم حاليًا كـ "توقيع" بواسطة الماسح الضوئي "THOR APT" (برنامج احتيالي مطابق للنمط مصنوع يدويًا من ألمانيا). نحن لا نتحمل أي مسؤولية عن استخدام هذه الأداة في برامج الاحتيال؛
• المستودع https://github.com/hfiref0x/UACME ومحتوياته هي المصدر الحقيقي الوحيد لكود UACMe. ليس لدينا أي علاقة بالروابط الخارجية لهذا المشروع، يذكر في أي مكان وكذلك التعديلات (الشوك)؛
• في يوليو 2016، أصدرت ما يسمى بـ "شركة الأمن" Cymmetria تقريرًا حول حزمة البرمجيات الخبيثة script-kiddie التي تسمى "Patchwork" ووضعت عليها علامة خطأ على أنها APT. وذكروا أنهم كانوا يستخدمون "طريقة UACME"، والتي في الواقع عبارة عن ملف injector dll تم تعديله بشكل طفيف وغير احترافي من UACMe v1.9 وكان يستخدم طريقة Carberp/Pitou الهجين بطريقة البرامج الضارة ذاتية التنفيذ. نحن لا نتحمل أي مسؤولية عن استخدام UACMe في الحملات الإعلانية المشبوهة من "شركات أمنية" تابعة لجهات خارجية.

يبني

• UACMe يأتي مع كود المصدر الكامل، مكتوب بلغة C؛
• من أجل البناء من المصدر، تحتاج إلى Microsoft Visual Studio 2019 والإصدارات الأحدث.

الثنائيات المترجمة

• لم يتم توفيرها منذ 2.8.9 ولن يتم توفيرها أبدًا في المستقبل. الأسباب (ولماذا لا ينبغي عليك أيضًا تقديمها لعامة الناس):
  • إذا نظرت إلى هذا المشروع باختصار، فهو HackTool، على الرغم من أن الهدف الأولي هو أن تكون متظاهرًا. بالطبع، العديد من برامج AV تكتشفه على أنه HackTool (MS WD على سبيل المثال)، ولكن معظم مرضى VirusTotal يكتشفونه على أنه "برنامج ضار" عام. وهذا بالطبع غير صحيح، ولكن لسوء الحظ، يقوم بعض مؤلفي البرامج الضارة الكسالى بنسخ ولصق التعليمات البرمجية بشكل أعمى إلى برامجهم الخبيثة (أو حتى استخدام هذه الأداة مباشرة) وبالتالي قام بعض AV بإنشاء توقيعات بناءً على أجزاء كود المشروع؛
  • من خلال إعطاء الثنائيات المجمعة للجميع، فإنك تجعل حياة أطفال البرامج النصية أسهل بكثير لأن الحاجة إلى التجميع من المصدر تعمل كحاجز مثالي لأطفال البرامج النصية الأغبياء و "النقر على الأزرار" بشكل استثنائي؛
  • سيؤدي تجميع الثنائيات في المستودع في النهاية إلى وضع علامة على صفحات المستودع هذه على أنها ضارة (للأسباب المذكورة أعلاه) بواسطة عوامل تصفية المحتوى المختلفة (SmartScreen، والتصفح الآمن من Google، وما إلى ذلك).
• وهذا القرار نهائي ولن يتغير.

تعليمات

• حدد Platform ToolSet أولاً للمشروع في الحل الذي تريد إنشاءه (المشروع->الخصائص->عام):

  • الإصدار 142 لبرنامج Visual Studio 2019؛
  • الإصدار 143 لبرنامج فيجوال ستوديو 2022.

• بالنسبة للإصدار 140 وما فوق، قم بتعيين إصدار النظام الأساسي المستهدف (المشروع->الخصائص->عام):

  • إذا كان الإصدار 140، فحدد 8.1 (لاحظ أنه يجب تثبيت Windows 8.1 SDK)؛
  • إذا كان الإصدار 141 وما فوق، فاختر 10.

• أدوات تطوير البرامج (SDK) التالية مطلوبة لبناء الثنائيات:

  • Windows 8.1 أو Windows 10 SDK (تم اختباره باستخدام الإصدار 19041)
  • NET Framework SDK (تم اختباره باستخدام الإصدار 4.8)

• لبناء ثنائي العمل:

  • تجميع وحدات الحمولة
  • تجميع وحدة ناكا
  • تشفير كافة وحدات الحمولة باستخدام وحدة Naka
  • قم بإنشاء النقط السرية لهذه الوحدات باستخدام وحدة Naka
  • انقل الوحدات المترجمة والنقط السرية إلى دليل AkagiBin
  • إعادة بناء أكاجي

مراجع

• القائمة البيضاء لـ Windows 7 UAC، http://www.pretentiousname.com/misc/win7_uac_whitelist2.html
• حشوات توافق التطبيقات الضارة، https://www.blackhat.com/docs/eu-15/materials/eu-15-Pierce-Defending-Against-Malicious-Application-Compatibility-Shims-wp.pdf
• Junfeng Zhang من مدونة فريق WinSxS dev، https://blogs.msdn.microsoft.com/junfeng/
• ما وراء مفتاح التشغيل الجيد، سلسلة من المقالات، http://www.hexacorn.com/blog
• موضوع KernelMode.Info UACMe، https://www.kernelmode.info/forum/viewtopicf985.html?f=11&t=3643
• حقن الأوامر/الارتفاع - إعادة النظر في متغيرات البيئة، https://breakingmalware.com/vulnerabilities/command-injection-and-elevation-environment-variables-revisited
• تجاوز UAC "بدون ملفات" باستخدام eventsvwr.exe واختطاف التسجيل، https://enigma0x3.net/2016/08/15/fileless-uac-bypass-using-eventvwr-exe-and-registry-hijacking/
• تجاوز UAC على نظام التشغيل Windows 10 باستخدام تنظيف القرص، https://enigma0x3.net/2016/07/22/bypassing-uac-on-windows-10-using-disk-cleanup/
• باستخدام arpuninstallstringlauncher com interface لتجاوز UAC ، http://www.freebuf.com/articles/system/116611.html
• تجاوز UAC باستخدام مسارات التطبيق ، https://enigma0x3.net/2017/03/14/bypassing-uac-use
• "عزل" UAC تجاوز UAC باستخدام sdclt.exe ، https://enigma0x3
• UAC Bypass أو قصة عن ثلاثة تصعيد ، https://habrahabr.ru/company/pm/blog/328008/
• استغلال متغيرات البيئة في المهام المجدولة لتجاوز UAC ، https://tyranidslair.blogspot.ru/2017/05/exploiting-environment-variables-in.html
• الإدخال الأول: مرحبًا بك و UAC الالتفافية ، https://winscripting.blog/2017/05/12/first-entry-welcome-and-uac-bypass/
• قراءة طريقك حول UAC في 3 أجزاء:
  1. https://tyranidslair.blogspot.ru/2017/05/reading-your-way-around-uac-bart-1.html
  2. https://tyranidslair.blogspot.ru/2017/05/reading-your-way-around-uac-bart-2.html
  3. https://tyranidslair.blogspot.ru/2017/05/reading-your-way-around-uac-bart-3.html
• بحث على cmstp.exe ، https://msitpros.com/؟p=3960
• UAC تجاوز عبر تطبيقات .NET المرتفعة ، https://offsec.provadys.com/uac-bypass-dotnet.html
• UAC Bypass عن طريق الاستهزاء الدلائل الموثوقة ، https://medium.com/tenable-techblog/uac-bypass-by-mocking-directories-24a96675f6e
• بعد SDCLT UAC ، http://blog.sevagas.com/؟yet-another-sdclt-uac-bypass
• UAC Bypass عبر systempropertiesadvanced.exe و dll hijacking ، https://egre55.github.io/system-properties-uac-bypass/
• الوصول إلى رموز الوصول إلى Uiaccess ، https://tyranidslair.blogspot.com/2019/02/accessing-access-tokens-for-uiaccess.html
• UAC الالتفافية في Windows Store Binary ، https://www.activecyber.us/1/post/2019/03/windows-uac-bypass.html
• استدعاء خوادم Windows RPC المحلية من .NET ، https://googleprojectzero.blogspot.com/2019/12/calling-local-windows-rpc-servers-from.html
• Microsoft Windows 10 UAC Bypass Excalation محلي ، استغلال ، https://packetstormsecurity.com/files/155927/microsoft-windows-10-local-privilege-escalation.html
• UACME 3.5 ، WD وطرق التخفيف ، https://swapcontext.blogspot.com/2020/10/uacme-35-wd-and-lays-of-mitigation.html
• UAC تجاوزات من comautoapprovallist ، https://swapcontext.blogspot.com/2020/11/uac-bypasses-from-comautoapprovallist.html
• استخدام المعرفات البرمجية (progids) لتجاوز UAC ، https://v3ded.github.io/redteam
• MSDT DLL HIJACK UAC BYPASS ، https://blog.sevagas.com/؟msdt-dll-hijack-uac-bypass
• UAC الالتفافية من خلال .NET Deserialization Budability in EventVwr.exe ، https://twitter.com/orange_8361/status/1518970259868626944
• Playbook Advanced Windows Task Scheduler Playbook - part.2 من com إلى UAC styppass واحصل على النظام مباشرة ، http://www.zcgonvh.com/post/advanced_windows_task_scheduler_playbook-part.2_from_to_uac_bypass_and_get_system.
• تجاوز UAC مع سياقات بيانات SSPI ، https://splintercod3.blogspot.com/p/bypassing-uac-with-sspi-datagram.html
• تخفيف بعض مآثر Windows'® UAC ، https://skanthak.hier-im-netz.de/uacamole.html

المؤلفون

(ج) 2014 - 2024 مشروع UACME