hfiref0x/uacmeUmgehung der Windows-Benutzerkontensteuerung
[](https://ci.appveyor.com/project/hfiref0x/uacme)
# UACMe
Überwindung der Windows-Benutzerkontensteuerung durch Missbrauch der integrierten Windows AutoElevate-Hintertür. Dieses Projekt demonstriert verschiedene UAC-Umgehungstechniken und dient als Bildungsressource zum Verständnis der Windows-Sicherheitsmechanismen.
> ⚠️ **Warnung**: Dieses Tool demonstriert Sicherheitslücken, die böswillig ausgenutzt werden könnten. Verwenden Sie es verantwortungsbewusst und nur in kontrollierten Umgebungen.
# Systemanforderungen
* **Betriebssysteme**: Windows 7/8/8.1/10/11 (x86-32/x64, Client, einige Methoden funktionieren jedoch auch auf Serverversionen)
* **Benutzerkonto**: Administratorkonto mit UAC auf Standardeinstellungen
## Verwendung
Führen Sie die ausführbare Datei über die Befehlszeile mit der folgenden Syntax aus:```
akagi32.exe [Method_Number] [Optional_Command]
```
oder```
akagi64.exe [Method_Number] [Optional_Command]
```
### Parameter:
* **Method_Number**: Nummer, die der UAC-Bypass-Methode entspricht (siehe Methodenliste unten)
* **Optional_Command**: Vollständiger Pfad zu einer ausführbaren Datei, die mit erhöhten Rechten ausgeführt werden soll
* Wenn nicht angegeben, startet das Programm eine erhöhte Eingabeaufforderung (%systemroot%\system32\cmd.exe)
### Beispiele:```
akagi32.exe 23
akagi64.exe 61
akagi32.exe 23 c:\windows\system32\calc.exe
akagi64.exe 61 c:\windows\system32\charmap.exe
```
> **Hinweis**: Seit Version 3.5.0 gelten alle zuvor als "gefixt" bezeichneten Methoden als veraltet und wurden entfernt. Wenn Sie sie benötigen, verwenden Sie den [v3.2.x-Zweig](https://github.com/hfiref0x/UACME/tree/v3.2.x).
> **Hinweis**: Ab Version 3.7.0 wurden die zwischen 3.5.0 und 3.7.0 als "gefixt" bezeichneten Methoden aus der UACMe-Methodentabelle entfernt. Wenn Sie sie benötigen, verwenden Sie den [v3.6.x_plus-Zweig](https://github.com/hfiref0x/UACME/tree/v3.6.x_plus) Der Code für diese Methoden ist aus historischen Gründen weiterhin im aktuellen Zweig verfügbar.
<details>
<summary>Schlüssel (Zum Auf-/Zuklappen klicken)</summary>1. Autor: Leo Davidson
* Typ: DLL-Hijack
* Methode: IFileOperation
* Ziel(e): \system32\sysprep\sysprep.exe
* Komponente(n): cryptbase.dll
* Implementierung: ucmStandardAutoElevation
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 8.1 (9600)
* Wie: sysprep.exe gehärtete LoadFrom-Manifest-Elemente
* Code-Status: entfernt ab v3.5.0 :tractor:
2. Autor: Leo Davidson Derivat
* Typ: DLL-Hijack
* Methode: IFileOperation
* Ziel(e): \system32\sysprep\sysprep.exe
* Komponente(n): ShCore.dll
* Implementierung: ucmStandardAutoElevation
* Funktioniert ab: Windows 8.1 (9600)
* Behoben in: Windows 10 TP (> 9600)
* Wie: Nebeneffekt der Verschiebung von ShCore.dll nach \KnownDlls
* Code-Status: entfernt ab v3.5.0 :tractor:
3. Autor: Leo Davidson Derivat von WinNT/Pitou
* Typ: DLL-Hijack
* Methode: IFileOperation
* Ziel(e): \system32\oobe\setupsqm.exe
* Komponente(n): WdsCore.dll
* Implementierung: ucmStandardAutoElevation
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 TH2 (10558)
* Wie: Nebeneffekt der OOBE-Neugestaltung
* Code-Status: entfernt ab v3.5.0 :tractor:
4. Autor: Jon Ericson, WinNT/Gootkit, mzH
* Typ: AppCompat
* Methode: RedirectEXE-Shim
* Ziel(e): \system32\cliconfg.exe
* Komponente(n): -
* Implementierung: ucmShimRedirectEXE
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 TP (> 9600)
* Wie: Sdbinst.exe-Autoelevation entfernt, KB3045645/KB3048097 für übrige Windows-Versionen
* Code-Status: entfernt ab v3.5.0 :tractor:
5. Autor: WinNT/Simda
* Typ: Erhöhte COM-Schnittstelle
* Methode: ISecurityEditor
* Ziel(e): HKLM-Registrierungsschlüssel
* Komponente(n): -
* Implementierung: ucmSimdaTurnOffUac
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 TH1 (10147)
* Wie: Die ISecurityEditor-Schnittstellenmethode wurde geändert
* Code-Status: entfernt ab v3.5.0 :tractor:
6. Autor: Win32/Carberp
* Typ: DLL-Hijack
* Methode: WUSA
* Ziel(e): \ehome\mcx2prov.exe, \system32\migwiz\migwiz.exe
* Komponente(n): WdsCore.dll, CryptBase.dll, CryptSP.dll
* Implementierung: ucmWusaMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 TH1 (10147)
* Wie: Option WUSA /extract entfernt
* Code-Status: entfernt ab v3.5.0 :tractor:
7. Autor: Win32/Carberp Derivat
* Typ: DLL-Hijack
* Methode: WUSA
* Ziel(e): \system32\cliconfg.exe
* Komponente(n): ntwdblib.dll
* Implementierung: ucmWusaMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 TH1 (10147)
* Wie: Option WUSA /extract entfernt
* Code-Status: entfernt ab v3.5.0 :tractor:
8. Autor: Leo Davidson Derivat von Win32/Tilon
* Typ: DLL-Hijack
* Methode: IFileOperation
* Ziel(e): \system32\sysprep\sysprep.exe
* Komponente(n): Actionqueue.dll
* Implementierung: ucmStandardAutoElevation
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 8.1 (9600)
* Wie: sysprep.exe gehärtetes LoadFrom-Manifest
* Code-Status: entfernt ab v3.5.0 :tractor:
9. Autor: Leo Davidson, WinNT/Simda, Win32/Carberp Derivat
* Typ: DLL-Hijack
* Methode: IFileOperation, ISecurityEditor, WUSA
* Ziel(e): IFEO-Registrierungsschlüssel, \system32\cliconfg.exe
* Komponente(n): Vom Angreifer definierte Anwendungsverifier-DLL
* Implementierung: ucmAvrfMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 TH1 (10147)
* Wie: Option WUSA /extract entfernt, ISecurityEditor-Schnittstellenmethode geändert
* Code-Status: entfernt ab v3.5.0 :tractor:
10. Autor: WinNT/Pitou, Win32/Carberp Derivat
* Typ: DLL-Hijack
* Methode: IFileOperation, WUSA
* Ziel(e): \system32\\{Neue}od{Existierende}\\{autoelevated}.exe, z. B. winsat.exe
* Komponente(n): Vom Angreifer definierte DLL, z. B. PowProf.dll, DevObj.dll
* Implementierung: ucmWinSATMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 TH2 (10548)
* Wie: Härtung der AppInfo-Pfadkontrolle für erhöhte Anwendungen
* Code-Status: entfernt ab v3.5.0 :tractor:
11. Autor: Jon Ericson, WinNT/Gootkit, mzH
* Typ: AppCompat
* Methode: Shim-Speicherpatch
* Ziel(e): \system32\iscsicli.exe
* Komponente(n): Vom Angreifer vorbereiteter Shellcode
* Implementierung: ucmShimPatch
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 8.1 (9600)
* Wie: Sdbinst.exe-Autoelevation entfernt, KB3045645/KB3048097 für übrige Windows-Versionen
* Code-Status: entfernt ab v3.5.0 :tractor:
12. Autor: Leo Davidson Derivat
* Typ: DLL-Hijack
* Methode: IFileOperation
* Ziel(e): \system32\sysprep\sysprep.exe
* Komponente(n): dbgcore.dll
* Implementierung: ucmStandardAutoElevation
* Funktioniert ab: Windows 10 TH1 (10240)
* Behoben in: Windows 10 TH2 (10565)
* Wie: sysprep.exe-Manifest aktualisiert
* Code-Status: entfernt ab v3.5.0 :tractor:
13. Autor: Leo Davidson Derivat
* Typ: DLL-Hijack
* Methode: IFileOperation
* Ziel(e): \system32\mmc.exe EventVwr.msc
* Komponente(n): elsext.dll
* Implementierung: ucmMMCMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 RS1 (14316)
* Wie: Fehlende Abhängigkeit entfernt
* Code-Status: entfernt ab v3.5.0 :tractor:
14. Autor: Leo Davidson, WinNT/Sirefef Derivat
* Typ: DLL-Hijack
* Methode: IFileOperation
* Ziel(e): \system\credwiz.exe, \system32\wbem\oobe.exe
* Komponente(n): netutils.dll
* Implementierung: ucmSirefefMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 TH2 (10548)
* Wie: Härtung der AppInfo-Pfadkontrolle für erhöhte Anwendungen
* Code-Status: entfernt ab v3.5.0 :tractor:
15. Autor: Leo Davidson, Win32/Addrop, Metasploit Derivat
* Typ: DLL-Hijack
* Methode: IFileOperation
* Ziel(e): \system32\cliconfg.exe
* Komponente(n): ntwdblib.dll
* Implementierung: ucmGenericAutoelevation
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 RS1 (14316)
* Wie: Cliconfg.exe-Autoelevation entfernt
* Code-Status: entfernt ab v3.5.0 :tractor:
16. Autor: Leo Davidson Derivat
* Typ: DLL-Hijack
* Methode: IFileOperation
* Ziel(e): \system32\GWX\GWXUXWorker.exe, \system32\inetsrv\inetmgr.exe
* Komponente(n): SLC.dll
* Implementierung: ucmGWX
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 RS1 (14316)
* Wie: Härtung der AppInfo-Pfadkontrolle für erhöhte Anwendungen und inetmgr-Ausführbarkeit
* Code-Status: entfernt ab v3.5.0 :tractor:
17. Autor: Leo Davidson Derivat
* Typ: DLL-Hijack (Import-Weiterleitung)
* Methode: IFileOperation
* Ziel(e): \system32\sysprep\sysprep.exe
* Komponente(n): unbcl.dll
* Implementierung: ucmStandardAutoElevation2
* Funktioniert ab: Windows 8.1 (9600)
* Behoben in: Windows 10 RS1 (14371)
* Wie: sysprep.exe-Manifest aktualisiert
* Code-Status: entfernt ab v3.5.0 :tractor:
18. Autor: Leo Davidson Derivat
* Typ: DLL-Hijack (Manifest)
* Methode: IFileOperation
* Ziel(e): \system32\taskhost.exe, \system32\tzsync.exe (jede MS-EXE ohne Manifest)
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmAutoElevateManifest
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 RS1 (14371)
* Wie: Manifest-Parsing-Logik überprüft
* Code-Status: entfernt ab v3.5.0 :tractor:
19. Autor: Leo Davidson Derivat
* Typ: DLL-Hijack
* Methode: IFileOperation
* Ziel(e): \system32\inetsrv\inetmgr.exe
* Komponente(n): MsCoree.dll
* Implementierung: ucmInetMgrMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 RS1 (14376)
* Wie: Härtung des inetmgr.exe-Ausführungsmanifestes, MitigationPolicy->ProcessImageLoadPolicy->PreferSystem32Images
* Code-Status: entfernt ab v3.5.0 :tractor:
20. Autor: Leo Davidson Derivat
* Typ: DLL-Hijack
* Methode: IFileOperation
* Ziel(e): \system32\mmc.exe, Rsop.msc
* Komponente(n): WbemComn.dll
* Implementierung: ucmMMCMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 RS3 (16232)
* Wie: Ziel erfordert, dass wbemcomn.dll von MS signiert ist
* Code-Status: entfernt ab v3.5.0 :tractor:
21. Autor: Leo Davidson Derivat
* Typ: DLL-Hijack
* Methode: IFileOperation, SxS DotLocal
* Ziel(e): \system32\sysprep\sysprep.exe
* Komponente(n): comctl32.dll
* Implementierung: ucmSXSMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 RS3 (16232)
* Wie: MitigationPolicy->ProcessImageLoadPolicy->PreferSystem32Images
* Code-Status: entfernt ab v3.5.0 :tractor:
22. Autor: Leo Davidson Derivat
* Typ: DLL-Hijack
* Methode: IFileOperation, SxS DotLocal
* Ziel(e): \system32\consent.exe
* Komponente(n): comctl32.dll
* Implementierung: ucmSXSMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 11 24H2/25H2 (26100/26200)
* Wie: Interne Windows-Loader-Änderungen, consent!MitigationPolicy->ProcessSignaturePolicy->MicrosoftSignedOnly
* Code-Status: entfernt ab v3.7.0 :tractor:
23. Autor: Leo Davidson Derivat
* Typ: DLL-Hijack
* Methode: IFileOperation
* Ziel(e): \system32\pkgmgr.exe
* Komponente(n): DismCore.dll
* Implementierung: ucmDismMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: ungefixt :see_no_evil:
* Wie: -
* Code-Status: hinzugefügt in v2.5.1
24. Autor: BreakingMalware
* Typ: Shell-API
* Methode: Erweiterung von Umgebungsvariablen
* Ziel(e): \system32\CompMgmtLauncher.exe
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmCometMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 RS2 (15031)
* Wie: CompMgmtLauncher.exe-Autoelevation entfernt
* Code-Status: entfernt ab v3.5.0 :tractor:
25. Autor: Enigma0x3
* Typ: Shell-API
* Methode: Manipulation von Registrierungsschlüsseln
* Ziel(e): \system32\EventVwr.exe, \system32\CompMgmtLauncher.exe
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmHijackShellCommandMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 RS2 (15031)
* Wie: EventVwr.exe neugestaltet, CompMgmtLauncher.exe-Autoelevation entfernt
* Code-Status: entfernt ab v3.5.0 :tractor:
26. Autor: Enigma0x3
* Typ: Race Condition
* Methode: Dateiüberschreibung
* Ziel(e): %temp%\GUID\dismhost.exe
* Komponente(n): LogProvider.dll
* Implementierung: ucmDiskCleanupRaceCondition
* Funktioniert ab: Windows 10 TH1 (10240)
* AlwaysNotify-kompatibel
* Behoben in: Windows 10 RS2 (15031)
* Wie: Dateisicherheitsberechtigungen geändert
* Code-Status: entfernt ab v3.5.0 :tractor:
27. Autor: ExpLife
* Typ: Erhöhte COM-Schnittstelle
* Methode: IARPUninstallStringLauncher
* Ziel(e): Vom Angreifer definiert
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmUninstallLauncherMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 RS3 (16199)
* Wie: UninstallStringLauncher-Schnittstelle aus COMAutoApprovalList entfernt
* Code-Status: entfernt ab v3.5.0 :tractor:
28. Autor: Exploit/Sandworm
* Typ: Whitelist-Komponente
* Methode: InfDefaultInstall
* Ziel(e): Vom Angreifer definiert
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmSandwormMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 8.1 (9600)
* Wie: InfDefaultInstall.exe aus g_lpAutoApproveEXEList entfernt (MS14-060)
* Code-Status: entfernt ab v3.5.0 :tractor:
29. Autor: Enigma0x3
* Typ: Shell-API
* Methode: Manipulation von Registrierungsschlüsseln
* Ziel(e): \system32\sdclt.exe
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmAppPathMethod
* Funktioniert ab: Windows 10 TH1 (10240)
* Behoben in: Windows 10 RS3 (16215)
* Wie: Shell-API-Update
* Code-Status: entfernt ab v3.5.0 :tractor:
30. Autor: Leo Davidson Derivat, lhc645
* Typ: DLL-Hijack
* Methode: WOW64-Logger
* Ziel(e): \syswow64\\{jede erhöhte EXE, z.B. wusa.exe}
* Komponente(n): wow64log.dll
* Implementierung: ucmWow64LoggerMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 11 24H2/25H2 (26100/26200)
* Wie: Interne Windows-Loader-Änderungen
* Code-Status: entfernt ab v3.7.0 :tractor:
31. Autor: Enigma0x3
* Typ: Shell-API
* Methode: Manipulation von Registrierungsschlüsseln
* Ziel(e): \system32\sdclt.exe
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmSdcltIsolatedCommandMethod
* Funktioniert ab: Windows 10 TH1 (10240)
* Behoben in: Windows 10 RS4 (17025)
* Wie: Shell-API / Windows-Komponenten-Update
* Code-Status: entfernt ab v3.5.0 :tractor:
32. Autor: xi-tauw
* Typ: DLL-Hijack
* Methode: UIPI-Bypass mit uiAccess-Anwendung
* Ziel(e): \Program Files\Windows Media Player\osk.exe, \system32\EventVwr.exe, \system32\mmc.exe
* Komponente(n): duser.dll, osksupport.dll
* Implementierung: ucmUiAccessMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: ungefixt :see_no_evil:
* Wie: -
* Code-Status: hinzugefügt in v2.7.1
33. Autor: winscripting.blog
* Typ: Shell-API
* Methode: Manipulation von Registrierungsschlüsseln
* Ziel(e): \system32\fodhelper.exe
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmShellRegModMethod
* Funktioniert ab: Windows 10 TH1 (10240)
* Behoben in: ungefixt :see_no_evil:
* Wie: -
* Code-Status: hinzugefügt in v2.7.2
34. Autor: James Forshaw
* Typ: Shell-API
* Methode: Erweiterung von Umgebungsvariablen
* Ziel(e): \system32\svchost.exe über \system32\schtasks.exe
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmDiskCleanupEnvironmentVariable
* Funktioniert ab: Windows 8.1 (9600)
* AlwaysNotify-kompatibel
* Behoben in: ungefixt :see_no_evil:
* Wie: -
* Code-Status: hinzugefügt in v2.7.2
35. Autor: CIA & James Forshaw
* Typ: Identitätswechsel
* Methode: Token-Manipulationen
* Ziel(e): Autoelevierte Anwendungen
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmTokenModification
* Funktioniert ab: Windows 7 (7600)
* AlwaysNotify-kompatibel, siehe Hinweis
* Behoben in: Windows 10 RS5 (17686)
* Wie: ntoskrnl.exe->SeTokenCanImpersonate zusätzliche Zugriffstoken-Prüfung hinzugefügt
* Code-Status: entfernt ab v3.5.0 :tractor:
36. Autor: Thomas Vanhoutte alias SandboxEscaper
* Typ: Race Condition
* Methode: NTFS-Reparse-Point & DLL-Hijack
* Ziel(e): wusa.exe, pkgmgr.exe
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmJunctionMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 11 24H2/25H2 (26100/26200)
* Wie: WUSA-Änderungen
* Code-Status: entfernt ab v3.7.0 :tractor:
37. Autor: Ernesto Fernandez, Thomas Vanhoutte
* Typ: DLL-Hijack
* Methode: SxS DotLocal, NTFS-Reparse-Point
* Ziel(e): \system32\dccw.exe
* Komponente(n): GdiPlus.dll
* Implementierung: ucmSXSDccwMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 11 24H2/25H2 (26100/26200)
* Wie: Interne Windows-Loader-Änderungen, WUSA-Änderungen
* Code-Status: entfernt ab v3.7.0 :tractor:
38. Autor: Clement Rouault
* Typ: Whitelist-Komponente
* Methode: APPINFO-Befehlszeilen-Spoofing
* Ziel(e): \system32\mmc.exe
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmHakrilMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: ungefixt :see_no_evil:
* Wie: -
* Code-Status: hinzugefügt in v2.7.6
39. Autor: Stefan Kanthak
* Typ: DLL-Hijack
* Methode: .NET-Code-Profiler
* Ziel(e): \system32\mmc.exe
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmCorProfilerMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: ungefixt :see_no_evil:
* Wie: -
* Code-Status: hinzugefügt in v2.7.7
40. Autor: Ruben Boonen
* Typ: COM-Handler-Hijack
* Methode: Manipulation von Registrierungsschlüsseln
* Ziel(e): \system32\mmc.exe, \system32\recdisc.exe
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmCOMHandlersMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 19H1 (18362)
* Wie: Nebeneffekt von Windows-Änderungen
* Code-Status: entfernt ab v3.5.0 :tractor:
41. Autor: Oddvar Moe
* Typ: Erhöhte COM-Schnittstelle
* Methode: ICMLuaUtil
* Ziel(e): Vom Angreifer definiert
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmCMLuaUtilShellExecMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: ungefixt :see_no_evil:
* Wie: -
* Code-Status: hinzugefügt in v2.7.9
42. Autor: BreakingMalware und Enigma0x3
* Typ: Erhöhte COM-Schnittstelle
* Methode: IFwCplLua
* Ziel(e): Vom Angreifer definiert
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmFwCplLuaMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 RS4 (17134)
* Wie: Shell-API-Update
* Code-Status: entfernt ab v3.5.0 :tractor:
43. Autor: Oddvar Moe Derivat
* Typ: Erhöhte COM-Schnittstelle
* Methode: IColorDataProxy, ICMLuaUtil
* Ziel(e): Vom Angreifer definiert
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmDccwCOMMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: ungefixt :see_no_evil:
* Wie: -
* Code-Status: hinzugefügt in v2.8.3
44. Autor: bytecode77
* Typ: Shell-API
* Methode: Erweiterung von Umgebungsvariablen
* Ziel(e): Mehrere autoelevierte Prozesse
* Komponente(n): Verschiedene je Ziel
* Implementierung: ucmVolatileEnvMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 RS3 (16299)
* Wie: Aktuelle Benutzersystemverzeichnisvariablen werden bei der Prozesserstellung ignoriert
* Code-Status: entfernt ab v3.5.0 :tractor:
45. Autor: bytecode77
* Typ: Shell-API
* Methode: Manipulation von Registrierungsschlüsseln
* Ziel(e): \system32\slui.exe
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmSluiHijackMethod
* Funktioniert ab: Windows 8.1 (9600)
* Behoben in: Windows 10 20H1 (19041)
* Wie: Nebeneffekt von Windows-Änderungen
* Code-Status: entfernt ab v3.5.0 :tractor:
46. Autor: Anonymous
* Typ: Race Condition
* Methode: Manipulation von Registrierungsschlüsseln
* Ziel(e): \system32\BitlockerWizardElev.exe
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmBitlockerRCMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 RS4 (>16299)
* Wie: Shell-API-Update
* Code-Status: entfernt ab v3.5.0 :tractor:
47. Autor: clavoillotte & 3gstudent
* Typ: COM-Handler-Hijack
* Methode: Manipulation von Registrierungsschlüsseln
* Ziel(e): \system32\mmc.exe
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmCOMHandlersMethod2
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 19H1 (18362)
* Wie: Nebeneffekt von Windows-Änderungen
* Code-Status: entfernt ab v3.5.0 :tractor:
48. Autor: deroko
* Typ: Erhöhte COM-Schnittstelle
* Methode: ISPPLUAObject
* Ziel(e): Vom Angreifer definiert
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmSPPLUAObjectMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 RS5 (17763)
* Wie: ISPPLUAObject-Schnittstellenmethode geändert
* Code-Status: entfernt ab v3.5.0 :tractor:
49. Autor: RinN
* Typ: Erhöhte COM-Schnittstelle
* Methode: ICreateNewLink
* Ziel(e): \system32\TpmInit.exe
* Komponente(n): WbemComn.dll
* Implementierung: ucmCreateNewLinkMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 RS1 (14393)
* Wie: Nebeneffekt der Einführung von consent.exe COMAutoApprovalList
* Code-Status: entfernt ab v3.5.0 :tractor:
50. Autor: Anonymous
* Typ: Erhöhte COM-Schnittstelle
* Methode: IDateTimeStateWrite, ISPPLUAObject
* Ziel(e): w32time-Dienst
* Komponente(n): w32time.dll
* Implementierung: ucmDateTimeStateWriterMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 RS5 (17763)
* Wie: Nebeneffekt der Änderung der ISPPLUAObject-Schnittstelle
* Code-Status: entfernt ab v3.5.0 :tractor:
51. Autor: bytecode77 Derivat
* Typ: Erhöhte COM-Schnittstelle
* Methode: IAccessibilityCplAdmin
* Ziel(e): \system32\rstrui.exe
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmAcCplAdminMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 RS4 (17134)
* Wie: Shell-API-Update
* Code-Status: entfernt ab v3.5.0 :tractor:
52. Autor: David Wells
* Typ: Whitelist-Komponente
* Methode: Missbrauch der AipNormalizePath-Parsing
* Ziel(e): Vom Angreifer definiert
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmDirectoryMockMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 11 24H2/25H2 (26100/26200)
* Wie: appinfo-Änderungen
* Code-Status: entfernt ab v3.7.0 :tractor:
53. Autor: Emeric Nasi
* Typ: Shell-API
* Methode: Manipulation von Registrierungsschlüsseln
* Ziel(e): \system32\sdclt.exe
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmShellRegModMethod
* Funktioniert ab: Windows 10 (14393)
* Behoben in: ungefixt :see_no_evil:
* Wie: -
* Code-Status: hinzugefügt in v3.1.3
54. Autor: egre55
* Typ: DLL-Hijack
* Methode: Missbrauch der DLL-Pfadsuche
* Ziel(e): \syswow64\SystemPropertiesAdvanced.exe und andere SystemProperties*.exe
* Komponente(n): \AppData\Local\Microsoft\WindowsApps\srrstr.dll
* Implementierung: ucmEgre55Method
* Funktioniert ab: Windows 10 (14393)
* Behoben in: Windows 10 19H1 (18362)
* Wie: SysDm.cpl!_CreateSystemRestorePage wurde für gesicherten Ladenbibliotheksaufruf aktualisiert
* Code-Status: entfernt ab v3.5.0 :tractor:
55. Autor: James Forshaw
* Typ: GUI-Hack
* Methode: UIPI-Bypass mit Token-Modifikation
* Ziel(e): \system32\osk.exe, \system32\msconfig.exe
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmTokenModUIAccessMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 RS5 (17763), Teil des Patches, 2024
* Wie: Wenn die Integritätsstufe eines UIAccess-Tokens gesenkt wird, wird die UIAccess-Eigenschaft entfernt
* Code-Status: entfernt ab v3.7.0 :tractor:
56. Autor: Hashim Jawad
* Typ: Shell-API
* Methode: Manipulation von Registrierungsschlüsseln
* Ziel(e): \system32\WSReset.exe
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmShellRegModMethod2
* Funktioniert ab: Windows 10 (17134)
* Behoben in: Windows 11 (22000)
* Wie: Neugestaltung von Windows-Komponenten
* Code-Status: entfernt ab v3.7.0 :tractor:
57. Autor: Leo Davidson Derivat von Win32/Gapz
* Typ: DLL-Hijack
* Methode: IFileOperation
* Ziel(e): \system32\sysprep\sysprep.exe
* Komponente(n): unattend.dll
* Implementierung: ucmStandardAutoElevation
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 8.1 (9600)
* Wie: sysprep.exe gehärtete LoadFrom-Manifest-Elemente
* Code-Status: entfernt ab v3.5.0 :tractor:
58. Autor: RinN
* Typ: Erhöhte COM-Schnittstelle
* Methode: IEditionUpgradeManager
* Ziel(e): \system32\clipup.exe
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmEditionUpgradeManagerMethod
* Funktioniert ab: Windows 10 (14393)
* Behoben in: Windows 11 24H2/25H2 (26100/26200)
* Wie: Aktuelle Benutzerumgebungsvariable %windir% ignoriert
* Code-Status: entfernt ab v3.7.0 :tractor:
59. Autor: James Forshaw
* Typ: AppInfo ALPC
* Methode: RAiLaunchAdminProcess und DebugObject
* Ziel(e): Vom Angreifer definiert
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmDebugObjectMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: ungefixt :see_no_evil:
* Wie: -
* Code-Status: hinzugefügt in v3.2.3
60. Autor: Enigma0x3 Derivat von WinNT/Glupteba
* Typ: Shell-API
* Methode: Manipulation von Registrierungsschlüsseln
* Ziel(e): \system32\CompMgmtLauncher.exe
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmGluptebaMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 10 RS2 (15063)
* Wie: CompMgmtLauncher.exe-Autoelevation entfernt
* Code-Status: entfernt ab v3.5.0 :tractor:
61. Autor: Enigma0x3/bytecode77 Derivat von Nassim Asrir
* Typ: Shell-API
* Methode: Manipulation von Registrierungsschlüsseln
* Ziel(e): \system32\slui.exe, \system32\changepk.exe
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmShellRegModMethod
* Funktioniert ab: Windows 10 (14393)
* Behoben in: ungefixt :see_no_evil:
* Wie: -
* Code-Status: hinzugefügt in v3.2.5
62. Autor: winscripting.blog
* Typ: Shell-API
* Methode: Manipulation von Registrierungsschlüsseln
* Ziel(e): \system32\computerdefaults.exe
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmShellRegModMethod
* Funktioniert ab: Windows 10 RS4 (17134)
* Behoben in: ungefixt :see_no_evil:
* Wie: -
* Code-Status: hinzugefügt in v3.2.6
63. Autor: Arush Agarampur
* Typ: DLL-Hijack
* Methode: ISecurityEditor
* Ziel(e): Native Image Cache-Elemente
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmNICPoisonMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: ungefixt :see_no_evil:
* Wie: -
* Code-Status: hinzugefügt in v3.2.7
64. Autor: Arush Agarampur
* Typ: Erhöhte COM-Schnittstelle
* Methode: IIEAxiAdminInstaller, IIEAxiInstaller2, IFileOperation
* Ziel(e): IE-Add-on-Installationscache
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmIeAddOnInstallMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: ungefixt :see_no_evil:
* Wie: -
* Code-Status: hinzugefügt in v3.5.1
65. Autor: Arush Agarampur
* Typ: Erhöhte COM-Schnittstelle
* Methode: IWscAdmin
* Ziel(e): Shell-Protocol-Hijack
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmWscActionProtocolMethod
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 11 24H2 (26100)
* Wie: Nebeneffekt von Windows-Änderungen
* Code-Status: entfernt ab v3.7.0 :tractor:
66. Autor: Arush Agarampur
* Typ: Erhöhte COM-Schnittstelle
* Methode: IFwCplLua, Shell-Protocol-Hijack
* Ziel(e): Shell-Protocol-Registrierungseintrag und Umgebungsvariablen
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmFwCplLuaMethod2
* Funktioniert ab: Windows 7 (7600)
* Behoben in: Windows 11 24H2 (26100)
* Wie: Nebeneffekt von Windows-Änderungen
* Code-Status: entfernt ab v3.7.0 :tractor:
67. Autor: Arush Agarampur
* Typ: Shell-API
* Methode: Shell-Protocol-Hijack
* Ziel(e): \system32\fodhelper.exe
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmMsSettingsProtocolMethod
* Funktioniert ab: Windows 10 TH1 (10240)
* Behoben in: ungefixt :see_no_evil:
* Wie: -
* Code-Status: hinzugefügt in v3.5.4
68. Autor: Arush Agarampur
* Typ: Shell-API
* Methode: Shell-Protocol-Hijack
* Ziel(e): \system32\wsreset.exe
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmMsStoreProtocolMethod
* Funktioniert ab: Windows 10 RS5 (17763)
* Behoben in: ungefixt :see_no_evil:
* Wie: -
* Code-Status: hinzugefügt in v3.5.5
69. Autor: Arush Agarampur
* Typ: Shell-API
* Methode: Erweiterung von Umgebungsvariablen, DLL-Hijack
* Ziel(e): \system32\taskhostw.exe
* Komponente(n): pcadm.dll
* Implementierung: ucmPcaMethod
* Funktioniert ab: Windows 7 (7600)
* AlwaysNotify-kompatibel
* Behoben in: Windows 11 24H2/25H2 (26100)
* Wie: Aktuelle Benutzerumgebungsvariable %windir% ignoriert
* Code-Status: entfernt ab v3.7.0 :tractor:
70. Autor: V3ded
* Typ: Shell-API
* Methode: Manipulation von Registrierungsschlüsseln
* Ziel(e): \system32\fodhelper.exe, \system32\computerdefaults.exe
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmShellRegModMethod3
* Funktioniert ab: Windows 10 (10240)
* Behoben in: ungefixt :see_no_evil:
* Wie: -
* Code-Status: hinzugefügt in v3.5.7
71. Autor: Arush Agarampur
* Typ: DLL-Hijack
* Methode: ISecurityEditor
* Ziel(e): Native Image Cache-Elemente
* Komponente(n): Vom Angreifer definiert
* Implementierung: ucmNICPoisonMethod2
* Funktioniert ab: Windows 7 RTM (7600)
* Behoben in: ungefixt :see_no_evil:
* Wie: -
* Code-Status: hinzugefügt in v3.5.8
72. Autor: Emeric Nasi
* Typ: DLL-Hijack
* Methode: Missbrauch der DLL-Pfadsuche
* Ziel(e): \syswow64\msdt.exe, \system32\sdiagnhost.exe
* Komponente(n): BluetoothDiagnosticUtil.dll
* Implementierung: ucmMsdtMethod
* Funktioniert ab: Windows 10 (1024
```
---
[Read more](https://github.com/hfiref0x/uacme)