UACME Download – Download des UACME Quellcodes

UACMe

Umgehung der Windows-Benutzerkontensteuerung durch Missbrauch der integrierten Windows AutoElevate-Hintertür.

Systemanforderungen

x86-32/x64 Windows 7/8/8.1/10/11 (Client, einige Methoden funktionieren jedoch auch auf der Serverversion).
Administratorkonto mit UAC-Standardeinstellungen erforderlich.

Verwendung

Führen Sie die ausführbare Datei über die Befehlszeile aus: akagi32 [Schlüssel] [Param] oder akagi64 [Schlüssel] [Param]. Weitere Informationen finden Sie weiter unten unter „Beispiele ausführen“.

Der erste Parameter ist die Nummer der zu verwendenden Methode, der zweite ist der optionale Befehl (Name der ausführbaren Datei einschließlich vollständigem Pfad), der ausgeführt werden soll. Der zweite Parameter kann leer sein. In diesem Fall führt das Programm cmd.exe mit erhöhten Rechten aus dem Ordner system32 aus.

Hinweis : Seit Version 3.5.0 gelten alle „festen“ Methoden als veraltet und wurden vollständig mit allen unterstützenden Codes/Einheiten entfernt. Wenn Sie sie noch benötigen, verwenden Sie den Zweig v3.2.x

Schlüssel (zum Erweitern/Reduzieren klicken)

Autor: Leo Davidson
- Typ: DLL-Hijack
- Methode: IFileOperation
- Ziel(e): system32sysprepsysprep.exe
- Komponente(n): cryptbase.dll
- Implementierung: ucmStandardAutoElevation
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 8.1 (9600)
  - Wie: sysprep.exe hat LoadFrom-Manifestelemente gehärtet
- Codestatus: ab v3.5.0 entfernt?
Autor: Leo Davidson-Derivat
- Typ: DLL-Hijack
- Methode: IFileOperation
- Ziel(e): system32sysprepsysprep.exe
- Komponente(n): ShCore.dll
- Implementierung: ucmStandardAutoElevation
- Funktioniert unter: Windows 8.1 (9600)
- Behoben in: Windows 10 TP (> 9600)
  - Wie: Nebeneffekt der Verschiebung von ShCore.dll nach KnownDlls
- Codestatus: ab v3.5.0 entfernt?
Autor: Leo Davidson-Derivat von WinNT/Pitou
- Typ: DLL-Hijack
- Methode: IFileOperation
- Ziel(e): system32oobesetupsqm.exe
- Komponente(n): WdsCore.dll
- Implementierung: ucmStandardAutoElevation
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 10 TH2 (10558)
  - Wie: Nebeneffekt der OOBE-Neugestaltung
- Codestatus: ab v3.5.0 entfernt?
Autor: Jon Ericson, WinNT/Gootkit, mzH
- Typ: AppCompat
- Methode: RedirectEXE Shim
- Ziel(e): system32cliconfg.exe
- Komponente(n): -
- Implementierung: ucmShimRedirectEXE
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 10 TP (> 9600)
  - Wie: Die automatische Erhöhung von Sdbinst.exe wurde entfernt, KB3045645/KB3048097 für die restlichen Windows-Versionen
- Codestatus: ab v3.5.0 entfernt?
Autor: WinNT/Simda
- Typ: Erhöhte COM-Schnittstelle
- Methode: ISecurityEditor
- Ziel(e): HKLM-Registrierungsschlüssel
- Komponente(n): -
- Implementierung: ucmSimdaTurnOffUac
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 10 TH1 (10147)
  - Wie: Die ISecurityEditor-Schnittstellenmethode wurde geändert
- Codestatus: ab v3.5.0 entfernt?
Autor: Win32/Carberp
- Typ: DLL-Hijack
- Methode: WUSA
- Ziele: ehomemcx2prov.exe, system32migwizmigwiz.exe
- Komponente(n): WdsCore.dll, CryptBase.dll, CryptSP.dll
- Implementierung: ucmWusaMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 10 TH1 (10147)
  - Wie: WUSA-Option /extract entfernt
- Codestatus: ab v3.5.0 entfernt?
Autor: Win32/Carberp-Derivat
- Typ: DLL-Hijack
- Methode: WUSA
- Ziel(e): system32cliconfg.exe
- Komponente(n): ntwdblib.dll
- Implementierung: ucmWusaMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 10 TH1 (10147)
  - Wie: WUSA-Option /extract entfernt
- Codestatus: ab v3.5.0 entfernt?
Autor: Leo Davidson-Derivat von Win32/Tilon
- Typ: DLL-Hijack
- Methode: IFileOperation
- Ziel(e): system32sysprepsysprep.exe
- Komponente(n): Actionqueue.dll
- Implementierung: ucmStandardAutoElevation
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 8.1 (9600)
  - Wie: sysprep.exe hat das LoadFrom-Manifest gehärtet
- Codestatus: ab v3.5.0 entfernt?
Autor: Leo Davidson, WinNT/Simda, Win32/Carberp-Derivat
- Typ: DLL-Hijack
- Methode: IFileOperation, ISecurityEditor, WUSA
- Ziele: IFEO-Registrierungsschlüssel, system32cliconfg.exe
- Komponente(n): Vom Angreifer definierte Application Verifier Dll
- Implementierung: ucmAvrfMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 10 TH1 (10147)
  - Wie: WUSA-Option /extract entfernt, ISecurityEditor-Schnittstellenmethode geändert
- Codestatus: ab v3.5.0 entfernt?
Autor: WinNT/Pitou, Win32/Carberp-Derivat
- Typ: DLL-Hijack
- Methode: IFileOperation, WUSA
- Ziele: system32{Neu} oder {Vorhanden}{autoelevated}.exe, z. B. winsat.exe
- Komponente(n): Vom Angreifer definierte DLL, z. B. PowProf.dll, DevObj.dll
- Implementierung: ucmWinSATMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 10 TH2 (10548)
  - Wie: AppInfo erhöhte die Härtung der Anwendungspfadsteuerung
- Codestatus: ab v3.5.0 entfernt?
Autor: Jon Ericson, WinNT/Gootkit, mzH
- Typ: AppCompat
- Methode: Shim Memory Patch
- Ziel(e): system32iscsicli.exe
- Komponente(n): Vom Angreifer vorbereiteter Shellcode
- Implementierung: ucmShimPatch
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 8.1 (9600)
  - Wie: Die automatische Erhöhung von Sdbinst.exe wurde entfernt, KB3045645/KB3048097 für die restlichen Windows-Versionen
- Codestatus: ab v3.5.0 entfernt?
Autor: Leo Davidson-Derivat
- Typ: DLL-Hijack
- Methode: IFileOperation
- Ziel(e): system32sysprepsysprep.exe
- Komponente(n): dbgcore.dll
- Implementierung: ucmStandardAutoElevation
- Funktioniert ab: Windows 10 TH1 (10240)
- Behoben in: Windows 10 TH2 (10565)
  - Wie: sysprep.exe-Manifest aktualisiert
- Codestatus: ab v3.5.0 entfernt?
Autor: Leo Davidson-Derivat
- Typ: DLL-Hijack
- Methode: IFileOperation
- Ziel(e): system32mmc.exe EventVwr.msc
- Komponente(n): elsext.dll
- Implementierung: ucmMMCMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 10 RS1 (14316)
  - Wie: Fehlende Abhängigkeit entfernt
- Codestatus: ab v3.5.0 entfernt?
Autor: Leo Davidson, WinNT/Sirefef-Derivat
- Typ: DLL-Hijack
- Methode: IFileOperation
- Ziele: systemcredwiz.exe, system32wbemoobe.exe
- Komponente(n): netutils.dll
- Implementierung: ucmSirefefMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 10 TH2 (10548)
  - Wie: AppInfo erhöhte die Härtung der Anwendungspfadsteuerung
- Codestatus: ab v3.5.0 entfernt?
Autor: Leo Davidson, Win32/Addrop, Metasploit-Derivat
- Typ: DLL-Hijack
- Methode: IFileOperation
- Ziel(e): system32cliconfg.exe
- Komponente(n): ntwdblib.dll
- Implementierung: ucmGenericAutoelevation
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 10 RS1 (14316)
  - Wie: Die automatische Erhöhung von Cliconfg.exe wurde entfernt
- Codestatus: ab v3.5.0 entfernt?
Autor: Leo Davidson-Derivat
- Typ: DLL-Hijack
- Methode: IFileOperation
- Ziele: system32GWXGWXUXWorker.exe, system32inetsrvinetmgr.exe
- Komponente(n): SLC.dll
- Implementierung: ucmGWX
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 10 RS1 (14316)
  - Wie: AppInfo erhöhte die Anwendungspfadkontrolle und die Härtung ausführbarer inetmgr-Dateien
- Codestatus: ab v3.5.0 entfernt?
Autor: Leo Davidson-Derivat
- Typ: DLL-Hijack (Importweiterleitung)
- Methode: IFileOperation
- Ziel(e): system32sysprepsysprep.exe
- Komponente(n): unbcl.dll
- Implementierung: ucmStandardAutoElevation2
- Funktioniert ab: Windows 8.1 (9600)
- Behoben in: Windows 10 RS1 (14371)
  - Wie: sysprep.exe-Manifest aktualisiert
- Codestatus: ab v3.5.0 entfernt?
Autor: Leo Davidson-Derivat
- Typ: DLL-Hijack (Manifest)
- Methode: IFileOperation
- Ziele: system32taskhost.exe, system32tzsync.exe (jede MS-Exe ohne Manifest)
- Komponente(n): Angreifer definiert
- Implementierung: ucmAutoElevateManifest
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 10 RS1 (14371)
  - Wie: Manifest-Parsing-Logik überprüft
- Codestatus: ab v3.5.0 entfernt?
Autor: Leo Davidson-Derivat
- Typ: DLL-Hijack
- Methode: IFileOperation
- Ziel(e): system32inetsrvinetmgr.exe
- Komponente(n): MsCoree.dll
- Implementierung: ucmInetMgrMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 10 RS1 (14376)
  - Wie: Härtung des ausführbaren Manifests von inetmgr.exe, MitigationPolicy->ProcessImageLoadPolicy->PreferSystem32Images
- Codestatus: ab v3.5.0 entfernt?
Autor: Leo Davidson-Derivat
- Typ: DLL-Hijack
- Methode: IFileOperation
- Ziele: system32mmc.exe, Rsop.msc
- Komponente(n): WbemComn.dll
- Implementierung: ucmMMCMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 10 RS3 (16232)
  - Wie: Target erfordert, dass wbemcomn.dll von MS signiert ist
- Codestatus: ab v3.5.0 entfernt?
Autor: Leo Davidson-Derivat
- Typ: DLL-Hijack
- Methode: IFileOperation, SxS DotLocal
- Ziel(e): system32sysprepsysprep.exe
- Komponente(n): comctl32.dll
- Implementierung: ucmSXSMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 10 RS3 (16232)
  - Wie: MitigationPolicy->ProcessImageLoadPolicy->PreferSystem32Images
- Codestatus: ab v3.5.0 entfernt?
Autor: Leo Davidson-Derivat
- Typ: DLL-Hijack
- Methode: IFileOperation, SxS DotLocal
- Ziel(e): system32consent.exe
- Komponente(n): comctl32.dll
- Implementierung: ucmSXSMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v2.5.0
Autor: Leo Davidson-Derivat
- Typ: DLL-Hijack
- Methode: IFileOperation
- Ziel(e): system32pkgmgr.exe
- Komponente(n): DismCore.dll
- Implementierung: ucmDismMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v2.5.1
Autor: BreakingMalware
- Typ: Shell-API
- Methode: Erweiterung der Umgebungsvariablen
- Ziel(e): system32CompMgmtLauncher.exe
- Komponente(n): Angreifer definiert
- Implementierung: ucmCometMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 10 RS2 (15031)
  - Wie: Die automatische Erhöhung von CompMgmtLauncher.exe wurde entfernt
- Codestatus: ab v3.5.0 entfernt?
Autor: Enigma0x3
- Typ: Shell-API
- Methode: Manipulation des Registrierungsschlüssels
- Ziele: system32EventVwr.exe, system32CompMgmtLauncher.exe
- Komponente(n): Angreifer definiert
- Implementierung: ucmHijackShellCommandMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 10 RS2 (15031)
  - Wie: EventVwr.exe neu gestaltet, CompMgmtLauncher.exe automatische Erhöhung entfernt
- Codestatus: ab v3.5.0 entfernt?
Autor: Enigma0x3
- Typ: Rennbedingung
- Methode: Datei überschreiben
- Ziele: %temp%GUIDdismhost.exe
- Komponente(n): LogProvider.dll
- Implementierung: ucmDiskCleanupRaceCondition
- Funktioniert ab: Windows 10 TH1 (10240)
- AlwaysNotify-kompatibel
- Behoben in: Windows 10 RS2 (15031)
  - Wie: Dateisicherheitsberechtigungen geändert
- Codestatus: ab v3.5.0 entfernt?
Autor: ExpLife
- Typ: Erhöhte COM-Schnittstelle
- Methode: IARPUninstallStringLauncher
- Ziel(e): Angreifer definiert
- Komponente(n): Angreifer definiert
- Implementierung: ucmUninstallLauncherMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 10 RS3 (16199)
  - Wie: UninstallStringLauncher-Schnittstelle aus COMAutoApprovalList entfernt
- Codestatus: ab v3.5.0 entfernt?
Autor: Exploit/Sandworm
- Typ: Komponente auf der Whitelist
- Methode: InfDefaultInstall
- Ziel(e): Angreifer definiert
- Komponente(n): Angreifer definiert
- Implementierung: ucmSandwormMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 8.1 (9600)
  - Wie: InfDefaultInstall.exe aus g_lpAutoApproveEXEList entfernt (MS14-060)
- Codestatus: ab v3.5.0 entfernt?
Autor: Enigma0x3
- Typ: Shell-API
- Methode: Manipulation des Registrierungsschlüssels
- Ziel(e): system32sdclt.exe
- Komponente(n): Angreifer definiert
- Implementierung: ucmAppPathMethod
- Funktioniert ab: Windows 10 TH1 (10240)
- Behoben in: Windows 10 RS3 (16215)
  - Wie: Shell-API-Update
- Codestatus: ab v3.5.0 entfernt?
Autor: Leo Davidson-Derivat, lhc645
- Typ: DLL-Hijack
- Methode: WOW64-Logger
- Ziel(e): syswow64{jedes erhöhte Exe, z. B. wusa.exe}
- Komponente(n): wow64log.dll
- Implementierung: ucmWow64LoggerMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v2.7.0
Autor: Enigma0x3
- Typ: Shell-API
- Methode: Manipulation des Registrierungsschlüssels
- Ziel(e): system32sdclt.exe
- Komponente(n): Angreifer definiert
- Implementierung: ucmSdcltIsolatedCommandMethod
- Funktioniert ab: Windows 10 TH1 (10240)
- Behoben in: Windows 10 RS4 (17025)
  - Wie: Aktualisierung der Shell-API/Windows-Komponenten
- Codestatus: ab v3.5.0 entfernt?
Autor: xi-tauw
- Typ: DLL-Hijack
- Methode: UIPI-Umgehung mit der uiAccess-Anwendung
- Ziele: ProgrammeWindows Media Playerosk.exe, system32EventVwr.exe, system32mmc.exe
- Komponente(n): duser.dll, osksupport.dll
- Implementierung: ucmUiAccessMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v2.7.1
Autor: winscripting.blog
- Typ: Shell-API
- Methode: Manipulation des Registrierungsschlüssels
- Ziel(e): system32fodhelper.exe
- Komponente(n): Angreifer definiert
- Implementierung: ucmShellRegModMethod
- Funktioniert ab: Windows 10 TH1 (10240)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v2.7.2
Autor: James Forshaw
- Typ: Shell-API
- Methode: Erweiterung der Umgebungsvariablen
- Ziele: system32svchost.exe über system32schtasks.exe
- Komponente(n): Angreifer definiert
- Implementierung: ucmDiskCleanupEnvironmentVariable
- Funktioniert ab: Windows 8.1 (9600)
- AlwaysNotify-kompatibel
- Behoben in: Windows 10 (Silent Ninja Patch, voraussichtliches Sicherheitsbulletin vom Mai 2023)
  - Wie: Aktualisierung der Shell-API/Windows-Komponenten
- Codestatus: hinzugefügt in v2.7.2
Autor: CIA & James Forshaw
- Typ: Identitätswechsel
- Methode: Token-Manipulationen
- Ziel(e): Automatisch erhöhte Anwendungen
- Komponente(n): Angreifer definiert
- Implementierung: ucmTokenModification
- Funktioniert unter: Windows 7 (7600)
- AlwaysNotify-kompatibel, siehe Hinweis
- Behoben in: Windows 10 RS5 (17686)
  - Wie: ntoskrnl.exe->SeTokenCanImpersonate zusätzliche Zugriffstokenprüfung hinzugefügt
- Codestatus: ab v3.5.0 entfernt?
Autor: Thomas Vanhoutte alias SandboxEscaper
- Typ: Rennbedingung
- Methode: NTFS-Analysepunkt und DLL-Hijack
- Ziele: wusa.exe, pkgmgr.exe
- Komponente(n): Angreifer definiert
- Implementierung: ucmJunctionMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v2.7.4
Autor: Ernesto Fernandez, Thomas Vanhoutte
- Typ: DLL-Hijack
- Methode: SxS DotLocal, NTFS-Analysepunkt
- Ziel(e): system32dccw.exe
- Komponente(n): GdiPlus.dll
- Implementierung: ucmSXSDccwMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v2.7.5
Autor: Clément Rouault
- Typ: Komponente auf der Whitelist
- Methode: APPINFO-Befehlszeilen-Spoofing
- Ziel(e): system32mmc.exe
- Komponente(n): Angreifer definiert
- Implementierung: ucmHakrilMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v2.7.6
Autor: Stefan Kanthak
- Typ: DLL-Hijack
- Methode: .NET Code Profiler
- Ziel(e): system32mmc.exe
- Komponente(n): Angreifer definiert
- Implementierung: ucmCorProfilerMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v2.7.7
Autor: Ruben Boonen
- Typ: COM-Handler-Hijack
- Methode: Manipulation des Registrierungsschlüssels
- Ziele: system32mmc.exe, system32recdisc.exe
- Komponente(n): Angreifer definiert
- Implementierung: ucmCOMHandlersMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 10 19H1 (18362)
  - Wie: Nebeneffekt von Windows-Änderungen
- Codestatus: ab v3.5.0 entfernt?
Autor: Oddvar Moe
- Typ: Erhöhte COM-Schnittstelle
- Methode: ICMLuaUtil
- Ziel(e): Angreifer definiert
- Komponente(n): Angreifer definiert
- Implementierung: ucmCMLuaUtilShellExecMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v2.7.9
Autor: BreakingMalware und Enigma0x3
- Typ: Erhöhte COM-Schnittstelle
- Methode: IFwCplLua
- Ziel(e): Angreifer definiert
- Komponente(n): Angreifer definiert
- Implementierung: ucmFwCplLuaMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 10 RS4 (17134)
  - Wie: Shell-API-Update
- Codestatus: ab v3.5.0 entfernt?
Autor: Oddvar Moe-Derivat
- Typ: Erhöhte COM-Schnittstelle
- Methode: IColorDataProxy, ICMLuaUtil
- Ziel(e): Angreifer definiert
- Komponente(n): Angreifer definiert
- Implementierung: ucmDccwCOMMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v2.8.3
Autor: bytecode77
- Typ: Shell-API
- Methode: Erweiterung der Umgebungsvariablen
- Ziel(e): Mehrere automatisch erhöhte Prozesse
- Komponente(n): Verschiedene je Ziel
- Implementierung: ucmVolatileEnvMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 10 RS3 (16299)
  - Wie: Die Systemverzeichnisvariablen des aktuellen Benutzers werden während der Prozesserstellung ignoriert
- Codestatus: ab v3.5.0 entfernt?
Autor: bytecode77
- Typ: Shell-API
- Methode: Manipulation des Registrierungsschlüssels
- Ziel(e): system32slui.exe
- Komponente(n): Angreifer definiert
- Implementierung: ucmSluiHijackMethod
- Funktioniert unter: Windows 8.1 (9600)
- Behoben in: Windows 10 20H1 (19041)
  - Wie: Nebeneffekt von Windows-Änderungen
- Codestatus: ab v3.5.0 entfernt?
Autor: Anonym
- Typ: Rennbedingung
- Methode: Manipulation des Registrierungsschlüssels
- Ziel(e): system32BitlockerWizardElev.exe
- Komponente(n): Angreifer definiert
- Implementierung: ucmBitlockerRCMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 10 RS4 (>16299)
  - Wie: Shell-API-Update
- Codestatus: ab v3.5.0 entfernt?
Autor: Clavillotte & 3gstudent
- Typ: COM-Handler-Hijack
- Methode: Manipulation des Registrierungsschlüssels
- Ziel(e): system32mmc.exe
- Komponente(n): Angreifer definiert
- Implementierung: ucmCOMHandlersMethod2
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 10 19H1 (18362)
  - Wie: Nebeneffekt von Windows-Änderungen
- Codestatus: ab v3.5.0 entfernt?
Autor: deroko
- Typ: Erhöhte COM-Schnittstelle
- Methode: ISPPLUAObject
- Ziel(e): Angreifer definiert
- Komponente(n): Angreifer definiert
- Implementierung: ucmSPPLUAObjectMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 10 RS5 (17763)
  - Wie: ISPPLUAObject-Schnittstellenmethode geändert
- Codestatus: ab v3.5.0 entfernt?
Autor: RinN
- Typ: Erhöhte COM-Schnittstelle
- Methode: ICreateNewLink
- Ziel(e): system32TpmInit.exe
- Komponente(n): WbemComn.dll
- Implementierung: ucmCreateNewLinkMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 10 RS1 (14393)
  - Wie: Nebeneffekt der COMAutoApprovalList-Einführung von „consent.exe“.
- Codestatus: ab v3.5.0 entfernt?
Autor: Anonym
- Typ: Erhöhte COM-Schnittstelle
- Methode: IDateTimeStateWrite, ISPPLUAObject
- Ziel(e): w32time-Dienst
- Komponente(n): w32time.dll
- Implementierung: ucmDateTimeStateWriterMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 10 RS5 (17763)
  - Wie: Nebeneffekt der Änderung der ISPPLUAObject-Schnittstelle
- Codestatus: ab v3.5.0 entfernt?
Autor: Bytecode77-Derivat
- Typ: Erhöhte COM-Schnittstelle
- Methode: IAccessibilityCplAdmin
- Ziel(e): system32rstrui.exe
- Komponente(n): Angreifer definiert
- Implementierung: ucmAcCplAdminMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 10 RS4 (17134)
  - Wie: Shell-API-Update
- Codestatus: ab v3.5.0 entfernt?
Autor: David Wells
- Typ: Komponente auf der Whitelist
- Methode: AipNormalizePath analysiert Missbrauch
- Ziel(e): Angreifer definiert
- Komponente(n): Angreifer definiert
- Implementierung: ucmDirectoryMockMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v3.0.4
Autor: Emeric Nasi
- Typ: Shell-API
- Methode: Manipulation des Registrierungsschlüssels
- Ziel(e): system32sdclt.exe
- Komponente(n): Angreifer definiert
- Implementierung: ucmShellRegModMethod
- Funktioniert unter: Windows 10 (14393)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v3.1.3
Autor: egre55
- Typ: DLL-Hijack
- Methode: Missbrauch der DLL-Pfadsuche
- Ziele: syswow64SystemPropertiesAdvanced.exe und andere SystemProperties*.exe
- Komponente(n): AppDataLocalMicrosoftWindowsAppssrrstr.dll
- Implementierung: ucmEgre55Methode
- Funktioniert unter: Windows 10 (14393)
- Behoben in: Windows 10 19H1 (18362)
  - Wie: SysDm.cpl!_CreateSystemRestorePage wurde für den gesicherten Ladebibliotheksaufruf aktualisiert
- Codestatus: ab v3.5.0 entfernt?
Autor: James Forshaw
- Typ: GUI-Hack
- Methode: UIPI-Umgehung mit Token-Änderung
- Ziele: system32osk.exe, system32msconfig.exe
- Komponente(n): Angreifer definiert
- Implementierung: ucmTokenModUIAccessMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v3.1.5
Autor: Hashim Jawad
- Typ: Shell-API
- Methode: Manipulation des Registrierungsschlüssels
- Ziel(e): system32WSReset.exe
- Komponente(n): Angreifer definiert
- Implementierung: ucmShellRegModMethod2
- Funktioniert unter: Windows 10 (17134)
- Behoben in: Windows 11 (22000)
  - Wie: Neugestaltung der Windows-Komponenten
- Codestatus: ab v3.5.7 entfernt?
Autor: Leo Davidson-Derivat von Win32/Gapz
- Typ: DLL-Hijack
- Methode: IFileOperation
- Ziel(e): system32sysprepsysprep.exe
- Komponente(n): unattend.dll
- Implementierung: ucmStandardAutoElevation
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 8.1 (9600)
  - Wie: sysprep.exe hat LoadFrom-Manifestelemente gehärtet
- Codestatus: ab v3.5.0 entfernt?
Autor: RinN
- Typ: Erhöhte COM-Schnittstelle
- Methode: IEditionUpgradeManager
- Ziel(e): system32clipup.exe
- Komponente(n): Angreifer definiert
- Implementierung: ucmEditionUpgradeManagerMethod
- Funktioniert unter: Windows 10 (14393)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v3.2.0
Autor: James Forshaw
- Typ: AppInfo ALPC
- Methode: RAiLaunchAdminProcess und DebugObject
- Ziel(e): Angreifer definiert
- Komponente(n): Angreifer definiert
- Implementierung: ucmDebugObjectMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v3.2.3
Autor: Enigma0x3-Derivat von WinNT/Glupteba
- Typ: Shell-API
- Methode: Manipulation des Registrierungsschlüssels
- Ziel(e): system32CompMgmtLauncher.exe
- Komponente(n): Angreifer definiert
- Implementierung: ucmGluptebaMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 10 RS2 (15063)
  - Wie: Die automatische Erhöhung von CompMgmtLauncher.exe wurde entfernt
- Codestatus: ab v3.5.0 entfernt?
Autor: Enigma0x3/bytecode77 abgeleitet von Nassim Asrir
- Typ: Shell-API
- Methode: Manipulation des Registrierungsschlüssels
- Ziele: system32slui.exe, system32changepk.exe
- Komponente(n): Angreifer definiert
- Implementierung: ucmShellRegModMethod
- Funktioniert unter: Windows 10 (14393)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v3.2.5
Autor: winscripting.blog
- Typ: Shell-API
- Methode: Manipulation des Registrierungsschlüssels
- Ziel(e): system32computerdefaults.exe
- Komponente(n): Angreifer definiert
- Implementierung: ucmShellRegModMethod
- Funktioniert ab: Windows 10 RS4 (17134)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v3.2.6
Autor: Arush Agarampur
- Typ: DLL-Hijack
- Methode: ISecurityEditor
- Ziele: Native Image Cache-Elemente
- Komponente(n): Angreifer definiert
- Implementierung: ucmNICPoisonMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v3.2.7
Autor: Arush Agarampur
- Typ: Erhöhte COM-Schnittstelle
- Methode: IIEAxiAdminInstaller, IIEAxiInstaller2, IFileOperation
- Ziel(e): IE-Add-on-Installationscache
- Komponente(n): Angreifer definiert
- Implementierung: ucmIeAddOnInstallMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v3.5.1
Autor: Arush Agarampur
- Typ: Erhöhte COM-Schnittstelle
- Methode: IWscAdmin
- Ziel(e): Shell Protocol Hijack
- Komponente(n): Angreifer definiert
- Implementierung: ucmWscActionProtocolMethod
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 11 24H2 (26100)
  - Wie: Nebeneffekt von Windows-Änderungen
- Codestatus: hinzugefügt in v3.5.2
Autor: Arush Agarampur
- Typ: Erhöhte COM-Schnittstelle
- Methode: IFwCplLua, Shell Protocol Hijack
- Ziel(e): Registrierungseintrag des Shell-Protokolls und Umgebungsvariablen
- Komponente(n): Angreifer definiert
- Implementierung: ucmFwCplLuaMethod2
- Funktioniert unter: Windows 7 (7600)
- Behoben in: Windows 11 24H2 (26100)
  - Wie: Nebeneffekt von Windows-Änderungen
- Codestatus: hinzugefügt in v3.5.3
Autor: Arush Agarampur
- Typ: Shell-API
- Methode: Shell Protocol Hijack
- Ziel(e): system32fodhelper.exe
- Komponente(n): Angreifer definiert
- Implementierung: ucmMsSettingsProtocolMethod
- Funktioniert ab: Windows 10 TH1 (10240)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v3.5.4
Autor: Arush Agarampur
- Typ: Shell-API
- Methode: Shell Protocol Hijack
- Ziel(e): system32wsreset.exe
- Komponente(n): Angreifer definiert
- Implementierung: ucmMsStoreProtocolMethod
- Funktioniert ab: Windows 10 RS5 (17763)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v3.5.5
Autor: Arush Agarampur
- Typ: Shell-API
- Methode: Erweiterung der Umgebungsvariablen, DLL-Hijack
- Ziel(e): system32taskhostw.exe
- Komponente(n): pcadm.dll
- Implementierung: ucmPcaMethod
- Funktioniert unter: Windows 7 (7600)
- AlwaysNotify-kompatibel
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v3.5.6
Autor: V3ded
- Typ: Shell-API
- Methode: Manipulation des Registrierungsschlüssels
- Ziele: system32fodhelper.exe, system32computerdefaults.exe
- Komponente(n): Angreifer definiert
- Implementierung: ucmShellRegModMethod3
- Funktioniert ab: Windows 10 (10240)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v3.5.7
Autor: Arush Agarampur
- Typ: DLL-Hijack
- Methode: ISecurityEditor
- Ziele: Native Image Cache-Elemente
- Komponente(n): Angreifer definiert
- Implementierung: ucmNICPoisonMethod2
- Funktioniert unter: Windows 7 RTM (7600)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v3.5.8
Autor: Emeric Nasi
- Typ: DLL-Hijack
- Methode: Missbrauch der DLL-Pfadsuche
- Ziele: syswow64msdt.exe, system32sdiagnhost.exe
- Komponente(n): BluetoothDiagnosticUtil.dll
- Implementierung: ucmMsdtMethod
- Funktioniert ab: Windows 10 (10240)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v3.5.9
Autor: orange_8361 und antonioCoco
- Typ: Shell-API
- Methode: .NET-Deserialisierung
- Ziel(e): system32mmc.exe EventVwr.msc
- Komponente(n): Angreifer definiert
- Implementierung: ucmDotNetSerialMethod
- Funktioniert unter: Windows 7 RTM (7600)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v3.6.0
Autor: zcgonvh
- Typ: Erhöhte COM-Schnittstelle
- Methode: IElevatedFactoryServer
- Ziel(e): Angreifer definiert
- Komponente(n): Angreifer definiert
- Implementierung: ucmVFServerTaskSchedMethod
- Funktioniert unter: Windows 8.1 (9600)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v3.6.1
Autor: zcgonvh-Derivat von Wh04m1001
- Typ: Erhöhte COM-Schnittstelle
- Methode: IDiagnosticProfile
- Ziel(e): Angreifer definiert
- Komponente(n): Angreifer definiert
- Implementierung: ucmVFServerDiagProfileMethod
- Funktioniert unter: Windows 7 RTM (7600)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v3.6.2
Autor: HackerHouse
- Typ: DLL-Hijack
- Methode: Missbrauch der DLL-Pfadsuche, Manipulation des Registrierungsschlüssels
- Ziel(e): syswow64iscsicpl.exe
- Komponente(n): iscsiexe.dll
- Implementierung: ucmIscsiCplMethod
- Funktioniert unter: Windows 7 RTM (7600)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v3.6.3
Autor: Arush Agarampur
- Typ: DLL-Hijack
- Methode: IFileOperation
- Ziel(e): system32mmc.exe
- Komponente(n): atl.dll
- Implementierung: ucmAtlHijackMethod
- Funktioniert unter: Windows 7 RTM (7600)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v3.6.4
Autor: antonioCoco
- Typ: Identitätswechsel
- Methode: SSPI-Datagramm
- Ziel(e): Angreifer definiert
- Komponente(n): Angreifer definiert
- Implementierung: ucmSspiDatagramMethod
- Funktioniert unter: Windows 7 RTM (7600)
- AlwaysNotify-kompatibel
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v3.6.5
Autor: James Forshaw und Stefan Kanthak
- Typ: GUI-Hack
- Methode: UIPI-Umgehung mit Token-Änderung
- Ziele: system32osk.exe, system32mmc.exe
- Komponente(n): Angreifer definiert
- Implementierung: ucmTokenModUIAccessMethod2
- Funktioniert unter: Windows 7 (7600)
- Behoben in: nicht behoben ?
  - Wie: -
- Codestatus: hinzugefügt in v3.6.6

Notiz:

Methode (30) (63) und später nur in der x64-Version implementiert;
Methode (30) erfordert x64, da sie die Funktion des WOW64-Subsystems missbraucht.
Methode (55) ist nicht wirklich zuverlässig (wie alle GUI-Hacks) und nur zum Spaß enthalten.
Methode (78) erfordert, dass das Passwort des aktuellen Benutzerkontos nicht leer sein darf.

Laufbeispiele:

akagi32.exe 23
akagi64.exe 61
akagi32 23 c:windowssystem32calc.exe
akagi64 61 c:windowssystem32charmap.exe

Warnung

Dieses Tool zeigt NUR beliebte UAC-Umgehungsmethoden, die von Malware verwendet werden, und implementiert einige davon auf andere Weise neu, um die ursprünglichen Konzepte zu verbessern. Es gibt verschiedene, der breiten Öffentlichkeit noch nicht bekannte Methoden. Seien Sie sich dessen bewusst;
Dieses Tool ist nicht für AV-Tests gedacht und wurde nicht auf die Funktionsfähigkeit in einer aggressiven AV-Umgebung getestet. Wenn Sie es dennoch mit installierter Bloatware-AV-Software verwenden möchten, verwenden Sie es auf eigene Gefahr.
Einige AV-Geräte kennzeichnen dieses Tool möglicherweise als HackTool, MSE/WinDefender markiert es ständig als Malware, nein;
Wenn Sie dieses Programm auf einem echten Computer ausführen, denken Sie daran, nach der Verwendung alle Programmreste zu entfernen. Weitere Informationen zu Dateien, die in Systemordnern abgelegt werden, finden Sie im Quellcode.
Die meisten Methoden wurden für x64 erstellt, ohne x86-32-Unterstützung im Auge zu behalten. Ich sehe keinen Sinn darin, 32-Bit-Versionen von Windows oder wow64 zu unterstützen, aber mit kleinen Änderungen laufen die meisten davon auch unter wow64.

Wenn Sie sich fragen, warum das immer noch existiert und funktioniert – hier ist die Erklärung – ein offizielles Whiteflag von Microsoft (einschließlich völlig inkompetenter Aussagen als Bonus) https://devblogs.microsoft.com/oldnewthing/20160816-00/?p=94105

Support- und Testrichtlinien für Windows 10

UACMe wurde nur mit LSTB/LTSC-Varianten (1607/1809) und den letzten RTM-1-Versionen getestet, z. B. wenn die aktuelle Version 2004 ist, wird sie auf 2004 (19041) und der Vorgängerversion 1909 (18363) getestet;
Insider-Builds werden nicht unterstützt, da dort möglicherweise Methoden behoben werden.

Schutz

Konto ohne Administratorrechte.

Verwendung von Malware

Wir übernehmen keine Verantwortung für die Verwendung dieses Tools zu böswilligen Zwecken. Es ist kostenlos, Open Source und wird AS-IS für jedermann bereitgestellt.

Andere Verwendung

Wird derzeit als „Signatur“ vom „THOR APT“-Scanner (handgefertigte Mustervergleichs-Betrugssoftware aus Deutschland) verwendet. Wir übernehmen keine Verantwortung für die Verwendung dieses Tools in der Betrugssoftware;
Das Repository https://github.com/hfiref0x/UACME und seine Inhalte sind die einzige echte Quelle für UACMe-Code. Wir haben nichts mit externen Links zu diesem Projekt, Erwähnungen irgendwo sowie Modifikationen (Forks) zu tun;
Im Juli 2016 veröffentlichte das sogenannte „Sicherheitsunternehmen“ Cymmetria einen Bericht über das Script-Kiddie-Malware-Bundle namens „Patchwork“ und markierte es fälschlicherweise als APT. Sie gaben an, dass es sich um die Verwendung der „UACME-Methode“ handelte, bei der es sich in Wirklichkeit nur um eine leicht und unprofessionell modifizierte Injektor-DLL von UACMe v1.9 handelte, und dass die Carberp/Pitou-Hybridmethode auf selbstimplementierte Weise von Malware verwendet wurde. Wir übernehmen keine Verantwortung für die Verwendung von UACMe in dubiosen Werbekampagnen Dritter „Sicherheitsunternehmen“.

Bauen

UACMe wird mit vollständigem Quellcode geliefert, geschrieben in C;
Zum Erstellen aus dem Quellcode benötigen Sie Microsoft Visual Studio 2019 und spätere Versionen.

Kompilierte Binärdateien

Sie werden seit 2.8.9 nicht mehr bereitgestellt und werden auch in Zukunft nicht mehr bereitgestellt. Die Gründe (und warum auch Sie sie nicht der Öffentlichkeit zugänglich machen sollten):
- Wenn man dieses Projekt auf den Punkt bringt, handelt es sich um ein HackTool, trotz des ursprünglichen Ziels, ein Demonstrator zu sein. Natürlich erkennen mehrere AVs es als HackTool (z. B. MS WD), die meisten VirusTotal-Patienten erkennen es jedoch als generische „Malware“. Das ist natürlich falsch, aber leider kopieren und fügen einige faule Malware-Autoren Code blind in ihre Crapware ein (oder verwenden dieses Tool einfach direkt), sodass einige AV-Signaturen auf der Grundlage von Projektcodeteilen erstellt wurden;
- Indem Sie jedem kompilierte Binärdateien zur Verfügung stellen, machen Sie das Leben von Script-Kiddies viel einfacher, da die Notwendigkeit, aus dem Quellcode zu kompilieren, eine perfekte Barriere für außergewöhnlich dumme Script-Kiddies und „Button-Clicker“ darstellt;
- Das Kompilieren von Binärdateien im Repository führt letztendlich dazu, dass diese Repository-Seiten (aus den oben genannten Gründen) von verschiedenen Inhaltsfiltern (SmartScreen, Google Safe Browsing usw.) als bösartig gekennzeichnet werden.
Diese Entscheidung ist endgültig und wird nicht geändert.

Anweisungen

Wählen Sie zuerst Platform ToolSet für das Projekt in der Lösung aus, die Sie erstellen möchten (Projekt->Eigenschaften->Allgemein):
- v142 für Visual Studio 2019;
- v143 für Visual Studio 2022.
Für v140 und höher legen Sie die Zielplattformversion fest (Projekt->Eigenschaften->Allgemein):
- Wenn v140, dann wählen Sie 8.1 (Beachten Sie, dass Windows 8.1 SDK installiert sein muss);
- Wenn v141 und höher, wählen Sie 10.
Für die Erstellung der Binärdateien ist das folgende SDK erforderlich:
- Windows 8.1 oder Windows 10 SDK (getestet mit Version 19041)
- NET Framework SDK (getestet mit Version 4.8)
So erstellen Sie eine funktionierende Binärdatei:
- Kompilieren Sie Nutzlasteinheiten
- Kompilieren Sie das Naka-Modul
- Verschlüsseln Sie alle Nutzlasteinheiten mit dem Naka-Modul
- Generieren Sie geheime Blobs für diese Einheiten mit dem Naka-Modul
- Verschieben Sie kompilierte Einheiten und geheime Blobs in das Verzeichnis AkagiBin
- Akagi wieder aufbauen

Referenzen

Windows 7 UAC-Whitelist, http://www.pretentiousname.com/misc/win7_uac_whitelist2.html
Kompatibilitäts-Shims für bösartige Anwendungen, https://www.blackhat.com/docs/eu-15/materials/eu-15-Pierce-Defending-Against-Malicious-Application-Compatibility-Shims-wp.pdf
Junfeng Zhang vom Blog des WinSxS-Entwicklerteams, https://blogs.msdn.microsoft.com/junfeng/
Jenseits des guten alten Run-Schlüssels, Artikelserie, http://www.hexacorn.com/blog
KernelMode.Info UACMe-Thread, https://www.kernelmode.info/forum/viewtopicf985.html?f=11&t=3643
Command Injection/Elevation – Umgebungsvariablen überarbeitet, https://breakingmalware.com/vulnerabilities/command-injection-and-elevation-environment-variables-revisited
„Fileless“ UAC-Umgehung mit eventvwr.exe und Registry-Hijacking, https://enigma0x3.net/2016/08/15/fileless-uac-bypass-using-eventvwr-exe-and-registry-hijacking/
UAC unter Windows 10 mithilfe der Datenträgerbereinigung umgehen, https://enigma0x3.net/2016/07/22/bypassing-uac-on-windows-10-using-disk-cleanup/
Verwenden Sie IarpuninstallStringlauncher COM -Schnittstelle zur Umgehung von UAC, http://www.freebuf.com/articles/system/116611.html
Umgehende UAC unter Verwendung von App-Pfaden, https://enigma0x3.net/2017/03/14/bypassing-uac-using-app-paths/
"Fileless" UAC Bypass mit sdclt.exe, https://enigma0x3.net/2017/03/17/fileless-uac-bypass-using-sdclt-exe/
UAC Bypass oder Geschichte über drei Eskalationen, https://habrahabr.ru/company/pm/blog/328008/
Umgebungsvariablen in geplanten Aufgaben für UAC-Bypass, https://tyranidslair.blogspot.ru/2017/05/exploiting-nironment-variables-in.html
Erster Eintrag: Begrüßung und fillose UAC-Bypass, https://winscripting.blog/2017/05/12/first-entry-welcome--uac-bypass/
Lesen Sie sich in 3 Teilen um UAC:
1. https://yranidslair.blogspot.ru/2017/05/reading-your-way-around-uac-te-part-1.html
2. https://tyranidslair.blogspot.ru/2017/05/reading-your-way-around-uac-te-part-2.html
3. https://tyranidslair.blogspot.ru/2017/05/reading-your-way-around-uac-part-3.html
Forschung zu cmstp.exe, https://msitpros.com/?p=3960
UAC-Bypass über erhöhte .NET-Anwendungen, https://offsec.provadys.com/uac-bypass-dotnet.html
UAC-Bypass von Mocking Controled Directories, https://medium.com/tenable-techblog/uac-bypass-by-mocking-traustd-directories-24a96675f6e
Ein weiterer SDCLT-UAC-Bypass, http://blog.sevagas.com/?yet-another-sdclt-uac-bypass
UAC-Bypass über SystemPropertiesAdvanced.exe und DLL Hijacking, https://egre55.github.io/system-properties-uac-bypass/
Zugriff auf Zugangsanfänger für UIACCES
Fileless uac Bypass in Windows Store Binary, https://www.activecyber.us/1/post/2019/03/windows-uac-bypass.html
Rufen Sie lokale Windows-RPC-Server von .NET, https://googleprojeczero.blogspot.com/2019/12/calling-local-windows-rpc-servers-from.html an
Microsoft Windows 10 UAC Bypass Local Privilege Escalation Exploit, https://packetstormsecurity.com/files/155927/microsoft-windows-10-local-privilege-escalation.html
UACME 3.5, WD und die Wege der Minderung, https://swapcontext.blogspot.com/2020/10/uacme-35-wd-ways-of-mitigation.html
UAC-Umgehende von Comauto Approvallist, https://swapcontext.blogspot.com/2020/11/uac-bypasse-from-comautoappallist.html
Verwendung programmatischer Identifikatoren (Progids) für UAC-Umgehende, https://v3ded.github.io/redteam/utilizing-programmatic-identifiers-progids-for-uac-bypasses
Msdt dll hijack uac bypass, https://blog.sevagas.com/?msdt-dll-hijack-uac-bypass
UAC Bypass über .NET Deserialization Schwachstellen in Eventvwr.exe, https://twitter.com/orange_8361/status/1518970259868626944
Erweiterte Windows -Task -Scheduler -Playbook - Teil.2 von com zu uac Bypass und system direkt
Umgehende UAC mit SSPI-Datagrammkontexten, https://splintercod3.blogspot.com/p/bypassing-uac-with-sspi-datagram.html
Einige Exploits für Windows'® UAC, https://skanthak.hier-im-netz.de/uacamole.html mildern