UACBypass&ResearchwithUAC-A-Mola

PabloGonzálezPérez:pablo@11paths.comSantiagoHernándezRamos:santiago.hernandezramos@telefonica.com

ResumenEjecutivoUAC-A-Molaesunframeworkdiseñadoparainvestigar,detectar,explotarymitigarlasdebilidadesdenominadasbypassdeUAC.EstasdebilidadesseencuentranensistemasoperativosMicrosoftWindows.UAC-A-Molapermite automatizar ladeteccióndeunbypass UAC en una máquina Windows 7/8/8.1/10. UAC-A-Mola permite ejecutardiferentes módulos, personalizables, que permiten automatizar la investigación enbusca de bypasses de UAC basados, principalmente, en fileless y DLL Hijacking. Elframeworkpermite incluirmódulosorientadosa la investigaciónydeteccióndeotrotipo de bypasses. Además, UAC-A-Mola permite obtener una visión defensiva, paramitigarlosposiblesbypassesUACoperativosenelentornoWindows.UAC-A-MolaestáescritaenPythonyesunframeworkquepermiteextenderfuncionalidadesatravésdeunainterfazsencillayunsistemadecreacióndemódulos.

1. ConceptostécnicosElcontextodelainvestigación,diseñoeimplementacióndeunasoluciónautomatizadano se podría entender sin el entendimiento de algunos conceptos que rodean a lossistemasWindows. La solución de seguridadUAC,User Account Control, diseñada eimplementadaporMicrosoftconlaliberaciónypuestaenelmercadodelossistemasoperativosWindowsVistayWindowsServer2008marcóunhitoparalosusuariosdeestossistemasoperativos.EnesteapartadosedetallanquésonyquéaportanciertosconceptosquesedebenentenderantesdedetallaralgunasdelastécnicasdeataquecomunesparahacerunbypassdeUAC.Además,esnecesarioparaconocerlosconceptosqueenvuelvenalaherramientadiseñadae implementadaqueayudaa la investigación,detecciónya laautomatizacióndeestetipodedebilidadesdelossistemasWindows.1.1. UACEl UAC (User Account Control) es un mecanismo de seguridad implementado porMicrosoftensistemasWindowsconelobjetivodeayudaralosusuariosacontrolarlaautorizacióndelosprogramasquevanaejecutarseoloscambiosquesevanarealizarenelequipo.Atravésdeestemétodosepretendemitigarelimpactodelmalwareenelsistema.[1]Cada aplicación que requiera el token de administrador debemostrar una ventanapidiendoelconsentimiento.Solohayunaexcepción,losprocesoshijosheredaneltokende usuario del proceso padre. Cuando un usuario estándar intenta ejecutar unaaplicaciónquerequiereeltokendeaccesodeadministración,UACobligaalusuarioaintroducirunascredencialesdeadministraciónválidas.Por defecto, los usuarios estándar y los administradores acceden a los recursos yejecutanaplicacionesenelcontextodeseguridaddeunusuarioestándar.Cuandounusuarioselogeaenunordenador,elsistemacreauntokendeaccesoparaeseusuario.Eltokendeaccesocontieneinformaciónsobreelniveldepermisosdelosquedisponeelusuario.Cuandounadministradorseidentificasecreandostokensdeaccesodistintos,untokendeaccesoestándaryuntokendeaccesocomoadministrador.Eltokendeaccesodeusuarioesutilizadoparaejecutarquenorealizan tareasadministrativas.Tambiénesutilizadoparamostrarelescritorio(explorer.exe).Explorer.exeeselprocesopadredelcualtodoslosdemásprocesosiniciadosporlosusuariosheredansutokendeacceso.Comoresultado,todaslasaplicacionesseejecutancomousuarioestándaranoserqueseproporcioneconsentimientoocredencialesparapermitiraunaaplicaciónutilizareltokendeadministrador.Unusuario que esmiembrodel grupodeAdministradores puede autenticarse en elsistema,yejecutaraplicacionesutilizandoeltokendeusuarioestándar(sinprivilegios

elevados).Cuandonecesiterealizaunaacciónquerequiereeltokendeadministrador,Windowsautomáticamentemuestraunapantallasolicitandosuaprobación.Por defecto, cuando se instala un sistema operativo Windows, el primer usuariopertenecesalgrupoAdministrador.Estoimplica,queelUAC,mostraráunapantallaparasolicitarlaaprobacióncadavezquesedeseerealizarunatareaquerequieraeltokendeadministración,peronosolicitarálasclavesdelacuentadeadministrador.1.2. ManifestEl manifest es un fichero XML que se encuentra incrustado en el interior de unaaplicación. Este fichero especifica una serie de atributos sobre el binario al queacompaña.Unodeestosatributosimportantesparaestetrabajoes“autoElevate”,queindicalacapacidadquetieneelbinarioparaejecutarseconintegridadaltasinqueelusuario tenga que realizar ninguna acción adicional, como, por ejemplo, aceptar unmensajedeUAC.Unejemplodemanifesteselsiguiente:

Figura1:Ejemplodemanifest.xml1.3. BypassdeUACMicrosoft no contempla un bypass de UAC, User Account Control, como unavulnerabilidad, debido a que depende de la configuración que la característica deseguridadtengaencadamomento.ElconceptodebypassUACeslaconsecuciónporpartedeunusuario,quepertenecealgrupodeadministradores,delograrejecutarunprocesoocódigoconprivilegiosintener

quedarelconsentimientoalUAC.Enotraspalabras,cuandoseconsigueejecutarunprocesoqueelusuarioquiere,sinqueelUACproporcionelaaprobación.ParaqueunbypassdeUACsepuedallevaracabo,generalmente,setienenquecumplirunaseriedecondiciones:

• Elusuarioqueejecutaelprocesoqueseutilizaráparaelbypassdebe formarpartedelgrupoadministradores.

• LapolíticadelUACdebeestarejecutándose,generalmente,consuconfiguraciónpordefecto.

• Elbinarioqueseutilizarápara llevaracaboelbypassdebeestarfirmadoporMicrosoftytenerlaopcióndeAutoElevateatrue.Enestecaso,antelaejecucióndel UAC, con su configuración por defecto, el proceso se ejecutará y no sesolicitaráelconsentimientodelUAC.

Puedeexistircasosenlosquelascondicionescambien,perogeneralmente,elusuarioseencontraráconestoscasos.Eneldesarrollodeestetrabajosehanutilizadotécnicasbasadasenlautilizacióndeunproceso que está firmado por Microsoft y que en su manifest tiene el atributoAutoElevate a true. Si se consiguiera que ese binario se ejecutara y ejecutase otroproceso,estenuevoprocesoloharíaconelmismoniveldeintegridadomismoniveldeprivilegioqueelprocesoautoelevado.Lógicamente, este tipo de técnicas se utilizan en entornos de pentesting, aunquetambiénsehanlocalizadoencampañasdemalware.Elpentesterpuedeestarenremotoa travésdeunashellounmeterpreterenelequipo,por loque,si secumplieran lascondicionesanteriores,podríalograrejecutarcódigocomoSystemgraciasalbypassdeUAC.

2. TécnicasCadavezsonmáslastécnicasutilizadasparallevaracabounbypassdeUAC.EnestetrabajosemuestrandostécnicasdelasmásutilizadasypotentesparallevaracaboesteprocesodeevasióndeUACyconsecucióndeejecuciónconprivilegio.Paraentendermejorelusodelaherramientaylasposibilidadesparalainvestigación,detección, explotación y mitigación de las debilidades del UAC que ésta ofrece, sepresentanejemplosdetécnicasdebypassdeUAC.ElproyectoUACMe[2]ofreceunagran cantidad de información sobre diferentes métodos y técnicas empleadas paraaprovecharsedeunbypassdeUAC.2.1. DLLHijackingLatécnicadeDLLHIjackingconsisteenhacerun“secuestro”delaDLLconelobjetivodequeseejecute laque interesaaunatacante.Deestemodo,se logra laejecucióndecódigoporpartedeunproceso,sinserdichocódigoelqueesperabaelproceso.Este“secuestro”deDLLsepuedellevaracaboatravésdelasuplantaciónendiscodelaDLL

original,yaseaporquelaDLLessobrescritaoporquenoseencuentraenlaubicaciónesperada.EstatécnicapermiteevitarlaejecucióndelUACcuandoelprocesoqueejecutarálaDLLesunbinariofirmadoporMicrosoftyquetieneelatributo“autoElevate”delmanifestatrue.ConunapolíticapordefectodeUACenWindows,eseprocesoseejecutaríaenuncontextoelevadosinlasolicituddeconsentimientodelUAC.Enestepunto,elcódigocargadodelaDLLporelprocesoseejecutaríaconelmismoniveldeintegridad,esdecir,alto.2.1.1. BypassUAC:DLLHijackingenCompMgmtLauncher.exeParaejemplificarlatécnicadeDLLHijackingseutilizaráuncasocercanoanosotros[3].EstecasoesfuncionalenWindows7,8y8.1.Enprimerlugar,sisevisualizaelmanifestdelbinarioCompMgmtLauncher.exe,porejemplo,conlaherramientasigcheck.exeseobservaqueel“autoElevate”estáatrue.Estoquieredecirqueelbinario,cuandoseejecutecomoadministrador,seejecutaráconprivilegio,enuncontextodeintegridadaltoysinsolicitarelconsentimientodeUAC.

Figura2:VisualizacióndemanifestenCompMgmtLauncher.exeLasherramientascomoProcMonpermitenobservar la integridaddeejecucióndelosprocesos en el sistema. Se puede observar con ProcMon que, en la ejecución deCompMgmtLauncher, el proceso no encuentra un directorio denominado\Windows\System32\compmgmtlauncher.exe.Local. Si se analiza las siguientesconsultasquerealizaelproceso,sedetectaqueseestánbuscandounaDLLsobredichodirectorio.

Figura3:“NameNotFound”encompmgmtlauncher.exe.LocalElproceso,despuésdebuscareldirectoriocompmgmtluancher.exe.Local,buscalaDLLen un directorio denominadoWinSxS, en el caso de las arquitecturas de 32 bits, y

descubre laDLLque seestababuscando. Si unatacantepuedeescribir unaDLL concódigo arbitrario en una ubicación protegida como es \Windows\System32\[foldercompmgmtlauncher.exe.Local], se podría lograr que el binario encontrase la DLL yejecutaselaDLLdelatacante.CuandolaDLLmaliciosafueracargadaporelproceso,sepodríaejecutarcódigoenuncontextoelevado.ElbinarioCompMgmtLauncher.exe,queseejecutaenuncontextoelevado,cargaríalaDLL,porestarazónelcódigodelaDLLseejecutaríaenuncontextoelevado.La generaciónde laDLLmaliciosapuede llevarse a cabodediferentesmaneras, porejemplo, utilizando Metasploit Framework o herramientas como msfvenom. OtraopciónescrearmanualmentelaDLL,implementándolanosotrosmismos.ParallevaracabolacopiadelaDLLmaliciosageneradaaunaubicaciónprotegidasepuedeutilizardosformas:

• La aplicación wusa.exe. Esta aplicación permite extraer el contenido de unficheroCABenunaubicaciónprotegida,debidoaquedichaaplicaciónseejecutaenuncontextodeintegridadalto.EstaopciónsólonosserviráenWindows7,8y8.1.

• LautilizacióndeIFileOperation.LaexposicióndelosobjetosCOM.Esteobjetocontienemétodosquepermitencopiar,mover,eliminarobjetosdelsistemadearchivoscomoficherosycarpetas.EstemétodoesválidoenWindows10.

HayqueindicarqueelbinarioCompMgmtLauncher.exepuedeserutilizadoenWindows10parahacerelUACBypass,aunquesolosepuedautilizarelmétodo IFileOperationcomo medio para copiar la DLL a la ubicación protegida. En el Github del usuariopablogonzalezpe[4]sepuedeencontrarunscriptqueautomatizaelprocesodecopiadelaDLLalaubicaciónprotegidaatravésdelaaplicaciónwusa.exe.Paraquewusa.exepuedadesempaquetarunficheroCABenunaubicaciónprotegida,en este caso, sobre \Windows\System32\compmgmtlauncher.exe.Local\[folder], sedeberágenerarelficheroCAB.

Figura4:FicheroDDFparalageneracióndelficheroCABEste ficheroDDFestá compuestopordirectivasque seránprocesadaspor el binariomakecab.exe, el cuál es el encargado de generar el fichero CAB. En otras palabras,podemosdecirqueDDFindicaamakecab.execómosedebedistribuirlosarchivosenel

CAByquécaracterísticastieneelficheroylacompresióndeéste.Unavezhechoesto,setendráyaelficheroCABdisponibleparaquewusa.exepuedautilizarlo.La siguiente operación es la de utilizarwusa.exe para llevar a cabo la extracción en\Windows\System32\compmgmtlauncher.exe.Local\[folder]. Ahora que ya se tiene lajerarquía de carpetas que compone comctl32.dll en \Windows\System32 se debearrancarelprocesoCompMgmtLauncher.exeparaqueselleveacabolaejecucióndecódigo,esdecir,laDLL,enunentornoprivilegiado.2.2. FilelessLatécnicaFilelesshamarcadounhitoenlastécnicasdebypass.EncualquiertécnicautilizadaparallevaracabounbypassdeUACsenecesitasubirunaDLLounbinarioalamáquinacomprometida.Con laapariciónde las técnicasFilelessnosenecesitasubirningún archivo al disco duro, ya que está basado en debilidades en el registro deWindows.La idea es detectar binarios firmados por Microsoft y que tienen el atributo“autoElevate”atruedesumanifestqueinteractúanconelregistrodeWindows.Dentrodeestainteracción,esinteresantedetectaraquellosbinariosquenoencuentranclavesen la ramaHKCU. Esto puede desembocar en que un proceso ejecutándose en uncontexto de integridad alto ejecute algo que se encuentra en una rama HKCU,provocandouobteniendolaejecucióndecódigoreferenciadoatravésdelaramaHKCU.Esto quiere decir, que el código o binario, el cual no tiene por qué estar en local,referenciadoenlaramaHKCUseejecutaráenuncontextodeintegridadalto,esdecir,enuncontextoprivilegiado.Adíadehoy,existen3FilelessdistintosbasadostodosenelregistrodeWindows:

• Fileless1[5].EstaprimeratécnicadescubiertaporEnigma0x3[6]yestábasadaen cómo el binario eventvwr.exe interactúa con el registro deWindows. Latécnicasehizopúblicaenagostode2016.

• Fileless2[7].EstasegundatécnicafuedescubiertaporEnigma0x3yestábasadaencómoelbinariosdctl.exeinteractúaconelregistrodeWindowsenbuscadela clave HKCU:\Software\Microsoft\Windows\CurrentVersion\AppPaths\control.exe.Estaclaveproporcionaun“NameNotFound”.Laclavepuedereferenciaraunbinario,elcualalejecutarsdctl.exeseejecutaráconprivilegio.Latécnicasehizopúblicaenabrilde2017.

• Fileless3[8].Estaterceratécnicaestábasadaencómoelbinariofodhelper.exeinteractúaconel registrodeWindows. La clavequeprovoca ladebilidady laposibilidaddeejecutarcódigoenuncontextoelevadoalserinvocadadesdeunproceso ejecutado como administrador es HKCU:\Software\Classes\ms-settings\Shell\Open\command.Latécnicasehizopúblicaenmayode2017.

En el siguiente apartado se detallará el primer caso de Fileless. Hay que dotar deimportanciayrelevanciaaestatécnicaquehasidoutilizadaencampañasdemalware[9],paralograrqueelmalwareejecutaseconelmáximoprivilegioenelsistema.

2.2.1. Fileless1yelbinarioEventvwr.exeCuando el proceso eventvwr.exe se ejecuta realiza algunas consltas al registro deWindows. En particular, contra la secciónHKEY_CURRENT_USER oHKCU. El binarioeventvwr.exegeneradichasconsultasejecutándoseenuncontextodeintegridadalta,esdecir,seestáejecutandoconprivilegio.Elbinarioeventvwr.exeseestáejecutandodeformaautoelevada,yaqueensumanifesttieneelatributo“autoElevate”atrue,porloquesisemonitorizanclavesdelregistrodeWindowsenlaramaHKCUatravésdeunprocesoelevadoexisteriesgo.Si se analiza con la herramienta ProcMon las consultas que el binario eventvwr.exerealizacontraelregistrodeWindows,sepuedeencontrarqueserealizaunaconsultaalaclaveHKCU\Software\Classes\mscfile\shell\open\command.Laclaveanteriornoseencuentra, por lo que después se realiza consultas contra la claveHKCR\mscfile\shell\open\commanddóndeseencuentraloqueelbinariobusca.Elvalordelaclaveeselbinariommc.exe,porloqueseentiendequeelbinarioeventvwr.exeestábuscandoalbinariommc.exeparaejecutarseenlaconsoladegestión.

Figura5:ClavenoencontradaenelregistrodeWindowsenlaejecucióndeeventvwr.exeComoelbinarioeventvwr.exeestáautoelevado,asísepuedevisualizarensumanifest,yestáfirmadoporMicrosoft,elsistemaoperativoloautoelevasinnecesidaddelanzarelUAC.

Figura6:Clavedelregistrocommand

AunquelaconsultaaHKCUdevuelveunerror,serealizaantesquealaclavealojadaenHKCR,porloquehayunaposibilidaddepodermanipularointeractuarconlaramaHKCUcon el objetivo de crear dicha clave. Creando la claveHKCU\Software\Classes\mscfile\shell\open\command y configurándole un valor, porejemplo,depowershell.exe.Enesteinstante,cuandoseejecutaelbinarioeventvwr.exese estaría consultando la ramadónde antes no se encontrada un valor, y se estaríaejecutandoelbinariopowershell.exe.Estebinarioseejecutaríaconelmismoprivilegioquelohaceeleventvwr.exe,porloquesehabríalogradoelbypassdeUAC.Lógicamente, realizarunbypassdeUACen localnotienesentido,perotienemuchosentidosiunmalwareseaprovechadeelloounatacanteconunasesiónremotaenelequipoconsigueaprovecharsedeestetipodetécnicasparalograrejecutarcódigoenuncontextoelevadoodeintegridadalta.

3. UAC-A-MolaCómosehaexplicadoanteriormente,existennumerosastécnicasquepermitensaltarlaprotecciónproporcionadaporelUACbajociertascircunstancias.Conelobjetivodeunificar todo el conjunto de técnicas existente y automatizar el descubrimiento denuevasdebilidades,asícomolaprotecciónantelasquesonconocidas,seproponelaconstrucción de una herramienta basada en módulos que permita la detección yexplotacióndelasdebilidadesconocidasyeldescubrimientodeotrasnuevas.LaherramientasigueunametodologíaIDEM:InvestigacióndeprocesospotencialmentevulnerablesaunbypassdeUAC,deteccióndeestetipodedebilidades,explotaciónymitigación.3.1. ArquitecturaLaprincipalcaracterísticadelaherramientaessuarquitecturamodular.Unainterfazdelíneadecomandospermitea losusuarioscargar losmódulosquequieranutilizarentiempo de ejecución. Esto proporciona un uso sencillo y eficiente, permitiendo lautilizacióndevariosmódulosenunasolaejecucióndelaherramienta.Porotraparte,dotaalaherramientadeunagranextensibilidad

Figura7:ArquitecturaUAC-A-Mola

Suestructuramodelo,vista,controladoresloqueproporcionalacapacidaddeextendercadaunadesuspartesdemaneraaisladaysencilla.3.1.1. VistaLa vista se corresponde con la consola interactiva que se muestra en el diagramaanterior.Suprincipal funciónesrecoger losargumentosqueelusuario introduceporpantalla,realizarunprocesamientosobreellos,einstanciarunasesióndeterminadaenelcasodequesepretendacargarundeterminadomódulo.3.1.2. ControladorEl controlador se corresponde con la clase session, y permite la interacción entre laconsolainteractivaylosmódulospersonalizables.Cuandosecargaunnuevomódulo,laconsolainstanciaunobjetosessiondeterminado,queseencargaráderealizarelimportatravésdelpropiomodulo.Apartirdeestemomento,todaslasaccionesqueelusuariolleveacaboenlaconsolainteractivaserealizaránsobreestasesióndeterminada,ysobreelmóduloseleccionado.Elobjetoinstanciadoservirádepuntodeuniónentrelaconsolayelmódulopersonalizadoimportadoporelusuario.3.1.3. ModeloElmodeloloconformanlosmódulospersonalizablesyelmódulopadredelqueheredantodosellos.Es importandopor lasesiónentiempodeejecución,detalmaneraque,aunque el número de módulos disponibles sea muy elevado, el rendimiento de laaplicaciónnoseveafectado,yaquenoseimportantodoslosmódulosaliniciarse.3.2. MódulosLa herramienta dispone de un sistema de módulos personalizados que permiten yfacilitan su extensibilidad. Un módulo es un fichero .py, que implementa la claseCustomModuleyqueheredadelaclaseModuleysobrescribealgunosmétodosdelamisma.3.2.1. ModuleLa clase Module constituye la clase padre de la que heredan todos los módulospersonalizados que se almacenarán en los directoriosattack, investigate omethod.Establece algunos de los componentes obligatorios que los módulos personalizadosdebenimplementar.class Module(object): def __init__(self, information, options): self._information = information self.options = options self.args = {} self.init_args() def get_information(self):

return self._information def set_value(self, name, value): self.args[name] = value self.options[name][0] = value def get_value(self, option): return self.args[option] def get_options_dict(self): return self.options def get_options_names(self): return self.options.keys() def init_args(self): for key, opts in self.options.items(): self.args[key] = opts[0] @abstractmethod def run_module(self): raise Exception( 'ERROR: run_module method must be implemented in the child class') def check_arguments(self): for key, value in self.options.iteritems(): if value[2] is True and str(value[0]) == "None": return False return True

Cómo se observa en el fragmento de código anterior, la claseModule recibe en suconstructor dos argumentos, la información del módulo y los parámetros que losusuariospodránestablecerenlaconsolainteractivacuandolohayancargado.• Information: Es un diccionario que contiene los siguientes campos, Name,

Description y Author. Contiene la información necesaria para describir laherramientacuandoseinvocalaopciónshowdesdelainterfazdecomandos.Esobligatoriorellenarsuscampos.

• Options: Es un diccionario que contiene el nombre de los parámetros y tresatributos por parámetro, default_value, description y optional. Con estosatributossedescribeelvalorquetendrápordefectoelparámetroenelcasodequeelusuarionolomodifique,ladescripcióndelparámetroysielparámetroesobligatorioparaelfuncionamientodelmóduloono.

Elrestodemétodosimplementados,sonalgunosauxiliaresparalamanipulacióndelosparámetrosydelainformación.Todoslosvaloresintroducidosporlosusuarios,sonalmacenadosenunavariabledelaclaseargs,que seráheredadopor losmóduloshijo, yque lespermiteaccedera losparámetrosdeentrada.Porúltimo,elmétodorun_module()estableceunodelosrequerimientosquelasclaseshijos deben cumplir. Este método es el que la sesión invocará cuando el usuarioseleccione el parámetro run de la consola interactiva, y por lo tanto, debe serimplementadoobligatoriamenteporlosmódulospersonalizados.3.2.2. CustomModuleComosehaindicadoenelapartadoanterior,laclaseCustomModuleeslaquedebenimplementar obligatoriamente los módulos personalizados del framework. Acontinuaciónsemuestraunaplantillaquerepresentaunmóduloestándar:from module import Module class CustomModule(Module): def __init__(self):

information = {"Name": "", "Description": "", "Author": ""} # -------------name----default_value--desc----required? options = {"option_name": [None, "description", True], "option2_name": ["default", "description", False]} # Constructor of the parent class super(CustomModule, self).__init__(information, options) # Class atributes, initialization in the run_module method # after the user has set the values self._option_name = None # This module must be always implemented, it is called by the run option def run_module(self): # To access user provided attributes, use self._args dictionary self.args["option_name"] self.args["option2_name"]

Estas serían las lineas de código necesarias para la implementación de un módulocompletamente funcional y que permite ser utilizado por la herramienta. Se puedeobservarlaimplementacióndelaclaseCustomModule,queheredadelaclaseModule.Enelconstructordelamisma,seespecificancadaunadelasopcionesnecesariasparainicializarlaclasepadre.Acontinuación,seimplementaelmétodorun_moduledefinidocomoabstractoporlaclaseModuleyapartirdelcualsepuedeaccederalosargumentosintroducidosporelusuariodesdelaconsolainteractivaatravésdelavariabledelaclasepadreargs.

3.2.3. ImplementacióndeunmódulorealEnestasecciónsepresentanlospasosaseguirparalacreacióndeunmóduloreal,desdesuimplementaciónhastasuintegraciónenlaherramienta.

• Implementación

Laimplementacióndeunmódulorealpartedelaplantillapresentadaenelapartadoanterior.

• Integraciónenlaherramienta

Laintegracióndeunmóduloenlaherramientaesmuysencilla,loúnicoqueserequiereescopiarelarchivo.pyquecontienelaclaseCustomModuleenunodelosdirectoriosdentrodelacarpetamodules.Laherramientabuscaráautomáticamenteenestepathdelsistemacuandovayaacargarunnuevomóduloeimportaráentiempodeejecuciónelqueseseleccione.

3.2.4. ModuleloadingEl proceso que se utiliza para cargar un módulo en la herramienta en tiempo deejecuciónestárepresentadoporelsiguientediagrama:

Figura8:Cargademódulo

El proceso comienza en la consola interactiva,mediante el comando load el usuarioselecciona unmódulo determinado. Cuando se ejecuta este comando, el frameworkinternamente crea una nueva sesión. La sesión tiene el contexto delmódulo que sedesea ejecutar y actuará de intermediario entre la consola interactiva y el módulopersonalizado.Apartirdeestemomento, todos los comandosqueseejecutenen laconsola serán enuna sesióndeterminada y el contexto de unmódulo determinado.Cuandoelusuariocargaotromódulodistinto,lasesiónpresente(silahay)sedestruyeysecreaunanuevasesiónconelcontextodelnuevomódulo.

3.2.5. ClasificacióndelosmódulosLosmódulosdelaherramientasepuedenclasificarentresgruposattack,investigateyutils. Cada uno de los contenedores de módulos es un directorio, facilitando laintegracióndenuevosmódulosenlaherramienta.Acontinuación,seexplicarácadaunodeellossegúnlafuncionalidadquerepresentan.• Attack

El directorio attack está compuesto por los módulos que automatizan los ataquesexistentes contra UAC. Con ellos se puede verificar si un sistema determinado esvulnerableaalgunadelastécnicasexistentes.• Investigate

En este directorio se dispone de losmódulos de investigación o descubrimiento. Sufunción principal es la asistencia a la hora de identificar debilidades en sistemasoperativosWindows7,8,8.1y10oeldescubrimientodenuevosproblemasdeseguridadrelacionadosconelUAC.• Utils

En el directorio Utils se encuentran los módulos que sirven de soporte para eldesempeñodelastareasnombradasanteriormente.

3.3. SessionElmódulosessionesunadelaspartesmásimportantesdelaherramienta.Comprendeelpuntodeuniónentrelaconsolainteractivaylosdistintosmódulos.Cuandoelusuariocargaunmódulodeterminado,esteseejecutaenunasesióndeterminadaquealmacenaelcontextoparadichomódulo,detalmanera,quetodaslasaccionesqueelusuariollevaa cabo desde la consola, se hacen en el contexto del módulo. A continuación, sepresentanalgunosfragmentosdecódigodelaclase: class Session(object): def __init__(self, path): self._module = self.instantiate_module(path) self._path = path

Elconstructorde laclasesessioneselencargadodecargarelmóduloenttiempodeejecución. Una vez el módulo se ha cargado, se retorna una instancia de la claseCustomModuledelmismoreturn m.CustomModule(), deestamanera,laclasesessionpuedeaccederatodoslosatributosdefinidosporelcreadordelmóduloparapresentárselosalusuarioyobtenersuvalor.Algunosde losmétodos interesantesque implementason,def show(self) compone larespuesta que presenta la consola interactiva cuando el suaurio ejecuta el comandoshowenelcontextodeunmódulodeterminado,def run(self) eselmétodoencargadodeinvocarlafunciónrun_module()definidaenlaclaseModuleeimplementadaenlaclaseCustomModule,def instantiate_module(self, path) seencargadecargarelmóduloseleccionadoporelusuariodesde laconsola interactivamedianteelcomando loadeinstanciarlaclaseCustomModulequedebeimplementar.

3.4. LibrariesEldirectoriolibrariesqueseencuentraenlacarpetaprincipaldelaaplicación,contienealgunosmóduloscomplementariosquefacilitanlarealizacióndeciertastareas.Cómoejemplodemódulosqueseencuentranenestedirectorio,cabedestacar:• winreg.py

Estemóduloconstruyeunainterfazsencillasobreelmódulodepython_winregparaeltratamientodelregistrodewindows.Implementaunaseriedemétodosquepermitenla creación, modificación y eliminación de las claves y los valores. Algunos de losmétodosadestacarson,

def create_key(self, key, subkey) def non_existent_path(self, key, subkey) def set_value(self, key, subkey, value) def del_value(self, key, value='') def create_value(self, key, value_name, value)

Además de las funcionalidades citadas anteriormente, también implementa unmecanismoderestauracióndelestadodelregistroalpuntoinmediantamenteanteriordelaedición,medianteelmétodo def restore(self, key, value='')

• procmonXMLfilter

EstemódulofacilitaelfiltradodeinformaciónenunXMLgeneradoporlaherramientaprocmon.Atravésdeestemódulosepuedenrealizarfiltradoseficientesysinconsumirrecursosdememoriaelevadosenficherodetamañoelevado(200MBosuperior).Losprincipalesmétodosqueimplementason:

def by_operation(events, operation) def by_result(events, result) def by_process(events, proc_name) def by_path(events, path) def by_pid(events, pid) def by_pattern(events, pattern)

4. ResultadosAcontinuación,sepresentanalgunosdelosresultadosobtenidosconlaherramienta:

Path:C:\Windows\System32OS Nºautoelvatebinaries Fileless BinariesNames

Windows7 56 4

eventvwr.exeCompMgmtLauncher.exesdclt.exesdclt.exe/kickoffelev

Windows8.1 60 4

eventvwr.exeCompMgmtLauncher.exeslui.exesdclt.exe/kickoffelev

Windows10 60 3sdclt.exesdclt.exe/kickoffelevfodhelper.exe

Path:C:\Windows\System32

OS Nºautoelevatebinaries DLLHijacking BinariesNames

Windows7 56 12

CompMgmtLauncher.exeComputerDefaults.exeeventvwr.exehdwwiz.exeiscsipl.exemsconfig.exeMultiDigiMon.exeNetplwiz.exeodbcand32.exeOptionalFeatures.exeperfmon.exetcmsetup.exe

Windows8.1 60 15

CompMgmtLauncher.exeComputerDefaults.exehdwwiz.exeiscsipl.exeMSchedExe.exemsconfig.exeMultiDigiMon.exeNetplwiz.exeodbcand32.exeOptionalFeatures.exeprintui.exesystemreset.exe

SystemSettingsRemoveDevice.exetcmsetup.exe

Windows10 60 13

ComputerDefaults.exefodhelper.exeiscsipl.exeMSchedExe.exemsconfig.exeMultiDigiMon.exeNetplwiz.exeodbcad32.exeOptionalFeatures.exeprintui.exesystemreset.exeSystemSettingsRemoveDevice.exetcmsetup.exe

Para obtener los resultados, se han utilizado los módulos autoElevate_search, queobtiene,apartirdeunarutadelsistemaounalistapredefinida,todoslosbinariosconel atributoautoelevatepuestoaTruedentrode sumanifest, fileless_discovery, estemódulo busca todas las llamadas a la clave HKCU del registro que no hayan sidoencontradas por el binario, las crea y les introduce un valor determinado,posteriormenteejecutael binario y compruebael resultado.Porúltimo, seutilizaelmódulo dll_discovery, que proporciona una manera de automatizar el proceso decreacióndelárboldedirectoriosyladllmaliciosanecesariaparacomprobarsielbinarioesvulnerableadllhijacking.Losresultadosdedllhijackingquesemuestranhansidoverificadosconunadllgenérica,a pesar de esto, la herramienta detectamuchos otros binarios que, aunque no sonvulnerables con dicha dll, podrían serlo realizando algunos ajustes a la misma.Verificandotodoslosbinariossospechosos,elnúmeroderesultadosdedllhijackingseduplicaría.Laherramientaes capazdedetectar todas las técnicasdebypassdeUACexistenteshasta el momento, permitiendo su uso como herramienta de diagnóstico tanto enversiones antiguas del sistema operativo Windows, como en versiones actuales ofuturas.Adicionalmente,sucapacidadparaserextendidadeformasencillapermitelaincorporacióninmediatadecualquiernuevatécnicaquevayaapareciendo.

5. Referencias[1]https://support.microsoft.com/es-es/help/922708/how-to-use-user-account-control-uac-in-windows-vista[2]https://github.com/hfiref0x/UACME[3]http://www.elladodelmal.com/2017/03/una-nueva-forma-de-saltarse-uac-en.html[4]https://github.com/pablogonzalezpe/metasploit-framework/blob/master/scripts/ps/invoke-compMgmtLauncher.ps1[5]http://www.elladodelmal.com/2016/08/como-ownear-windows-7-y-windows-10-con.html[6]https://enigma0x3.net/2016/08/15/fileless-uac-bypass-using-eventvwr-exe-and-registry-hijacking/[7]http://www.elladodelmal.com/2017/04/fileless-2-un-nuevo-si-uno-mas-otra-vez.html[8]http://www.elladodelmal.com/2017/05/fileless-3-bypass-uac-en-windows-10.html[9]https://isc.sans.edu/forums/diary/Malicious+Office+files+using+fileless+UAC+bypass+to+drop+KEYBASE+malware/22011/