Tester Jobs Requirements (VIDEO GAME)

Hoy traemos un nuevo bypass de UAC del tipo Fileless, y van tres descubiertos ya con el de hoy, con el que podemos saltarnos la interacci�n con el usuario para saltar la protecci�n de User Account Control . Este m�todo ha sido encontrado por un investigador alem�n que prepara su tesis sobre este tipo de debilidades de los sistemas de Windows. Es cierto que Microsoft no lo considera una vulnerabilidad, pero ha decidido parchear algunos ya que pueden ser utilizados por malware para lograr ejecutarse como SYSTEM en el equipo.

Figura 1: Fileless 3: Bypass UAC en MS Windows 10

Meses atr�s hablamos del Fileless y Fileless 2 como los primeros m�todos en los que no se generaba o se sub�a un fichero a disco para llevar a cabo el bypass. Hoy tenemos un nuevo Fileless y, a priori, van tres ya.

Figura 2: Art�culo explicando "Fileless 3" por el investigador.

Como ya hemos comentado en otras ocasiones, tenemos unas pre-condiciones para hacer un bypass de UAC y son las siguientes:

� El usuario forma parte del grupo administradores. 

� El UAC tiene la pol�tica por defecto, es decir, no se ha modificado esta pol�tica desde la instalaci�n del sistema. 

Figura 3: Con la configuraci�n de UAC en "Modo Windows Vista" no funcionan estos bypass

� En este caso, tenemos un sistema operativo Windows 10. El Fileless 3 solo nos funcionar� en esta versi�n, ya que el binario que permite llevar a cabo el bypass solo se encuentra en esta versi�n.

Como buen Fileless este bypass radica en errores de los binarios al consultar ramas del registro que se encuentran en HKCU. Si una rama consultada en HKCU no existe, podemos crearla y hacer que exista de forma sencilla. Por esta raz�n, veremos a continuaci�n c�mo de f�cil es encontrar otros bypass de UAC siguiente el patr�n.

PoC: Fileless 3 in action!

Vamos a llevar a cabo una prueba de concepto sencilla sobre un sistema Windows 10. Para observar cuando un binario consulta ramas de registro no creadas en HKCU utilizaremos la herramienta Process Monitor. Esta herramienta es f�cil de configurar y, para ello, crearemos un par de filtros, uno para el binario fodhelper.exe y otro para los resultados �NAME NOT FOUND� que se obtengan de consultar al registro, como ya hemos hecho en otros bypass de UAC.

Figura 4: Filtros en Process Explorer para fodhelper.exe y "NAME NOT FOUND"

En la imagen podemos ver c�mo la consulta a HKCU:SoftwareClassesms-settingsShellOpencommand nos proporciona un �NAME NOT FOUND�. Si creamos esta ruta en el registro de Windows, ya que se encuentra en HKCU y podemos hacerlo sin problema, y volvemos a ejecutar el binario fodhelper.exe monitorizado con Process Monitor nos encontraremos lo siguiente:

Figura 5: Falla en la localizaci�n de la clave DelegateExecute

Si buscamos la ruta HKCU:SoftwareClasessms-settingsshellopencommandDelegateExecute vemos que no existe, es decir, no se encuentra por el binario. Si nos fijamos en la clave anterior, vemos como s� la ha encontrado, pero no la clave DelegateExecute.

Cuando el String Value de DelegateExecute existe, el binario buscar� la clave por defecto de la ruta HKCU:SoftwareClassesms-settingsshellopencommand ejecutando lo que haya en el valor de dicha clave. Al ser ejecutado con un binario que se est� ejecutando con integridad alta, el nuevo proceso tendr� el mismo nivel de integridad.

Figura 6: MicEnum permite analizar los niveles de integridad de binarios y claves de registro

Para revisar los niveles de integridad en Windows se puede utilizar nuestra utilidad de ElevenPaths MicEnum. Adem�s, como el binario fodhelper.exe est� firmado por Microsoft y tiene el AutoElevate a True por lo que no solicitar� la confirmaci�n del usuario con UAC.

Figura 7: Valor por defecto en la clave DelegateExecute (value not set)

Ahora, modificamos (Default) e indicamos, por ejemplo, C:WindowsSystem32WindowsPowershellv1.0powershell.exe. Esto har� que cuando invoquemos a fodhelper.exe, �ste acabe abriendo una Powershell con el m�ximo privilegio.

Figura 8: Valor modificado a ejecuci�n de Powershell

Os dejamos un video d�nde pod�is ver el proceso de manera sencilla. Un nuevo Fileless que puede ser utilizado en el mundo de la auditor�a y el hacking �tico. Aunque viendo lo que ocurri� con el primer Fileless, hay que estar preparado para luchar contra el posible malware que pueda utilizarlo.


Como se puede entender, y hemos visto en otras ocasiones, este tipo de t�cnicas puede utilizarse en un pentesting d�nde poder ser SYSTEM desde un usuario que sea del grupo administradores. Adem�s, se puede utilizar de manera sencilla con Meterpreter en Metasploit gracias a la integraci�n con Powershell que puede hacerse de forma sencilla. Y recuerda, estos m�todos no funcionan si tienes aplicada la M�xima Seguridad a tu Windows.

Autor: Pablo Gonz�lez P�rez (@pablogonzalezpe), escritor de los libros "Metasploit para Pentesters", "Ethical Hacking", "Got Root" y �Pentesting con Powershell�, Microsoft MVP en Seguridad y Security Researcher en ElevenPaths  con la colaboraci�n de Santiago Hern�ndez Ramos, nuevo cybersecurity "padawan" researcher en ElevenPaths