Download UACME - Download do código-fonte UACME

UACMe

Derrotar o controle de conta de usuário do Windows abusando do backdoor interno do Windows AutoElevate.

Requisitos do sistema

x86-32/x64 Windows 7/8/8.1/10/11 (cliente, alguns métodos também funcionam na versão do servidor).
É necessária uma conta de administrador com UAC definida nas configurações padrão.

Uso

Execute o executável na linha de comando: akagi32 [Key] [Param] ou akagi64 [Key] [Param]. Consulte "Exemplos de execução" abaixo para obter mais informações.

O primeiro parâmetro é o número do método a ser usado, o segundo é o comando opcional (nome do arquivo executável incluindo o caminho completo) a ser executado. O segundo parâmetro pode estar vazio - neste caso, o programa executará cmd.exe elevado da pasta system32.

Nota : Desde a versão 3.5.0, todos os métodos "corrigidos" são considerados obsoletos e removidos completamente com todos os códigos/unidades de suporte. Se você ainda precisar deles - use o branch v3.2.x

Chaves (clique para expandir/recolher)

Autor: Leo Davidson
- Tipo: Sequestro de DLL
- Método: IFileOperation
- Destino(s): system32sysprepsysprep.exe
- Componente(s): cryptobase.dll
- Implementação: ucmStandardAutoElevation
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 8.1 (9600)
  - Como: elementos de manifesto LoadFrom reforçados com sysprep.exe
- Status do código: removido a partir da v3.5.0?
Autor: Leo Davidson derivado
- Tipo: Sequestro de DLL
- Método: IFileOperation
- Destino(s): system32sysprepsysprep.exe
- Componente(s): ShCore.dll
- Implementação: ucmStandardAutoElevation
- Funciona em: Windows 8.1 (9600)
- Corrigido em: Windows 10 TP (> 9600)
  - Como: Efeito colateral da mudança de ShCore.dll para KnownDlls
- Status do código: removido a partir da v3.5.0?
Autor: Leo Davidson derivado de WinNT/Pitou
- Tipo: Sequestro de DLL
- Método: IFileOperation
- Destino(s): system32oobesetupsqm.exe
- Componente(s): WdsCore.dll
- Implementação: ucmStandardAutoElevation
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 10 TH2 (10558)
  - Como: efeito colateral do redesenho OOBE
- Status do código: removido a partir da v3.5.0?
Autor: Jon Ericson, WinNT/Gootkit, mzH
- Tipo: AppCompat
- Método: RedirectEXE Shim
- Alvo(s): system32cliconfg.exe
- Componente(s): -
- Implementação: ucmShimRedirectEXE
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 10 TP (> 9600)
  - Como: Elevação automática Sdbinst.exe removida, KB3045645/KB3048097 para versões restantes do Windows
- Status do código: removido a partir da v3.5.0?
Autor: WinNT/Simda
- Tipo: interface COM elevada
- Método: ISecurityEditor
- Alvo(s): chaves de registro HKLM
- Componente(s): -
- Implementação: ucmSimdaTurnOffUac
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 10 TH1 (10147)
  - Como: Método de interface ISecurityEditor alterado
- Status do código: removido a partir da v3.5.0?
Autor: Win32/Carberp
- Tipo: Sequestro de DLL
- Método: WUSA
- Alvo(s): ehomemcx2prov.exe, system32migwizmigwiz.exe
- Componente(s): WdsCore.dll, CryptBase.dll, CryptSP.dll
- Implementação: ucmWusaMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 10 TH1 (10147)
  - Como: opção WUSA /extract removida
- Status do código: removido a partir da v3.5.0?
Autor: Derivado Win32/Carberp
- Tipo: Sequestro de DLL
- Método: WUSA
- Alvo(s): system32cliconfg.exe
- Componente(s): ntwdblib.dll
- Implementação: ucmWusaMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 10 TH1 (10147)
  - Como: opção WUSA /extract removida
- Status do código: removido a partir da v3.5.0?
Autor: Leo Davidson derivado de Win32/Tilon
- Tipo: Sequestro de DLL
- Método: IFileOperation
- Destino(s): system32sysprepsysprep.exe
- Componente(s): Actionqueue.dll
- Implementação: ucmStandardAutoElevation
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 8.1 (9600)
  - Como: manifesto LoadFrom reforçado com sysprep.exe
- Status do código: removido a partir da v3.5.0?
Autor: Leo Davidson, WinNT/Simda, derivado Win32/Carberp
- Tipo: Sequestro de DLL
- Método: IFileOperation, ISecurityEditor, WUSA
- Alvo(s): chaves de registro IFEO, system32cliconfg.exe
- Componente(s): DLL do verificador de aplicativo definido pelo invasor
- Implementação: ucmAvrfMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 10 TH1 (10147)
  - Como: opção WUSA /extract removida, método de interface ISecurityEditor alterado
- Status do código: removido a partir da v3.5.0?
Autor: WinNT/Pitou, derivado Win32/Carberp
- Tipo: Sequestro de DLL
- Método: IFileOperation, WUSA
- Destino(s): system32{Novo}ou{Existente}{autoelevated}.exe, por exemplo, winsat.exe
- Componente(s): dll definida pelo invasor, por exemplo, PowProf.dll, DevObj.dll
- Implementação: ucmWinSATMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 10 TH2 (10548)
  - Como: fortalecimento do controle de caminho de aplicativo elevado do AppInfo
- Status do código: removido a partir da v3.5.0?
Autor: Jon Ericson, WinNT/Gootkit, mzH
- Tipo: AppCompat
- Método: patch de memória Shim
- Alvo(s): system32iscsicli.exe
- Componente(s): shellcode preparado pelo invasor
- Implementação: ucmShimPatch
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 8.1 (9600)
  - Como: Elevação automática Sdbinst.exe removida, KB3045645/KB3048097 para versões restantes do Windows
- Status do código: removido a partir da v3.5.0?
Autor: Leo Davidson derivado
- Tipo: Sequestro de DLL
- Método: IFileOperation
- Destino(s): system32sysprepsysprep.exe
- Componente(s): dbgcore.dll
- Implementação: ucmStandardAutoElevation
- Funciona em: Windows 10 TH1 (10240)
- Corrigido em: Windows 10 TH2 (10565)
  - Como: manifesto sysprep.exe atualizado
- Status do código: removido a partir da v3.5.0?
Autor: Leo Davidson derivado
- Tipo: Sequestro de DLL
- Método: IFileOperation
- Destino(s): system32mmc.exe EventVwr.msc
- Componente(s): elsext.dll
- Implementação: ucmMMCMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 10 RS1 (14316)
  - Como: Dependência ausente removida
- Status do código: removido a partir da v3.5.0?
Autor: Leo Davidson, derivado WinNT/Sirefef
- Tipo: Sequestro de DLL
- Método: IFileOperation
- Alvo(s): systemcredwiz.exe, system32wbemoobe.exe
- Componente(s): netutils.dll
- Implementação: ucmSirefefMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 10 TH2 (10548)
  - Como: fortalecimento do controle de caminho de aplicativo elevado do AppInfo
- Status do código: removido a partir da v3.5.0?
Autor: Leo Davidson, Win32/Addrop, derivado do Metasploit
- Tipo: Sequestro de DLL
- Método: IFileOperation
- Alvo(s): system32cliconfg.exe
- Componente(s): ntwdblib.dll
- Implementação: ucmGenericAutoelevation
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 10 RS1 (14316)
  - Como: Elevação automática Cliconfg.exe removida
- Status do código: removido a partir da v3.5.0?
Autor: Leo Davidson derivado
- Tipo: Sequestro de DLL
- Método: IFileOperation
- Destino(s): system32GWXGWXUXWorker.exe, system32inetsrvinetmgr.exe
- Componente(s): SLC.dll
- Implementação: ucmGWX
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 10 RS1 (14316)
  - Como: controle elevado do caminho do aplicativo AppInfo e proteção do executável inetmgr
- Status do código: removido a partir da v3.5.0?
Autor: Leo Davidson derivado
- Tipo: DLL Hijack (encaminhamento de importação)
- Método: IFileOperation
- Destino(s): system32sysprepsysprep.exe
- Componente(s): unbcl.dll
- Implementação: ucmStandardAutoElevation2
- Funciona em: Windows 8.1 (9600)
- Corrigido em: Windows 10 RS1 (14371)
  - Como: manifesto sysprep.exe atualizado
- Status do código: removido a partir da v3.5.0?
Autor: Leo Davidson derivado
- Tipo: Sequestro de DLL (Manifesto)
- Método: IFileOperation
- Alvo(s): system32taskhost.exe, system32tzsync.exe (qualquer ms exe sem manifesto)
- Componente(s): atacante definido
- Implementação: ucmAutoElevateManifest
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 10 RS1 (14371)
  - Como: Lógica de análise de manifesto revisada
- Status do código: removido a partir da v3.5.0?
Autor: Leo Davidson derivado
- Tipo: Sequestro de DLL
- Método: IFileOperation
- Alvo(s): system32inetsrvinetmgr.exe
- Componente(s): MsCoree.dll
- Implementação: ucmInetMgrMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 10 RS1 (14376)
  - Como: proteção de manifesto executável inetmgr.exe, MitigationPolicy->ProcessImageLoadPolicy->PreferSystem32Images
- Status do código: removido a partir da v3.5.0?
Autor: Leo Davidson derivado
- Tipo: Sequestro de DLL
- Método: IFileOperation
- Destino(s): system32mmc.exe, Rsop.msc
- Componente(s): WbemComn.dll
- Implementação: ucmMMCMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 10 RS3 (16232)
  - Como: O Target requer que wbemcomn.dll seja assinado pela MS
- Status do código: removido a partir da v3.5.0?
Autor: Leo Davidson derivado
- Tipo: Sequestro de DLL
- Método: IFileOperation, SxS DotLocal
- Destino(s): system32sysprepsysprep.exe
- Componente(s): comctl32.dll
- Implementação: ucmSXSMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 10 RS3 (16232)
  - Como: MitigationPolicy->ProcessImageLoadPolicy->PreferSystem32Images
- Status do código: removido a partir da v3.5.0?
Autor: Leo Davidson derivado
- Tipo: Sequestro de DLL
- Método: IFileOperation, SxS DotLocal
- Alvo(s): system32consent.exe
- Componente(s): comctl32.dll
- Implementação: ucmSXSMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v2.5.0
Autor: Leo Davidson derivado
- Tipo: Sequestro de DLL
- Método: IFileOperation
- Alvo(s): system32pkgmgr.exe
- Componente(s): DismCore.dll
- Implementação: ucmDismMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v2.5.1
Autor: BreakingMalware
- Tipo: API Shell
- Método: Expansão de variáveis de ambiente
- Destino(s): system32CompMgmtLauncher.exe
- Componente(s): atacante definido
- Implementação: ucmCometMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 10 RS2 (15031)
  - Como: Elevação automática CompMgmtLauncher.exe removida
- Status do código: removido a partir da v3.5.0?
Autor: Enigma0x3
- Tipo: API Shell
- Método: manipulação de chave de registro
- Destino(s): system32EventVwr.exe, system32CompMgmtLauncher.exe
- Componente(s): atacante definido
- Implementação: ucmHijackShellCommandMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 10 RS2 (15031)
  - Como: EventVwr.exe redesenhado, elevação automática CompMgmtLauncher.exe removida
- Status do código: removido a partir da v3.5.0?
Autor: Enigma0x3
- Tipo: Condição de Corrida
- Método: sobrescrever arquivo
- Destino(s): %temp%GUIDdismhost.exe
- Componente(s): LogProvider.dll
- Implementação: ucmDiskCleanupRaceCondition
- Funciona em: Windows 10 TH1 (10240)
- Compatível com AlwaysNotify
- Corrigido em: Windows 10 RS2 (15031)
  - Como: Permissões de segurança de arquivos alteradas
- Status do código: removido a partir da v3.5.0?
Autor: ExpLife
- Tipo: interface COM elevada
- Método: IARPUninstallStringLauncher
- Alvo(s): Atacante definido
- Componente(s): atacante definido
- Implementação: ucmUninstallLauncherMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 10 RS3 (16199)
  - Como: Interface UninstallStringLauncher removida de COMAutoApprovalList
- Status do código: removido a partir da v3.5.0?
Autor: Exploit/Sandworm
- Tipo: componente na lista de permissões
- Método: InfDefaultInstall
- Alvo(s): Atacante definido
- Componente(s): atacante definido
- Implementação: ucmSandwormMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 8.1 (9600)
  - Como: InfDefaultInstall.exe removido de g_lpAutoApproveEXEList (MS14-060)
- Status do código: removido a partir da v3.5.0?
Autor: Enigma0x3
- Tipo: API Shell
- Método: manipulação de chave de registro
- Destino(s): system32sdclt.exe
- Componente(s): atacante definido
- Implementação: ucmAppPathMethod
- Funciona em: Windows 10 TH1 (10240)
- Corrigido em: Windows 10 RS3 (16215)
  - Como: Atualização da API Shell
- Status do código: removido a partir da v3.5.0?
Autor: derivado de Leo Davidson, lhc645
- Tipo: Sequestro de DLL
- Método: registrador WOW64
- Alvo(s): syswow64{qualquer exe elevado, por exemplo, wusa.exe}
- Componente(s): wow64log.dll
- Implementação: ucmWow64LoggerMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v2.7.0
Autor: Enigma0x3
- Tipo: API Shell
- Método: manipulação de chave de registro
- Destino(s): system32sdclt.exe
- Componente(s): atacante definido
- Implementação: ucmSdcltIsolatedCommandMethod
- Funciona em: Windows 10 TH1 (10240)
- Corrigido em: Windows 10 RS4 (17025)
  - Como: Atualização de componentes da API Shell/Windows
- Status do código: removido a partir da v3.5.0?
Autor: Xi-tauw
- Tipo: Sequestro de DLL
- Método: ignorar UIPI com aplicativo uiAccess
- Destino(s): Arquivos de ProgramasWindows Media Playerosk.exe, system32EventVwr.exe, system32mmc.exe
- Componente(s): duser.dll, osksupport.dll
- Implementação: ucmUiAccessMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v2.7.1
Autor: winscripting.blog
- Tipo: API Shell
- Método: manipulação de chave de registro
- Alvo(s): system32fodhelper.exe
- Componente(s): atacante definido
- Implementação: ucmShellRegModMethod
- Funciona em: Windows 10 TH1 (10240)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v2.7.2
Autor: James Forshaw
- Tipo: API Shell
- Método: Expansão de variáveis de ambiente
- Destino(s): system32svchost.exe via system32schtasks.exe
- Componente(s): atacante definido
- Implementação: ucmDiskCleanupEnvironmentVariable
- Funciona em: Windows 8.1 (9600)
- Compatível com AlwaysNotify
- Corrigido em: Windows 10 (patch ninja silencioso, presumível boletim de segurança de maio de 2023)
  - Como: Atualização de componentes da API Shell/Windows
- Status do código: adicionado na v2.7.2
Autor: CIA e James Forshaw
- Tipo: personificação
- Método: Manipulações de Token
- Alvo(s): Aplicativos autoelevados
- Componente(s): atacante definido
- Implementação: ucmTokenModification
- Funciona em: Windows 7 (7600)
- Compatível com AlwaysNotify, consulte a nota
- Corrigido em: Windows 10 RS5 (17686)
  - Como: ntoskrnl.exe->SeTokenCanImpersonate verificação de token de acesso adicional adicionada
- Status do código: removido a partir da v3.5.0?
Autor: Thomas Vanhoutte, também conhecido como SandboxEscaper
- Tipo: condição de corrida
- Método: ponto de nova análise NTFS e sequestro de DLL
- Alvo(s): wusa.exe, pkgmgr.exe
- Componente(s): atacante definido
- Implementação: ucmJunctionMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v2.7.4
Autor: Ernesto Fernandez, Thomas Vanhoutte
- Tipo: Sequestro de DLL
- Método: SxS DotLocal, ponto de nova análise NTFS
- Destino(s): system32dccw.exe
- Componente(s): GdiPlus.dll
- Implementação: ucmSXSDccwMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v2.7.5
Autor: Clément Rouault
- Tipo: componente na lista de permissões
- Método: falsificação de linha de comando APPINFO
- Destino(s): system32mmc.exe
- Componente(s): atacante definido
- Implementação: ucmHakrilMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v2.7.6
Autor: Stefan Kanthak
- Tipo: Sequestro de DLL
- Método: Perfilador de código .NET
- Destino(s): system32mmc.exe
- Componente(s): atacante definido
- Implementação: ucmCorProfilerMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v2.7.7
Autor: Ruben Boonen
- Tipo: sequestro de manipulador COM
- Método: manipulação de chave de registro
- Destino(s): system32mmc.exe, system32recdisc.exe
- Componente(s): atacante definido
- Implementação: ucmCOMHandlersMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 10 19H1 (18362)
  - Como: efeito colateral das alterações do Windows
- Status do código: removido a partir da v3.5.0?
Autor: Oddvar Moe
- Tipo: interface COM elevada
- Método: ICMLuaUtil
- Alvo(s): Atacante definido
- Componente(s): atacante definido
- Implementação: ucmCMLuaUtilShellExecMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v2.7.9
Autor: BreakingMalware e Enigma0x3
- Tipo: interface COM elevada
- Método: IFwCplLua
- Alvo(s): Atacante definido
- Componente(s): atacante definido
- Implementação: ucmFwCplLuaMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 10 RS4 (17134)
  - Como: Atualização da API Shell
- Status do código: removido a partir da v3.5.0?
Autor: derivado de Oddvar Moe
- Tipo: interface COM elevada
- Método: IColorDataProxy, ICMLuaUtil
- Alvo(s): Atacante definido
- Componente(s): atacante definido
- Implementação: ucmDccwCOMMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v2.8.3
Autor: bytecode77
- Tipo: API Shell
- Método: Expansão de variáveis de ambiente
- Alvo(s): Vários processos elevados automaticamente
- Componente(s): Vários por alvo
- Implementação: ucmVolatileEnvMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 10 RS3 (16299)
  - Como: Variáveis atuais do diretório do sistema do usuário ignoradas durante a criação do processo
- Status do código: removido a partir da v3.5.0?
Autor: bytecode77
- Tipo: API Shell
- Método: manipulação de chave de registro
- Alvo(s): system32slui.exe
- Componente(s): atacante definido
- Implementação: ucmSluiHijackMethod
- Funciona em: Windows 8.1 (9600)
- Corrigido em: Windows 10 20H1 (19041)
  - Como: efeito colateral das alterações do Windows
- Status do código: removido a partir da v3.5.0?
Autor: Anônimo
- Tipo: Condição de Corrida
- Método: manipulação de chave de registro
- Alvo(s): system32BitlockerWizardElev.exe
- Componente(s): atacante definido
- Implementação: ucmBitlockerRCMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 10 RS4 (>16299)
  - Como: Atualização da API Shell
- Status do código: removido a partir da v3.5.0?
Autor: clavoillotte & 3gstudent
- Tipo: sequestro de manipulador COM
- Método: manipulação de chave de registro
- Destino(s): system32mmc.exe
- Componente(s): atacante definido
- Implementação: ucmCOMHandlersMethod2
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 10 19H1 (18362)
  - Como: efeito colateral das alterações do Windows
- Status do código: removido a partir da v3.5.0?
Autor: deroko
- Tipo: interface COM elevada
- Método: ISPLUAObject
- Alvo(s): Atacante definido
- Componente(s): atacante definido
- Implementação: ucmSPPLUAObjectMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 10 RS5 (17763)
  - Como: Método de interface ISPPLUAObject alterado
- Status do código: removido a partir da v3.5.0?
Autor: RinN
- Tipo: interface COM elevada
- Método: ICreateNewLink
- Destino(s): system32TpmInit.exe
- Componente(s): WbemComn.dll
- Implementação: ucmCreateNewLinkMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 10 RS1 (14393)
  - Como: Efeito colateral da introdução do consent.exe COMAutoApprovalList
- Status do código: removido a partir da v3.5.0?
Autor: Anônimo
- Tipo: interface COM elevada
- Método: IDateTimeStateWrite, ISPLUAObject
- Alvo(s): serviço w32time
- Componente(s): w32time.dll
- Implementação: ucmDateTimeStateWriterMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 10 RS5 (17763)
  - Como: Efeito colateral da alteração da interface ISPLUAObject
- Status do código: removido a partir da v3.5.0?
Autor: derivado bytecode77
- Tipo: interface COM elevada
- Método: IAccessibilityCplAdmin
- Alvo(s): system32rstrui.exe
- Componente(s): atacante definido
- Implementação: ucmAcCplAdminMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 10 RS4 (17134)
  - Como: Atualização da API Shell
- Status do código: removido a partir da v3.5.0?
Autor: David Wells
- Tipo: componente na lista de permissões
- Método: abuso de análise de AipNormalizePath
- Alvo(s): Atacante definido
- Componente(s): atacante definido
- Implementação: ucmDirectoryMockMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v3.0.4
Autor: Emeric Nasi
- Tipo: API Shell
- Método: manipulação de chave de registro
- Destino(s): system32sdclt.exe
- Componente(s): atacante definido
- Implementação: ucmShellRegModMethod
- Funciona em: Windows 10 (14393)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v3.1.3
Autor: egre55
- Tipo: Sequestro de DLL
- Método: abuso de pesquisa de caminho DLL
- Destino(s): syswow64SystemPropertiesAdvanced.exe e outros SystemProperties*.exe
- Componente(s): AppDataLocalMicrosoftWindowsAppssrrstr.dll
- Implementação: ucmEgre55Method
- Funciona em: Windows 10 (14393)
- Corrigido em: Windows 10 19H1 (18362)
  - Como: SysDm.cpl!_CreateSystemRestorePage foi atualizado para chamada de biblioteca de carregamento seguro
- Status do código: removido a partir da v3.5.0?
Autor: James Forshaw
- Tipo: Hack de GUI
- Método: ignorar UIPI com modificação de token
- Destino(s): system32osk.exe, system32msconfig.exe
- Componente(s): atacante definido
- Implementação: ucmTokenModUIAccessMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v3.1.5
Autor: Hashim Jawad
- Tipo: API Shell
- Método: manipulação de chave de registro
- Destino(s): system32WSReset.exe
- Componente(s): atacante definido
- Implementação: ucmShellRegModMethod2
- Funciona em: Windows 10 (17134)
- Corrigido em: Windows 11 (22000)
  - Como: Redesenho dos componentes do Windows
- Status do código: removido a partir da v3.5.7?
Autor: Leo Davidson derivado de Win32/Gapz
- Tipo: Sequestro de DLL
- Método: IFileOperation
- Destino(s): system32sysprepsysprep.exe
- Componente(s): unattend.dll
- Implementação: ucmStandardAutoElevation
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 8.1 (9600)
  - Como: elementos de manifesto LoadFrom reforçados com sysprep.exe
- Status do código: removido a partir da v3.5.0?
Autor: RinN
- Tipo: interface COM elevada
- Método: IEditionUpgradeManager
- Alvo(s): system32clipup.exe
- Componente(s): atacante definido
- Implementação: ucmEditionUpgradeManagerMethod
- Funciona em: Windows 10 (14393)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v3.2.0
Autor: James Forshaw
- Tipo: AppInfo ALPC
- Método: RAiLaunchAdminProcess e DebugObject
- Alvo(s): Atacante definido
- Componente(s): atacante definido
- Implementação: ucmDebugObjectMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v3.2.3
Autor: Enigma0x3 derivado de WinNT/Glupteba
- Tipo: API Shell
- Método: manipulação de chave de registro
- Destino(s): system32CompMgmtLauncher.exe
- Componente(s): atacante definido
- Implementação: ucmGluptebaMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 10 RS2 (15063)
  - Como: Elevação automática CompMgmtLauncher.exe removida
- Status do código: removido a partir da v3.5.0?
Autor: Enigma0x3/bytecode77 derivado de Nassim Asrir
- Tipo: API Shell
- Método: manipulação de chave de registro
- Destino(s): system32slui.exe, system32changepk.exe
- Componente(s): atacante definido
- Implementação: ucmShellRegModMethod
- Funciona em: Windows 10 (14393)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v3.2.5
Autor: winscripting.blog
- Tipo: API Shell
- Método: manipulação de chave de registro
- Destino(s): system32computerdefaults.exe
- Componente(s): atacante definido
- Implementação: ucmShellRegModMethod
- Funciona em: Windows 10 RS4 (17134)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v3.2.6
Autor: Arush Agarampur
- Tipo: Sequestro de DLL
- Método: ISecurityEditor
- Alvo(s): elementos nativos do cache de imagens
- Componente(s): atacante definido
- Implementação: ucmNICPoisonMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v3.2.7
Autor: Arush Agarampur
- Tipo: interface COM elevada
- Método: IIEAxiAdminInstaller, IIEAxiInstaller2, IFileOperation
- Alvo(s): cache de instalação de complementos do IE
- Componente(s): atacante definido
- Implementação: ucmIeAddOnInstallMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v3.5.1
Autor: Arush Agarampur
- Tipo: interface COM elevada
- Método: IWscAdmin
- Alvo(s): Sequestro de Protocolo Shell
- Componente(s): atacante definido
- Implementação: ucmWscActionProtocolMethod
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 11 24H2 (26100)
  - Como: efeito colateral das alterações do Windows
- Status do código: adicionado na v3.5.2
Autor: Arush Agarampur
- Tipo: interface COM elevada
- Método: IFwCplLua, sequestro de protocolo Shell
- Alvo(s): entrada de registro do protocolo Shell e variáveis de ambiente
- Componente(s): atacante definido
- Implementação: ucmFwCplLuaMethod2
- Funciona em: Windows 7 (7600)
- Corrigido em: Windows 11 24H2 (26100)
  - Como: efeito colateral das alterações do Windows
- Status do código: adicionado na v3.5.3
Autor: Arush Agarampur
- Tipo: API Shell
- Método: sequestro de protocolo Shell
- Alvo(s): system32fodhelper.exe
- Componente(s): atacante definido
- Implementação: ucmMsSettingsProtocolMethod
- Funciona em: Windows 10 TH1 (10240)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v3.5.4
Autor: Arush Agarampur
- Tipo: API Shell
- Método: sequestro de protocolo Shell
- Destino(s): system32wsreset.exe
- Componente(s): atacante definido
- Implementação: ucmMsStoreProtocolMethod
- Funciona em: Windows 10 RS5 (17763)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v3.5.5
Autor: Arush Agarampur
- Tipo: API Shell
- Método: expansão de variáveis de ambiente, DLL Hijack
- Alvo(s): system32taskhostw.exe
- Componente(s): pcadm.dll
- Implementação: ucmPcaMethod
- Funciona em: Windows 7 (7600)
- Compatível com AlwaysNotify
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v3.5.6
Autor: V3ded
- Tipo: API Shell
- Método: manipulação de chave de registro
- Alvo(s): system32fodhelper.exe, system32computerdefaults.exe
- Componente(s): atacante definido
- Implementação: ucmShellRegModMethod3
- Funciona em: Windows 10 (10240)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v3.5.7
Autor: Arush Agarampur
- Tipo: Sequestro de DLL
- Método: ISecurityEditor
- Alvo(s): elementos nativos do cache de imagens
- Componente(s): atacante definido
- Implementação: ucmNICPoisonMethod2
- Funciona em: Windows 7 RTM (7600)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v3.5.8
Autor: Emeric Nasi
- Tipo: Sequestro de DLL
- Método: abuso de pesquisa de caminho DLL
- Alvo(s): syswow64msdt.exe, system32sdiagnhost.exe
- Componente(s): BluetoothDiagnosticUtil.dll
- Implementação: ucmMsdtMethod
- Funciona em: Windows 10 (10240)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v3.5.9
Autor: orange_8361 e antonioCoco
- Tipo: API Shell
- Método: desserialização .NET
- Destino(s): system32mmc.exe EventVwr.msc
- Componente(s): atacante definido
- Implementação: ucmDotNetSerialMethod
- Funciona em: Windows 7 RTM (7600)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v3.6.0
Autor: zcgonvh
- Tipo: interface COM elevada
- Método: IElevatedFactoryServer
- Alvo(s): Atacante definido
- Componente(s): atacante definido
- Implementação: ucmVFServerTaskSchedMethod
- Funciona em: Windows 8.1 (9600)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v3.6.1
Autor: derivado zcgonvh por Wh04m1001
- Tipo: interface COM elevada
- Método: IDiagnosticProfile
- Alvo(s): Atacante definido
- Componente(s): atacante definido
- Implementação: ucmVFServerDiagProfileMethod
- Funciona em: Windows 7 RTM (7600)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v3.6.2
Autor: HackerHouse
- Tipo: Sequestro de DLL
- Método: abuso de pesquisa de caminho DLL, manipulação de chave de registro
- Alvo(s):syswow64iscsicpl.exe
- Componente(s): iscsiexe.dll
- Implementação: ucmIscsiCplMethod
- Funciona em: Windows 7 RTM (7600)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v3.6.3
Autor: Arush Agarampur
- Tipo: Sequestro de DLL
- Método: IFileOperation
- Destino(s): system32mmc.exe
- Componente(s): atl.dll
- Implementação: ucmAtlHijackMethod
- Funciona em: Windows 7 RTM (7600)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v3.6.4
Autor: AntonioCoco
- Tipo: personificação
- Método: Datagrama SSPI
- Alvo(s): Atacante definido
- Componente(s): atacante definido
- Implementação: ucmSspiDatagramMethod
- Funciona em: Windows 7 RTM (7600)
- Compatível com AlwaysNotify
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v3.6.5
Autor: James Forshaw e Stefan Kanthak
- Tipo: Hack de GUI
- Método: ignorar UIPI com modificação de token
- Destino(s): system32osk.exe, system32mmc.exe
- Componente(s): atacante definido
- Implementação: ucmTokenModUIAccessMethod2
- Funciona em: Windows 7 (7600)
- Corrigido em: não corrigido?
  - Como: -
- Status do código: adicionado na v3.6.6

Observação:

Método (30) (63) e posteriormente implementado apenas na versão x64;
O método (30) requer x64 porque abusa do recurso do subsistema WOW64;
O método (55) não é realmente confiável (como qualquer hack de GUI) e foi incluído apenas por diversão;
O método (78) exige que a senha da conta do usuário atual não fique em branco.

Execute exemplos:

akagi32.exe 23
akagi64.exe 61
akagi32 23 c:windowssystem32calc.exe
akagi64 61 c:windowssystem32charmap.exe

Aviso

Esta ferramenta mostra SOMENTE o método popular de desvio de UAC usado por malware e reimplementa alguns deles de uma maneira diferente, melhorando os conceitos originais. Existem métodos diferentes, ainda não conhecidos do público em geral. Esteja ciente disso;
Esta ferramenta não se destina a testes AV e não foi testada para funcionar em ambientes AV agressivos. Se você ainda planeja usá-la com software AV bloatware instalado - use-o por sua própria conta e risco;
Alguns AV podem sinalizar esta ferramenta como HackTool, MSE/WinDefender a marca constantemente como malware, não;
Se você executar este programa em um computador real, lembre-se de remover todos os restos do programa após o uso. Para obter mais informações sobre os arquivos que ele coloca nas pastas do sistema, consulte o código-fonte;
A maioria dos métodos criados para x64, sem suporte a x86-32 em mente. Não vejo sentido em oferecer suporte a versões de 32 bits do Windows ou wow64, no entanto, com pequenos ajustes, a maioria deles também será executada no wow64.

Se você está se perguntando por que isso ainda existe e funciona - aqui está a explicação - um WHITEFLAG oficial da Microsoft (incluindo declarações totalmente incompetentes como bônus) https://devblogs.microsoft.com/oldnewthing/20160816-00/?p=94105

Política de suporte e testes do Windows 10

UACMe testado apenas com variantes LSTB/LTSC (1607/1809) e últimas versões RTM-1, por exemplo, se a versão atual for 2004, será testado em 2004 (19041) e na versão anterior 1909 (18363);
As compilações internas não são suportadas, pois os métodos podem ser corrigidos lá.

Proteção

Conta sem privilégios administrativos.

Uso de malware

Não assumimos qualquer responsabilidade pelo uso desta ferramenta para fins maliciosos. É gratuito, de código aberto e fornecido COMO ESTÁ para todos.

Outro uso

Atualmente usado como "assinatura" pelo scanner "THOR APT" (fraudeware de correspondência de padrões feitos à mão da Alemanha). Não assumimos qualquer responsabilidade pelo uso desta ferramenta no fraudware;
O repositório https://github.com/hfiref0x/UACME e seu conteúdo são a única fonte genuína para o código UACMe. Não temos nada a ver com links externos para este projeto, menções em qualquer lugar bem como modificações (garfos);
Em julho de 2016, a chamada "empresa de segurança" Cymmetria divulgou um relatório sobre o pacote de malware script-kiddie chamado "Patchwork" e sinalizou-o falsamente como APT. Eles afirmaram que estava usando o "método UACME", que na verdade é apenas uma dll injetora ligeiramente modificada e não profissionalmente do UACMe v1.9 e estava usando o método híbrido Carberp/Pitou de forma auto-implementada por malware. Não assumimos qualquer responsabilidade pelo uso do UACMe em campanhas publicitárias duvidosas de "empresas de segurança" terceirizadas.

Construir

UACMe vem com código-fonte completo, escrito em C;
Para construir a partir do código-fonte, você precisa do Microsoft Visual Studio 2019 e versões posteriores.

Binários compilados

Eles não são fornecidos desde 2.8.9 e nunca serão fornecidos no futuro. Os motivos (e por que você também não deve fornecê-los ao público em geral):
- Se você olhar este projeto em poucas palavras, ele é um HackTool, apesar do objetivo inicial ser um demonstrador. É claro que vários antivírus o detectam como HackTool (MS WD, por exemplo), porém a maioria dos pacientes do VirusTotal o detecta como "malware" genérico. O que é obviamente incorreto, no entanto, infelizmente, alguns criadores de malware preguiçosos copiam e colam cegamente o código em seu crapware (ou até mesmo usam essa ferramenta diretamente), portanto, alguns antivírus criaram assinaturas com base nas partes do código do projeto;
- Ao fornecer binários compilados a todos, você torna a vida dos script-kiddies muito mais fácil, porque a necessidade de compilar a partir do código-fonte funciona como uma barreira perfeita para script-kiddies excepcionalmente burros e "clicadores de botões";
- Ter binários compilados no repositório acabará por levar à sinalização das páginas deste repositório como maliciosas (devido aos motivos acima) por vários filtros de conteúdo (SmartScreen, Google Safe Browsing, etc.).
Esta decisão é final e não será alterada.

Instruções

Selecione Platform ToolSet primeiro para o projeto na solução que você deseja construir (Projeto->Propriedades->Geral):
- v142 para Visual Studio 2019;
- v143 para Visual Studio 2022.
Para v140 e superior, defina a versão da plataforma de destino (Projeto->Propriedades->Geral):
- Se for v140, selecione 8.1 (observe que o SDK do Windows 8.1 deve estar instalado);
- Se for v141 e superior, selecione 10.
O seguinte SDK é necessário para construir os binários:
- SDK do Windows 8.1 ou Windows 10 (testado com a versão 19041)
- NET Framework SDK (testado com versão 4.8)
Para construir um binário funcional:
- Compilar unidades de carga útil
- Compilar módulo Naka
- Criptografe todas as unidades de carga útil usando o módulo Naka
- Gere blobs secretos para essas unidades usando o módulo Naka
- Mova unidades compiladas e blobs secretos para o diretório AkagiBin
- Reconstruir Akagi

Referências

Lista de permissões UAC do Windows 7, http://www.pretentiousname.com/misc/win7_uac_whitelist2.html
Shims de compatibilidade de aplicativos maliciosos, https://www.blackhat.com/docs/eu-15/materials/eu-15-Pierce-Defending-Against-Malicious-Application-Compatibility-Shims-wp.pdf
Junfeng Zhang do blog da equipe de desenvolvimento WinSxS, https://blogs.msdn.microsoft.com/junfeng/
Além da boa e velha chave Run, série de artigos, http://www.hexacorn.com/blog
Tópico KernelMode.Info UACMe, https://www.kernelmode.info/forum/viewtopicf985.html?f=11&t=3643
Injeção/elevação de comando - Variáveis de ambiente revisitadas, https://breakingmalware.com/vulnerabilities/command-injection-and-elevation-environment-variables-revisited
Ignorar UAC "sem arquivo" usando eventvwr.exe e sequestro de registro, https://enigma0x3.net/2016/08/15/fileless-uac-bypass-using-eventvwr-exe-and-registry-hijacking/
Ignorando o UAC no Windows 10 usando a limpeza de disco, https://enigma0x3.net/2016/07/22/bypassing-uac-on-windows-10-using-disk-cleanup/
Usando a interface iarpuninstallstringlauncher com para ignorar o UAC, http://www.freebuf.com/articles/system/116611.html
Ignorando o UAC usando os caminhos do aplicativo, https://enigma0x3.net/2017/03/14/bypassing-uac-using-appp-paths/
Bypass UAC "FILOUST" usando sdclt.exe, https://enigma0x3.net/2017/03/17/fileless-uac-bypass-using-sdclt-exe/
UAC Bypass ou Story sobre três escalações, https://habrahabr.ru/company/pm/blog/328008/
Explorando variáveis do ambiente em tarefas programadas para o UAC Bypass, https://tyranidslair.blogspot.ru/2017/05/expleiting-environment-variables-in.html
Primeira entrada: Welcome and Fileless UAC Bypass, https://winscripting.blog/2017/05/12/first-entry-welcome-and-uac-bypass/
Lendo o seu caminho em torno do UAC em 3 partes:
1. https://tyranidslair.blogspot.ru/2017/05/reading-your-way-around-uac-part-1.html
2. https://tyranidslair.blogspot.ru/2017/05/reading-your-way-around-uac-part-2.html
3. https://tyranidslair.blogspot.ru/2017/05/reading-your-way-around-uac-part-3.html
Pesquisa em cmstp.exe, https://msitpros.com/?p=3960
UAC Bypass via Eleated .Net Applications, https://offsec.provadys.com/uac-bypass-dotnet.html
Bypass UAC por Mocking Trusted Directories, https://medium.com/tenable-techblog/uac-bypass-by-bock--bock-trusted-directories-24a96675f6e
Mais um desvio SDCLT UAC, http://blog.sevagas.com/?yet-another-sdclt-uac-bypass
UAC Bypass via SystemPropertiesadvanced.exe e DLL Hijacking, https://egre55.github.io/system-properties-uac-bypass/
Acessando tokens de acesso para uiaccess, https://tyranidslair.blogspot.com/2019/02/accessing-access-tokens-for-uiacess.html
Bypass UAC sem arquivo no Windows Store Binário, https://www.activecyber.us/1/post/2019/03/windows-uac-bypass.html
Chamando os servidores Windows RPC locais de .net, https://googleprojectzo.blogspot.com/2019/12/calling-local-windows-spc-servers-from.html
Microsoft Windows 10 UAC Bypass Local Privilege Escalation Explorit, https://packetstormsecurity.com/files/155927/microsoft-windows-10-local-privilege-escalation.html
UACME 3.5, WD e as formas de mitigação, https://swapcontext.blogspot.com/2020/10/uacme-35-wd-and-ways-of-mitigation.html
O UAC ignora o comautopprovallist, https://swapcontext.blogspot.com/2020/11/uac-bypasses-from-comautoaprovallist.html
Utilizando identificadores programáticos (progids) para o UAC Bypasses, https://v3ded.github.io/redteam/utilizing-programatic-identifiers-progids-for-uac-bypasses
MSDT DLL Hijack UAC Bypass, https://blog.sevagas.com/?msdt-dll-hijack-uac-bypass
UAC ignorando a vulnerabilidade do .NET em eventvwrw.exe, https://twitter.com/orange_8361/status/1518970259868626944
Playbook Avançado de Agendador de Tarefas do Windows - Part.2 De COM ao UAC Itassocusente e obtenção do sistema diretamente, http://www.zcgonvh.com/post/advanced_windows_task_scheduler_playbook--por.2_from_com_uac_bypys_and_systement_sirtretly.2_from_com_uac_bypsass_and_system
Ignorando o UAC com contextos de datagrama SSPI, https://splintercod3.blogspot.com/p/bypassing-uac-with-spi-datagram.html
Mitigar algumas façanhas para Windows'® UAC, https://skanthak.hier-im-netz.de/uacamole.html