Lors de l'exécution d'un malware sur une machine cible, il est généralement intéressant d'obtenir les droits administrateur. Dans le cas de machines utilisées par des particuliers, l'utilisateur est très fréquemment déjà administrateur, mais ses processus sont exécutés avec des droits limités. C'est à ce moment que l'UAC (User Account Control) entre en jeu. Nous allons voir comment les malwares manipulent l'UAC afin de s'exécuter avec les droits administrateur.Nous ne parlerons (presque) pas d'élévation de privilèges, cet article étant basé sur le fait que l'utilisateur ciblé est dans le groupe administrateur de son poste de travail !
1. Introduction
1.1 Pourquoi utiliser des privilèges administrateur ?
Les raisons sont multiples, en voici quelques exemples :
- accéder à toute la mémoire de la machine afin d'obtenir les hashes NTLM (ou encore les tickets Kerberos) afin de réaliser des pivots vers d'autres machines du réseau. Cette technique, nommée Pass-The-Hash (ou Pass-The-Ticket), est très fréquemment utilisée dans le cas d'attaques ciblées afin de se déplacer dans l'infrastructure ciblée ;
- accéder à la mémoire d'autres processus en cours d'exécution afin de s'injecter dans ceux-ci, de voler des données présentes en mémoire (cas pour les malwares ciblant les points de vente – Point-Of-Sale/POS) ;
- cacher sa présence et son activité plus efficacement, par exemple via le déploiement de modules noyau afin d'installer un rootkit ;
- infecter tous les utilisateurs qui partagent la même machine et pas seulement l'utilisateur en cours. Ceci est particulièrement vrai...
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première