UACME

UACMe

• Vaincre le contrôle de compte d'utilisateur Windows en abusant de la porte dérobée Windows AutoElevate intégrée.

Configuration système requise

• x86-32/x64 Windows 7/8/8.1/10/11 (client, certaines méthodes fonctionnent cependant également sur la version serveur).
• Compte administrateur avec UAC défini sur les paramètres par défaut requis.

Usage

Exécutez l'exécutable à partir de la ligne de commande : akagi32 [Key] [Param] ou akagi64 [Key] [Param]. Voir « Exécuter des exemples » ci-dessous pour plus d'informations.

Le premier paramètre est le numéro de méthode à utiliser, le second est la commande facultative (nom du fichier exécutable incluant le chemin complet) à exécuter. Le deuxième paramètre peut être vide - dans ce cas, le programme exécutera cmd.exe élevé à partir du dossier system32.

Remarque : Depuis la version 3.5.0, toutes les méthodes « corrigées » sont considérées comme obsolètes et complètement supprimées avec tous les codes/unités pris en charge. Si vous en avez encore besoin, utilisez la branche v3.2.x

Clés (cliquez pour agrandir/réduire)

1. Auteur : Léo Davidson
   • Type : piratage de DLL
   • Méthode : IFileOperation
   • Cible(s) : system32sysprepsysprep.exe
   • Composant(s) : cryptbase.dll
   • Implémentation : ucmStandardAutoElevation
   • Fonctionne à partir de : Windows 7 (7600)
   • Corrigé dans : Windows 8.1 (9600)
     • Comment : sysprep.exe a renforcé les éléments du manifeste LoadFrom
   • Statut du code : supprimé à partir de la v3.5.0 ?
2. Auteur : dérivé de Leo Davidson
   • Type : piratage de DLL
   • Méthode : IFileOperation
   • Cible(s) : system32sysprepsysprep.exe
   • Composant(s) : ShCore.dll
   • Implémentation : ucmStandardAutoElevation
   • Fonctionne à partir de : Windows 8.1 (9600)
   • Corrigé dans : Windows 10 TP (> 9600)
     • Comment : effet secondaire du déplacement de ShCore.dll vers KnownDlls
   • Statut du code : supprimé à partir de la v3.5.0 ?
3. Auteur : Leo Davidson dérivé par WinNT/Pitou
   • Type : piratage de DLL
   • Méthode : IFileOperation
   • Cible(s) : system32oobesetupsql.exe
   • Composant(s) : WdsCore.dll
   • Implémentation : ucmStandardAutoElevation
   • Fonctionne à partir de : Windows 7 (7600)
   • Corrigé dans : Windows 10 TH2 (10558)
     • Comment : effet secondaire de la refonte d’OOBE
   • Statut du code : supprimé à partir de la v3.5.0 ?
4. Auteur : Jon Ericson, WinNT/Gootkit, mzH
   • Type : AppCompat
   • Méthode : RedirectEXE Shim
   • Cible(s) : system32cliconfg.exe
   • Composant(s): -
   • Implémentation : ucmShimRedirectEXE
   • Fonctionne à partir de : Windows 7 (7600)
   • Corrigé dans : Windows 10 TP (> 9600)
     • Comment : suppression automatique de l'élévation Sdbinst.exe, KB3045645/KB3048097 pour les versions restantes de Windows
   • Statut du code : supprimé à partir de la v3.5.0 ?
5. Auteur : WinNT/Simda
   • Type : interface COM élevée
   • Méthode : ISecurityEditor
   • Cible(s) : clés de registre HKLM
   • Composant(s): -
   • Implémentation : ucmSimdaTurnOffUac
   • Fonctionne à partir de : Windows 7 (7600)
   • Corrigé dans : Windows 10 TH1 (10147)
     • Comment : la méthode d'interface ISecurityEditor a été modifiée
   • Statut du code : supprimé à partir de la v3.5.0 ?
6. Auteur : Win32/Carberp
   • Type : piratage de DLL
   • Méthode : WUSA
   • Cible(s) : ehomemcx2prov.exe, system32migwizmigwiz.exe
   • Composant(s) : WdsCore.dll, CryptBase.dll, CryptSP.dll
   • Implémentation : méthode ucmWusa
   • Fonctionne à partir de : Windows 7 (7600)
   • Corrigé dans : Windows 10 TH1 (10147)
     • Comment : option WUSA/extrait supprimée
   • Statut du code : supprimé à partir de la v3.5.0 ?
7. Auteur : dérivé Win32/Carberp
   • Type : piratage de DLL
   • Méthode : WUSA
   • Cible(s) : system32cliconfg.exe
   • Composant(s) : ntwdblib.dll
   • Implémentation : méthode ucmWusa
   • Fonctionne à partir de : Windows 7 (7600)
   • Corrigé dans : Windows 10 TH1 (10147)
     • Comment : option WUSA/extrait supprimée
   • Statut du code : supprimé à partir de la v3.5.0 ?
8. Auteur : Leo Davidson dérivé de Win32/Tilon
   • Type : piratage de DLL
   • Méthode : IFileOperation
   • Cible(s) : system32sysprepsysprep.exe
   • Composant(s) : Actionqueue.dll
   • Implémentation : ucmStandardAutoElevation
   • Fonctionne à partir de : Windows 7 (7600)
   • Corrigé dans : Windows 8.1 (9600)
     • Comment : sysprep.exe a renforcé le manifeste LoadFrom
   • Statut du code : supprimé à partir de la v3.5.0 ?
9. Auteur : Leo Davidson, dérivé de WinNT/Simda, Win32/Carberp
   • Type : piratage de DLL
   • Méthode : IFileOperation, ISecurityEditor, WUSA
   • Cible(s) : clés de registre IFEO, system32cliconfg.exe
   • Composant(s) : Dll Application Verifier définie par l'attaquant
   • Implémentation : ucmAvrfMethod
   • Fonctionne à partir de : Windows 7 (7600)
   • Corrigé dans : Windows 10 TH1 (10147)
     • Comment : option WUSA /extract supprimée, méthode d'interface ISecurityEditor modifiée
   • Statut du code : supprimé à partir de la v3.5.0 ?
10. Auteur : WinNT/Pitou, dérivé Win32/Carberp
    • Type : piratage de DLL
    • Méthode : IFileOperation, WUSA
    • Cible(s) : system32{Nouveau}ou{Existant}{autoelevated}.exe, par exemple winsat.exe
    • Composant(s) : DLL définie par l'attaquant, par exemple PowProf.dll, DevObj.dll
    • Implémentation : méthode ucmWinSATM
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : Windows 10 TH2 (10548)
      • Comment : renforcement du contrôle du chemin d'application élevé par AppInfo
    • Statut du code : supprimé à partir de la v3.5.0 ?
11. Auteur : Jon Ericson, WinNT/Gootkit, mzH
    • Type : AppCompat
    • Méthode : Patch mémoire de calage
    • Cible(s) : system32iscsicli.exe
    • Composant(s) : shellcode préparé par l'attaquant
    • Implémentation : ucmShimPatch
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : Windows 8.1 (9600)
      • Comment : suppression automatique de l'élévation Sdbinst.exe, KB3045645/KB3048097 pour les versions restantes de Windows
    • Statut du code : supprimé à partir de la v3.5.0 ?
12. Auteur : dérivé de Leo Davidson
    • Type : piratage de DLL
    • Méthode : IFileOperation
    • Cible(s) : system32sysprepsysprep.exe
    • Composant(s) : dbgcore.dll
    • Implémentation : ucmStandardAutoElevation
    • Fonctionne à partir de : Windows 10 TH1 (10240)
    • Corrigé dans : Windows 10 TH2 (10565)
      • Comment : manifeste sysprep.exe mis à jour
    • Statut du code : supprimé à partir de la v3.5.0 ?
13. Auteur : dérivé de Leo Davidson
    • Type : piratage de DLL
    • Méthode : IFileOperation
    • Cible(s) : system32mmc.exe EventVwr.msc
    • Composant(s) : elext.dll
    • Implémentation : méthode ucmMMCM
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : Windows 10 RS1 (14316)
      • Comment : dépendance manquante supprimée
    • Statut du code : supprimé à partir de la v3.5.0 ?
14. Auteur : Leo Davidson, dérivé WinNT/Sirefef
    • Type : piratage de DLL
    • Méthode : IFileOperation
    • Cible(s) : systemcredwiz.exe, system32wbemoobe.exe
    • Composant(s) : netutils.dll
    • Implémentation : ucmSirefefMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : Windows 10 TH2 (10548)
      • Comment : renforcement du contrôle du chemin d'application élevé par AppInfo
    • Statut du code : supprimé à partir de la v3.5.0 ?
15. Auteur : Leo Davidson, Win32/Addrop, dérivé de Metasploit
    • Type : piratage de DLL
    • Méthode : IFileOperation
    • Cible(s) : system32cliconfg.exe
    • Composant(s) : ntwdblib.dll
    • Implémentation : ucmGenericAutoelevation
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : Windows 10 RS1 (14316)
      • Comment : suppression de l'élévation automatique de CLIconfg.exe
    • Statut du code : supprimé à partir de la v3.5.0 ?
16. Auteur : dérivé de Leo Davidson
    • Type : piratage de DLL
    • Méthode : IFileOperation
    • Cible(s) : system32GWXGWXUXWorker.exe, system32inetsrvinetmgr.exe
    • Composant(s) : SLC.dll
    • Implémentation : ucmGWX
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : Windows 10 RS1 (14316)
      • Comment : contrôle du chemin d'application élevé par AppInfo et renforcement des exécutables inetmgr
    • Statut du code : supprimé à partir de la v3.5.0 ?
17. Auteur : dérivé de Leo Davidson
    • Type : Dll Hijack (Transfert d’importation)
    • Méthode : IFileOperation
    • Cible(s) : system32sysprepsysprep.exe
    • Composant(s) : unbcl.dll
    • Implémentation : ucmStandardAutoElevation2
    • Fonctionne à partir de : Windows 8.1 (9600)
    • Corrigé dans : Windows 10 RS1 (14371)
      • Comment : manifeste sysprep.exe mis à jour
    • Statut du code : supprimé à partir de la v3.5.0 ?
18. Auteur : dérivé de Leo Davidson
    • Type : piratage de DLL (manifeste)
    • Méthode : IFileOperation
    • Cible(s) : system32taskhost.exe, system32tzsync.exe (tout exe ms sans manifeste)
    • Composant(s) : attaquant défini
    • Implémentation : ucmAutoElevateManifest
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : Windows 10 RS1 (14371)
      • Comment : révision de la logique d'analyse du manifeste
    • Statut du code : supprimé à partir de la v3.5.0 ?
19. Auteur : dérivé de Leo Davidson
    • Type : piratage de DLL
    • Méthode : IFileOperation
    • Cible(s) : system32inetsrvinetmgr.exe
    • Composant(s) : MsCoree.dll
    • Implémentation : ucInetMgrMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : Windows 10 RS1 (14376)
      • Comment : renforcement du manifeste exécutable inetmgr.exe, MitigationPolicy->ProcessImageLoadPolicy->PreferSystem32Images
    • Statut du code : supprimé à partir de la v3.5.0 ?
20. Auteur : dérivé de Leo Davidson
    • Type : piratage de DLL
    • Méthode : IFileOperation
    • Cible(s) : system32mmc.exe, Rsop.msc
    • Composant(s) : WbemComn.dll
    • Implémentation : méthode ucmMMCM
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : Windows 10 RS3 (16232)
      • Comment : Target nécessite que wbemcomn.dll soit signé par MS
    • Statut du code : supprimé à partir de la v3.5.0 ?
21. Auteur : dérivé de Leo Davidson
    • Type : piratage de DLL
    • Méthode : IFileOperation, SxS DotLocal
    • Cible(s) : system32sysprepsysprep.exe
    • Composant(s) : comctl32.dll
    • Implémentation : méthode ucmSXSMéthode
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : Windows 10 RS3 (16232)
      • Comment : MitigationPolicy->ProcessImageLoadPolicy->PreferSystem32Images
    • Statut du code : supprimé à partir de la v3.5.0 ?
22. Auteur : dérivé de Leo Davidson
    • Type : piratage de DLL
    • Méthode : IFileOperation, SxS DotLocal
    • Cible(s) : system32consent.exe
    • Composant(s) : comctl32.dll
    • Implémentation : méthode ucmSXSMéthode
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v2.5.0
23. Auteur : dérivé de Leo Davidson
    • Type : piratage de DLL
    • Méthode : IFileOperation
    • Cible(s) : system32pkgmgr.exe
    • Composant(s) : DismCore.dll
    • Implémentation : ucmDismMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v2.5.1
24. Auteur : BreakingMalware
    • Type : API Shell
    • Méthode : expansion des variables d'environnement
    • Cible(s) : system32CompMgmtLauncher.exe
    • Composant(s) : attaquant défini
    • Implémentation : ucmCometMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : Windows 10 RS2 (15031)
      • Comment : suppression automatique de l'élévation automatique de CompMgmtLauncher.exe
    • Statut du code : supprimé à partir de la v3.5.0 ?
25. Auteur : Enigma0x3
    • Type : API Shell
    • Méthode : manipulation de la clé de registre
    • Cible(s) : system32EventVwr.exe, system32CompMgmtLauncher.exe
    • Composant(s) : attaquant défini
    • Implémentation : ucmHijackShellCommandMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : Windows 10 RS2 (15031)
      • Comment : EventVwr.exe repensé, élévation automatique de CompMgmtLauncher.exe supprimée
    • Statut du code : supprimé à partir de la v3.5.0 ?
26. Auteur : Enigma0x3
    • Type : Condition de course
    • Méthode : écrasement du fichier
    • Cible(s) : %temp%GUIDdismhost.exe
    • Composant(s) : LogProvider.dll
    • Implémentation : ucmDiskCleanupRaceCondition
    • Fonctionne à partir de : Windows 10 TH1 (10240)
    • Compatible avec AlwaysNotify
    • Corrigé dans : Windows 10 RS2 (15031)
      • Comment : autorisations de sécurité des fichiers modifiées
    • Statut du code : supprimé à partir de la v3.5.0 ?
27. Auteur : ExpLife
    • Type : interface COM élevée
    • Méthode : IARPUninstallStringLauncher
    • Cible(s) : attaquant défini
    • Composant(s) : attaquant défini
    • Implémentation : ucmUninstallLauncherMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : Windows 10 RS3 (16199)
      • Comment : interface UninstallStringLauncher supprimée de COMAutoApprovalList
    • Statut du code : supprimé à partir de la v3.5.0 ?
28. Auteur : Exploit/Sandworm
    • Type : composant sur liste blanche
    • Méthode : InfDefaultInstall
    • Cible(s) : attaquant défini
    • Composant(s) : attaquant défini
    • Implémentation : ucmSandwormMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : Windows 8.1 (9600)
      • Comment : InfDefaultInstall.exe supprimé de g_lpAutoApproveEXEList (MS14-060)
    • Statut du code : supprimé à partir de la v3.5.0 ?
29. Auteur : Enigma0x3
    • Type : API Shell
    • Méthode : manipulation de la clé de registre
    • Cible(s) : system32sdclt.exe
    • Composant(s) : attaquant défini
    • Implémentation : ucmAppPathMethod
    • Fonctionne à partir de : Windows 10 TH1 (10240)
    • Corrigé dans : Windows 10 RS3 (16215)
      • Comment : mise à jour de l'API Shell
    • Statut du code : supprimé à partir de la v3.5.0 ?
30. Auteur : dérivé de Leo Davidson, lhc645
    • Type : piratage de DLL
    • Méthode : enregistreur WOW64
    • Cible(s) : syswow64{tout exe élevé, par exemple wusa.exe}
    • Composant(s) : wow64log.dll
    • Implémentation : ucmWow64LoggerMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v2.7.0
31. Auteur : Enigma0x3
    • Type : API Shell
    • Méthode : manipulation de la clé de registre
    • Cible(s) : system32sdclt.exe
    • Composant(s) : attaquant défini
    • Implémentation : ucmSdcltIsolatedCommandMethod
    • Fonctionne à partir de : Windows 10 TH1 (10240)
    • Corrigé dans : Windows 10 RS4 (17025)
      • Comment : Mise à jour de l'API Shell / des composants Windows
    • Statut du code : supprimé à partir de la v3.5.0 ?
32. Auteur : xi-tauw
    • Type : piratage de DLL
    • Méthode : contournement UIPI avec l'application uiAccess
    • Cible(s) : Program FilesWindows Media Playerosk.exe, system32EventVwr.exe, system32mmc.exe
    • Composant(s) : duser.dll, osksupport.dll
    • Implémentation : ucmUiAccessMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v2.7.1
33. Auteur : winscripting.blog
    • Type : API Shell
    • Méthode : manipulation de la clé de registre
    • Cible(s) : system32fodhelper.exe
    • Composant(s) : attaquant défini
    • Implémentation : ucmShellRegModMethod
    • Fonctionne à partir de : Windows 10 TH1 (10240)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v2.7.2
34. Auteur : James Forshaw
    • Type : API Shell
    • Méthode : expansion des variables d'environnement
    • Cible(s) : system32svchost.exe via system32schtasks.exe
    • Composant(s) : attaquant défini
    • Implémentation : ucmDiskCleanupEnvironmentVariable
    • Fonctionne à partir de : Windows 8.1 (9600)
    • Compatible avec AlwaysNotify
    • Corrigé dans : Windows 10 (patch Ninja silencieux, bulletin de sécurité présumé de mai 2023)
      • Comment : Mise à jour de l'API Shell / des composants Windows
    • Statut du code : ajouté dans la v2.7.2
35. Auteur : CIA et James Forshaw
    • Type : Usurpation d'identité
    • Méthode : manipulations de jetons
    • Cible(s) : Applications auto-élevées
    • Composant(s) : attaquant défini
    • Implémentation : ucmTokenModification
    • Fonctionne à partir de : Windows 7 (7600)
    • Compatible AlwaysNotify, voir note
    • Corrigé dans : Windows 10 RS5 (17686)
      • Comment : ntoskrnl.exe->SeTokenCanImpersonate vérification du jeton d'accès supplémentaire ajoutée
    • Statut du code : supprimé à partir de la v3.5.0 ?
36. Auteur : Thomas Vanhoutte alias SandboxEscaper
    • Type : Condition de course
    • Méthode : point d'analyse NTFS et détournement de DLL
    • Cible(s) : wusa.exe, pkgmgr.exe
    • Composant(s) : attaquant défini
    • Implémentation : ucmJunctionMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v2.7.4
37. Auteurs : Ernesto Fernández, Thomas Vanhoutte
    • Type : piratage de DLL
    • Méthode : SxS DotLocal, point d'analyse NTFS
    • Cible(s) : system32dccw.exe
    • Composant(s) : GdiPlus.dll
    • Implémentation : ucmSXSDccwMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v2.7.5
38. Auteur : Clément Rouault
    • Type : composant sur liste blanche
    • Méthode : usurpation d'identité de la ligne de commande APPINFO
    • Cible(s) : system32mmc.exe
    • Composant(s) : attaquant défini
    • Implémentation : ucmHakrilMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v2.7.6
39. Auteur : Stefan Kanthak
    • Type : piratage de DLL
    • Méthode : Profileur de code .NET
    • Cible(s) : system32mmc.exe
    • Composant(s) : attaquant défini
    • Implémentation : ucmCorProfilerMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v2.7.7
40. Auteur : Ruben Boonen
    • Type : piratage du gestionnaire COM
    • Méthode : manipulation de la clé de registre
    • Cible(s) : system32mmc.exe, system32recdisc.exe
    • Composant(s) : attaquant défini
    • Implémentation : ucmCOMHandlersMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : Windows 10 19H1 (18362)
      • Comment : effet secondaire des modifications de Windows
    • Statut du code : supprimé à partir de la v3.5.0 ?
41. Auteur : Oddvar Moe
    • Type : interface COM élevée
    • Méthode : ICMLuaUtil
    • Cible(s) : attaquant défini
    • Composant(s) : attaquant défini
    • Implémentation : ucmCMLuaUtilShellExecMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v2.7.9
42. Auteur : BreakingMalware et Enigma0x3
    • Type : interface COM élevée
    • Méthode : IFwCplLua
    • Cible(s) : attaquant défini
    • Composant(s) : attaquant défini
    • Implémentation : ucmFwCplLuaMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : Windows 10 RS4 (17134)
      • Comment : mise à jour de l'API Shell
    • Statut du code : supprimé à partir de la v3.5.0 ?
43. Auteur : Dérivé d'Oddvar Moe
    • Type : interface COM élevée
    • Méthode : IColorDataProxy, ICMLuaUtil
    • Cible(s) : attaquant défini
    • Composant(s) : attaquant défini
    • Implémentation : ucmDccwCOMMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v2.8.3
44. Auteur : bytecode77
    • Type : API Shell
    • Méthode : expansion des variables d'environnement
    • Cible(s) : plusieurs processus auto-élevés
    • Composant(s) : Divers par cible
    • Implémentation : ucmVolatileEnvMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : Windows 10 RS3 (16299)
      • Comment : variables du répertoire système de l'utilisateur actuel ignorées lors de la création du processus
    • Statut du code : supprimé à partir de la v3.5.0 ?
45. Auteur : bytecode77
    • Type : API Shell
    • Méthode : manipulation de la clé de registre
    • Cible(s) : system32slui.exe
    • Composant(s) : attaquant défini
    • Implémentation : ucmSluiHijackMethod
    • Fonctionne à partir de : Windows 8.1 (9600)
    • Corrigé dans : Windows 10 20H1 (19041)
      • Comment : effet secondaire des modifications de Windows
    • Statut du code : supprimé à partir de la v3.5.0 ?
46. Auteur : Anonyme
    • Type : Condition de course
    • Méthode : manipulation de la clé de registre
    • Cible(s) : system32BitlockerWizardElev.exe
    • Composant(s) : attaquant défini
    • Implémentation : ucmBitlockerRCMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : Windows 10 RS4 (>16 299)
      • Comment : mise à jour de l'API Shell
    • Statut du code : supprimé à partir de la v3.5.0 ?
47. Auteur : clavoillotte & 3gstudent
    • Type : piratage du gestionnaire COM
    • Méthode : manipulation de la clé de registre
    • Cible(s) : system32mmc.exe
    • Composant(s) : attaquant défini
    • Implémentation : ucmCOMHandlersMethod2
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : Windows 10 19H1 (18362)
      • Comment : effet secondaire des modifications de Windows
    • Statut du code : supprimé à partir de la v3.5.0 ?
48. Auteur : Deroko
    • Type : interface COM élevée
    • Méthode : ISPPLUAObject
    • Cible(s) : attaquant défini
    • Composant(s) : attaquant défini
    • Implémentation : ucmSPPLUAObjectMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : Windows 10 RS5 (17763)
      • Comment : la méthode d'interface ISPPLUAObject a été modifiée
    • Statut du code : supprimé à partir de la v3.5.0 ?
49. Auteur : RinN
    • Type : interface COM élevée
    • Méthode : ICreateNewLink
    • Cible(s) : system32TpmInit.exe
    • Composant(s) : WbemComn.dll
    • Implémentation : ucmCreateNewLinkMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : Windows 10 RS1 (14393)
      • Comment : effet secondaire de l’introduction de consent.exe COMAutoApprovalList
    • Statut du code : supprimé à partir de la v3.5.0 ?
50. Auteur : Anonyme
    • Type : interface COM élevée
    • Méthode : IDateTimeStateWrite, ISPPLUAObject
    • Cible(s) : service w32time
    • Composant(s) : w32time.dll
    • Implémentation : ucmDateTimeStateWriterMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : Windows 10 RS5 (17763)
      • Comment : effet secondaire du changement d’interface ISPPLUAObject
    • Statut du code : supprimé à partir de la v3.5.0 ?
51. Auteur : dérivé de bytecode77
    • Type : interface COM élevée
    • Méthode : IAccessibilityCplAdmin
    • Cible(s) : system32rstrui.exe
    • Composant(s) : attaquant défini
    • Implémentation : ucmAcCplAdminMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : Windows 10 RS4 (17134)
      • Comment : mise à jour de l'API Shell
    • Statut du code : supprimé à partir de la v3.5.0 ?
52. Auteur : David Wells
    • Type : composant sur liste blanche
    • Méthode : AipNormalizePath analysant les abus
    • Cible(s) : attaquant défini
    • Composant(s) : attaquant défini
    • Implémentation : ucmDirectoryMockMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v3.0.4
53. Auteur : Émeric Nasi
    • Type : API Shell
    • Méthode : manipulation de la clé de registre
    • Cible(s) : system32sdclt.exe
    • Composant(s) : attaquant défini
    • Implémentation : ucmShellRegModMethod
    • Fonctionne à partir de : Windows 10 (14393)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v3.1.3
54. Auteur : egre55
    • Type : piratage de DLL
    • Méthode : abus de recherche de chemin de DLL
    • Cible(s) : syswow64SystemPropertiesAdvanced.exe et autres SystemProperties*.exe
    • Composant(s) : AppDataLocalMicrosoftWindowsAppssrrstr.dll
    • Implémentation : méthode ucmEgre55
    • Fonctionne à partir de : Windows 10 (14393)
    • Corrigé dans : Windows 10 19H1 (18362)
      • Comment : SysDm.cpl!_CreateSystemRestorePage a été mis à jour pour l'appel de bibliothèque de chargement sécurisé
    • Statut du code : supprimé à partir de la v3.5.0 ?
55. Auteur : James Forshaw
    • Type : piratage d'interface graphique
    • Méthode : contournement UIPI avec modification du jeton
    • Cible(s) : system32osk.exe, system32msconfig.exe
    • Composant(s) : attaquant défini
    • Implémentation : ucmTokenModUIAccessMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v3.1.5
56. Auteur : Hashim Jawad
    • Type : API Shell
    • Méthode : manipulation de la clé de registre
    • Cible(s) : system32WSReset.exe
    • Composant(s) : attaquant défini
    • Implémentation : ucmShellRegModMethod2
    • Fonctionne à partir de : Windows 10 (17134)
    • Corrigé dans : Windows 11 (22000)
      • Comment : refonte des composants Windows
    • Statut du code : supprimé à partir de la v3.5.7 ?
57. Auteur : Leo Davidson dérivé par Win32/Gapz
    • Type : piratage de DLL
    • Méthode : IFileOperation
    • Cible(s) : system32sysprepsysprep.exe
    • Composant(s) : unattend.dll
    • Implémentation : ucmStandardAutoElevation
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : Windows 8.1 (9600)
      • Comment : sysprep.exe a renforcé les éléments du manifeste LoadFrom
    • Statut du code : supprimé à partir de la v3.5.0 ?
58. Auteur : RinN
    • Type : interface COM élevée
    • Méthode : IEditionUpgradeManager
    • Cible(s) : system32clipup.exe
    • Composant(s) : attaquant défini
    • Implémentation : ucmEditionUpgradeManagerMethod
    • Fonctionne à partir de : Windows 10 (14393)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v3.2.0
59. Auteur : James Forshaw
    • Tapez : AppInfo ALPC
    • Méthode : RAiLaunchAdminProcess et DebugObject
    • Cible(s) : attaquant défini
    • Composant(s) : attaquant défini
    • Implémentation : ucmDebugObjectMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v3.2.3
60. Auteur : dérivé Enigma0x3 par WinNT/Glupteba
    • Type : API Shell
    • Méthode : manipulation de la clé de registre
    • Cible(s) : system32CompMgmtLauncher.exe
    • Composant(s) : attaquant défini
    • Implémentation : méthode ucmGlupteba
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : Windows 10 RS2 (15063)
      • Comment : suppression automatique de l'élévation automatique de CompMgmtLauncher.exe
    • Statut du code : supprimé à partir de la v3.5.0 ?
61. Auteur : dérivé Enigma0x3/bytecode77 par Nassim Asrir
    • Type : API Shell
    • Méthode : manipulation de la clé de registre
    • Cible(s) : system32slui.exe, system32changepk.exe
    • Composant(s) : attaquant défini
    • Implémentation : ucmShellRegModMethod
    • Fonctionne à partir de : Windows 10 (14393)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v3.2.5
62. Auteur : winscripting.blog
    • Type : API Shell
    • Méthode : manipulation de la clé de registre
    • Cible(s) : system32computerdefaults.exe
    • Composant(s) : attaquant défini
    • Implémentation : ucmShellRegModMethod
    • Fonctionne à partir de : Windows 10 RS4 (17134)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v3.2.6
63. Auteur : Arush Agarampur
    • Type : piratage de DLL
    • Méthode : ISecurityEditor
    • Cible(s) : éléments du cache d'images natif
    • Composant(s) : attaquant défini
    • Implémentation : ucmNICPoisonMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v3.2.7
64. Auteur : Arush Agarampur
    • Type : interface COM élevée
    • Méthode : IIEAxiAdminInstaller, IIEAxiInstaller2, IFileOperation
    • Cible(s) : cache d'installation du module complémentaire IE
    • Composant(s) : attaquant défini
    • Implémentation : ucmIeAddOnInstallMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v3.5.1
65. Auteur : Arush Agarampur
    • Type : interface COM élevée
    • Méthode : IWscAdmin
    • Cible(s) : détournement du protocole Shell
    • Composant(s) : attaquant défini
    • Implémentation : ucmWscActionProtocolMethod
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : Windows 11 24H2 (26100)
      • Comment : effet secondaire des modifications de Windows
    • Statut du code : ajouté dans la v3.5.2
66. Auteur : Arush Agarampur
    • Type : interface COM élevée
    • Méthode : IFwCplLua, détournement du protocole Shell
    • Cible(s) : entrée de registre du protocole Shell et variables d'environnement
    • Composant(s) : attaquant défini
    • Implémentation : ucmFwCplLuaMethod2
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : Windows 11 24H2 (26100)
      • Comment : effet secondaire des modifications de Windows
    • Statut du code : ajouté dans la v3.5.3
67. Auteur : Arush Agarampur
    • Type : API Shell
    • Méthode : détournement du protocole Shell
    • Cible(s) : system32fodhelper.exe
    • Composant(s) : attaquant défini
    • Implémentation : ucmMsSettingsProtocolMethod
    • Fonctionne à partir de : Windows 10 TH1 (10240)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v3.5.4
68. Auteur : Arush Agarampur
    • Type : API Shell
    • Méthode : détournement du protocole Shell
    • Cible(s) : system32wsreset.exe
    • Composant(s) : attaquant défini
    • Implémentation : ucmMsStoreProtocolMethod
    • Fonctionne à partir de : Windows 10 RS5 (17763)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v3.5.5
69. Auteur : Arush Agarampur
    • Type : API Shell
    • Méthode : extension des variables d'environnement, piratage de Dll
    • Cible(s) : system32taskhostw.exe
    • Composant(s) : pcadm.dll
    • Implémentation : méthode ucmPca
    • Fonctionne à partir de : Windows 7 (7600)
    • Compatible avec AlwaysNotify
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v3.5.6
70. Auteur : V3ded
    • Type : API Shell
    • Méthode : manipulation de la clé de registre
    • Cible(s) : system32fodhelper.exe, system32computerdefaults.exe
    • Composant(s) : attaquant défini
    • Implémentation : ucmShellRegModMethod3
    • Fonctionne à partir de : Windows 10 (10240)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v3.5.7
71. Auteur : Arush Agarampur
    • Type : piratage de DLL
    • Méthode : ISecurityEditor
    • Cible(s) : éléments du cache d'images natif
    • Composant(s) : attaquant défini
    • Implémentation : ucmNICPoisonMethod2
    • Fonctionne à partir de : Windows 7 RTM (7600)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v3.5.8
72. Auteur : Émeric Nasi
    • Type : piratage de DLL
    • Méthode : abus de recherche de chemin de DLL
    • Cible(s) : syswow64msdt.exe, system32sdiagnhost.exe
    • Composant(s) : BluetoothDiagnosticUtil.dll
    • Implémentation : ucmMsdtMethod
    • Fonctionne à partir de : Windows 10 (10240)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v3.5.9
73. Auteur : orange_8361 et antonioCoco
    • Type : API Shell
    • Méthode : désérialisation .NET
    • Cible(s) : system32mmc.exe EventVwr.msc
    • Composant(s) : attaquant défini
    • Implémentation : ucmDotNetSerialMethod
    • Fonctionne à partir de : Windows 7 RTM (7600)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v3.6.0
74. Auteur : zcgonvh
    • Type : interface COM élevée
    • Méthode : IElevatedFactoryServer
    • Cible(s) : attaquant défini
    • Composant(s) : attaquant défini
    • Implémentation : ucmVFServerTaskSchedMethod
    • Fonctionne à partir de : Windows 8.1 (9600)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v3.6.1
75. Auteur : dérivé de zcgonvh par Wh04m1001
    • Type : interface COM élevée
    • Méthode : IDiagnosticProfile
    • Cible(s) : attaquant défini
    • Composant(s) : attaquant défini
    • Implémentation : ucmVFServerDiagProfileMethod
    • Fonctionne à partir de : Windows 7 RTM (7600)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v3.6.2
76. Auteur : HackerHouse
    • Type : piratage de DLL
    • Méthode : abus de recherche de chemin de Dll, manipulation de clé de registre
    • Cible(s) : syswow64iscsicpl.exe
    • Composant(s) : iscsiex.dll
    • Implémentation : ucmIscsiCplMethod
    • Fonctionne à partir de : Windows 7 RTM (7600)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v3.6.3
77. Auteur : Arush Agarampur
    • Type : piratage de DLL
    • Méthode : IFileOperation
    • Cible(s) : system32mmc.exe
    • Composant(s) : atl.dll
    • Implémentation : ucmAtlHijackMethod
    • Fonctionne à partir de : Windows 7 RTM (7600)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v3.6.4
78. Auteur : AntonioCoco
    • Type : Usurpation d'identité
    • Méthode : Datagramme SSPI
    • Cible(s) : attaquant défini
    • Composant(s) : attaquant défini
    • Implémentation : ucmSspiDatagramMethod
    • Fonctionne à partir de : Windows 7 RTM (7600)
    • Compatible avec AlwaysNotify
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v3.6.5
79. Auteurs : James Forshaw et Stefan Kanthak
    • Type : piratage d'interface graphique
    • Méthode : contournement UIPI avec modification du jeton
    • Cible(s) : system32osk.exe, system32mmc.exe
    • Composant(s) : attaquant défini
    • Implémentation : ucmTokenModUIAccessMethod2
    • Fonctionne à partir de : Windows 7 (7600)
    • Corrigé dans : non corrigé ?
      • Comment: -
    • Statut du code : ajouté dans la v3.6.6

Note:

• Méthode (30) (63) et ultérieure implémentée uniquement en version x64 ;
• La méthode (30) nécessite x64 car elle abuse de la fonctionnalité du sous-système WOW64 ;
• La méthode (55) n'est pas vraiment fiable (comme n'importe quel hack GUI) et est incluse juste pour le plaisir ;
• La méthode (78) exige que le mot de passe du compte utilisateur actuel ne soit pas vide.

Exemples d'exécution :

• akagi32.exe 23
• akagi64.exe 61
• akagi32 23 c:windowssystem32calc.exe
• akagi64 61 c:windowssystem32charmap.exe

Avertissement

• Cet outil montre UNIQUEMENT la méthode de contournement UAC populaire utilisée par les logiciels malveillants et réimplémente certaines d'entre elles d'une manière différente en améliorant les concepts originaux. Il existe différentes méthodes, encore méconnues du grand public. Soyez-en conscient ;
• Cet outil n'est pas destiné aux tests audiovisuels et n'a pas été testé pour fonctionner dans un environnement audiovisuel agressif. Si vous envisagez toujours de l'utiliser avec le logiciel audiovisuel bloatware installé, utilisez-le à vos propres risques ;
• Certains antivirus peuvent signaler cet outil comme HackTool, MSE/WinDefender le marque constamment comme malware, non ;
• Si vous exécutez ce programme sur un ordinateur réel, n'oubliez pas de supprimer tous les restes du programme après utilisation. Pour plus d'informations sur les fichiers qu'il dépose dans les dossiers système, consultez le code source ;
• La plupart des méthodes ont été créées pour x64, sans prise en charge de x86-32. Je ne vois aucun sens à prendre en charge les versions 32 bits de Windows ou de wow64, mais avec de petits ajustements, la plupart d'entre elles fonctionneront également sous wow64.

Si vous vous demandez pourquoi cela existe toujours et fonctionne - voici l'explication - un WHITEFLAG officiel de Microsoft (comprenant des déclarations totalement incompétentes en bonus) https://devblogs.microsoft.com/oldnewthing/20160816-00/?p=94105

Politique de support et de test de Windows 10

• UACMe testé uniquement avec les variantes LSTB/LTSC (1607/1809) et les dernières versions RTM-1, par exemple si la version actuelle est 2004, elle sera testée sur 2004 (19041) et la version précédente 1909 (18363) ;
• Les builds Insider ne sont pas prises en charge car les méthodes peuvent y être corrigées.

Protection

• Compte sans privilèges administratifs.

Utilisation de logiciels malveillants

• Nous n'assumons aucune responsabilité quant à l'utilisation de cet outil à des fins malveillantes. Il est gratuit, open source et fourni tel quel pour tout le monde.

Autre utilisation

• Actuellement utilisé comme « signature » par le scanner « THOR APT » (logiciel frauduleux de correspondance de modèles fabriqué à la main en provenance d'Allemagne). Nous n'assumons aucune responsabilité quant à l'utilisation de cet outil dans le logiciel frauduleux ;
• Le référentiel https://github.com/hfiref0x/UACME et son contenu sont la seule véritable source de code UACMe. Nous n'avons rien à voir avec les liens externes vers ce projet, les mentions n'importe où ainsi que les modifications (forks) ;
• En juillet 2016, la soi-disant « société de sécurité » Cymmetria a publié un rapport sur un ensemble de logiciels malveillants script-kiddie appelé « Patchwork » et l'a faussement signalé comme APT. Ils ont déclaré qu'il utilisait la "méthode UACME", qui est en fait une DLL d'injecteur légèrement et non professionnellement modifiée de UACMe v1.9 et utilisait la méthode hybride Carberp/Pitou de manière auto-implémentée par un logiciel malveillant. Nous n'assumons aucune responsabilité quant à l'utilisation d'UACMe dans les campagnes publicitaires douteuses de "sociétés de sécurité" tierces.

Construire

• UACMe est livré avec un code source complet, écrit en C ;
• Pour créer à partir des sources, vous avez besoin de Microsoft Visual Studio 2019 et des versions ultérieures.

Binaires compilés

• Ils ne sont plus fournis depuis la version 2.8.9 et ne le seront plus jamais à l'avenir. Les raisons (et pourquoi vous aussi ne devriez pas les divulguer au grand public) :
  • Si vous regardez ce projet en un mot, il s'agit d'un HackTool, malgré l'objectif initial d'être un démonstrateur. Bien sûr, plusieurs antivirus le détectent comme HackTool (MS WD par exemple), mais la plupart des patients de VirusTotal le détectent comme un « malware » générique. Ce qui est bien sûr incorrect, mais malheureusement, certains auteurs de logiciels malveillants paresseux copient et collent aveuglément du code dans leur crapware (ou même utilisent simplement cet outil directement), ainsi certains antivirus ont créé des signatures basées sur des parties du code du projet ;
  • En donnant des fichiers binaires compilés à tout le monde, vous facilitez grandement la vie des script-kiddies, car le fait d'avoir besoin de compiler à partir des sources constitue une barrière parfaite pour les script-kiddies exceptionnellement stupides et les "cliqueurs de boutons" ;
  • La compilation de fichiers binaires dans le référentiel conduira finalement à signaler les pages de ce référentiel comme malveillantes (pour les raisons ci-dessus) par divers filtres de contenu (SmartScreen, Google Safe Browsing, etc.).
• Cette décision est définitive et ne sera pas modifiée.

Instructions

• Sélectionnez d'abord Platform ToolSet pour le projet dans la solution que vous souhaitez créer (Projet-> Propriétés-> Général) :

  • v142 pour Visual Studio 2019 ;
  • v143 pour Visual Studio 2022.

• Pour la version 140 et supérieure, définissez la version de la plate-forme cible (Projet-> Propriétés-> Général) :

  • Si v140, sélectionnez 8.1 (notez que le SDK Windows 8.1 doit être installé) ;
  • Si v141 et supérieur, sélectionnez 10.

• Le SDK suivant est requis pour créer les binaires :

  • SDK Windows 8.1 ou Windows 10 (testé avec la version 19041)
  • NET Framework SDK (testé avec la version 4.8)

• Pour créer un binaire fonctionnel :

  • Compiler les unités de charge utile
  • Compiler le module Naka
  • Chiffrer toutes les unités de charge utile à l'aide du module Naka
  • Générez des blobs secrets pour ces unités à l'aide du module Naka
  • Déplacez les unités compilées et les blobs secrets vers le répertoire AkagiBin
  • Reconstruire Akagi

Références

• Liste blanche UAC Windows 7, http://www.pretentiousname.com/misc/win7_uac_whitelist2.html
• Cales de compatibilité des applications malveillantes, https://www.blackhat.com/docs/eu-15/materials/eu-15-Pierce-Defending-Against-Malicious-Application-Compatibility-Shims-wp.pdf
• Junfeng Zhang du blog de l'équipe de développement WinSxS, https://blogs.msdn.microsoft.com/junfeng/
• Au-delà de la bonne vieille clé Run, série d'articles, http://www.hexacorn.com/blog
• Fil de discussion KernelMode.Info UACMe, https://www.kernelmode.info/forum/viewtopicf985.html?f=11&t=3643
• Commande Injection/Élévation - Variables d'environnement revisitées, https://breakingmalware.com/vulnerabilities/command-injection-and-elevation-environment-variables-revisited
• Contournement UAC « sans fichier » à l'aide de eventvwr.exe et du piratage du registre, https://enigma0x3.net/2016/08/15/fileless-uac-bypass-using-eventvwr-exe-and-registry-hijacking/
• Contourner l'UAC sur Windows 10 à l'aide du nettoyage de disque, https://enigma0x3.net/2016/07/22/bypassing-uac-on-windows-10-using-disk-cleanup/
• Utilisation de l'interface IarpuninstallStringlauncher com pour contourner UAC, http://www.freebuf.com/articles/system/116611.html
• Contournant UAC à l'aide de chemins d'applications, https://enigma0x3.net/2017/03/14/BYPASSING-UAC-USING-App-Paths/
• Bypass "sans fidèle" UAC à l'aide de sdclt.exe, https://enigma0x3.net/2017/03/17/fileless-uac-bypass-using-sdclt-exe/
• Typass ou histoire UAC sur trois escalades, https://habrahabr.ru/company/pm/blog/328008/
• Exploiter les variables d'environnement dans les tâches prévues pour le contournement de l'UAC, https://tyranidslair.blogspot.ru/2017/05/Exploiting-environment-variables-in.html
• Première entrée: Bypass UAC de bienvenue et inférieure, https://winscripting.blog/2017/05/12/first-entry-welcome-and-uac-bypass/
• Lire votre chemin dans l'UAC en 3 parties:
  1. https://tyranidslair.blogspot.ru/2017/05/reading-your-way-around-uac-part-1.html
  2. https://tyranidslair.blogspot.ru/2017/05/reading-your-way-around-uac-part-2.html
  3. https://tyranidslair.blogspot.ru/2017/05/reading-your-way-around-uac-part-3.html
• Recherche sur cmstp.exe, https://msitpros.com/?p=3960
• Contournement UAC via des applications .NET élevées, https://offsec.provadys.com/uac-bypass-dotnet.html
• Contournement de l'UAC par des répertoires de confiance moqueurs, https://medium.com/tenable-techblog/uac-bypass-by-mocking-trusted-directries-24a96675f6e
• Encore une autre contournement SDCLT UAC, http://blog.sevagas.com/?yet-another-sdclt-uac-sbypass
• Contournement UAC via SystemPropertiesAdvanced.exe et DLL Rijacking, https://egre55.github.io/system-properties-uac-bypass/
• Accès aux jetons d'accès pour Uiaccess, https://tyranidslair.blogspot.com/2019/02/accessing-access-tokens-for-uiiaccess.html
• Bypass UAC sans fidèle dans Windows Store Binary, https://www.activecyber.us/1/post/2019/03/windows-uac-bypass.html
• Appel local Windows RPC serveurs de .net, https://googleprojectzero.blogspot.com/2019/12/calling-local-windows-rpc-servers-from.html
• Microsoft Windows 10 UAC BYPASS LOCAL PRIVILEGE ESCALAGE EXPLOIR, https://packetstormsecurity.com/files/155927/microsoft-windows-10-local-privilege-escalal.html
• UACME 3.5, WD et les manières d'atténuation, https://swapcontext.blogspot.com/2020/10/UACME-35-WD-and-ways-of--sitigation.html
• UAC contourne de comautoapprovallist, https://swapcontext.blogspot.com/2020/11/uac-bypasses-from-comautoapprovallist.html
• Utilisation d'identifiants programmatiques (progides) pour les contournement de l'UAC, https://v3ded.github.io/redteam/utilizing-programmatic-identifiants-progids-for-uac-bypasses
• MSDT DLL HIJACK UAC BYPASS, https://blog.sevagas.com/?msdt-dll-hijack-uac-cypass
• Bypass UAC via la vulnérabilité de désérialisation .NET dans eventvwr.exe, https://twitter.com/orange_8361/status/1518970259868626944
• Advanced Windows Task Task Scheduler PlayBook - Part.2 de COM à UAC BYPASS ET GET SYSTÈME directement, http://www.zcgonvh.com/post/advanced_windows_task_scheduler_tlaybook-part
• Contournant UAC avec des contextes de datagramme SSPI, https://spplintercod3.blogspot.com/p/bypassing-uac-with-sspi-datagram.html
• Imatisez certains exploits pour Windows'® UAC, https://skanthak.hier-im-netz.de/uacamole.html

Auteurs

c) 2014 - 2024 Projet UACME