hfiref0x/uacmeDerrotando el Control de Cuentas de Usuario de Windows
[](https://ci.appveyor.com/project/hfiref0x/uacme)
# UACMe
Derrotando el Control de Cuentas de Usuario de Windows abusando de la puerta trasera AutoElevate incorporada de Windows. Este proyecto demuestra varias técnicas de evasión de UAC y sirve como recurso educativo para comprender los mecanismos de seguridad de Windows.
> ⚠️ **Advertencia**: Esta herramienta demuestra vulnerabilidades de seguridad que podrían ser explotadas maliciosamente. Úsela responsablemente y solo en entornos controlados.
# Requisitos del sistema
* **Sistemas operativos**: Windows 7/8/8.1/10/11 (x86-32/x64, cliente, algunos métodos también funcionan en versiones de servidor)
* **Cuenta de usuario**: Cuenta de administrador con UAC configurada en valores predeterminados
## Uso
Ejecute el ejecutable desde la línea de comandos usando la siguiente sintaxis:```
akagi32.exe [Method_Number] [Optional_Command]
```
o```
akagi64.exe [Method_Number] [Optional_Command]
```
### Parámetros:
* **Method_Number**: Número correspondiente al método de omisión de UAC (consulte la Lista de Métodos a continuación)
* **Optional_Command**: Ruta completa a un archivo ejecutable para ejecutar con privilegios elevados
* Si se omite, el programa iniciará un símbolo del sistema elevado (%systemroot%\system32\cmd.exe)
### Ejemplos:```
akagi32.exe 23
akagi64.exe 61
akagi32.exe 23 c:\windows\system32\calc.exe
akagi64.exe 61 c:\windows\system32\charmap.exe
```
> **Nota**: Desde la versión 3.5.0, todos los métodos anteriormente "corregidos" se consideran obsoletos y han sido eliminados. Si los necesita, use la [rama v3.2.x](https://github.com/hfiref0x/UACME/tree/v3.2.x).
> **Nota**: A partir de la versión 3.7.0, los métodos "corregidos" entre 3.5.0 y 3.7.0 han sido eliminados de la tabla de métodos de UACMe. Si los necesita, use la [rama v3.6.x_plus](https://github.com/hfiref0x/UACME/tree/v3.6.x_plus). El código de estos métodos aún está disponible en la rama actual con fines históricos.
<details>
<summary>Claves (clic para expandir/contraer)</summary>1. Autor: Leo Davidson
* Tipo: Dll Hijack
* Método: IFileOperation
* Objetivo(s): \system32\sysprep\sysprep.exe
* Componente(s): cryptbase.dll
* Implementación: ucmStandardAutoElevation
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 8.1 (9600)
* Cómo: sysprep.exe endureció los elementos LoadFrom del manifiesto
* Estado del código: eliminado a partir de v3.5.0 :tractor:
2. Autor: Derivado de Leo Davidson
* Tipo: Dll Hijack
* Método: IFileOperation
* Objetivo(s): \system32\sysprep\sysprep.exe
* Componente(s): ShCore.dll
* Implementación: ucmStandardAutoElevation
* Funciona desde: Windows 8.1 (9600)
* Corregido en: Windows 10 TP (> 9600)
* Cómo: Efecto secundario de mover ShCore.dll a \KnownDlls
* Estado del código: eliminado a partir de v3.5.0 :tractor:
3. Autor: Derivado de Leo Davidson por WinNT/Pitou
* Tipo: Dll Hijack
* Método: IFileOperation
* Objetivo(s): \system32\oobe\setupsqm.exe
* Componente(s): WdsCore.dll
* Implementación: ucmStandardAutoElevation
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 TH2 (10558)
* Cómo: Efecto secundario del rediseño de OOBE
* Estado del código: eliminado a partir de v3.5.0 :tractor:
4. Autor: Jon Ericson, WinNT/Gootkit, mzH
* Tipo: AppCompat
* Método: RedirectEXE Shim
* Objetivo(s): \system32\cliconfg.exe
* Componente(s): -
* Implementación: ucmShimRedirectEXE
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 TP (> 9600)
* Cómo: Se eliminó la autoelevación de Sdbinst.exe, KB3045645/KB3048097 para el resto de versiones de Windows
* Estado del código: eliminado a partir de v3.5.0 :tractor:
5. Autor: WinNT/Simda
* Tipo: Interfaz COM elevada
* Método: ISecurityEditor
* Objetivo(s): Claves del registro HKLM
* Componente(s): -
* Implementación: ucmSimdaTurnOffUac
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 TH1 (10147)
* Cómo: Se modificó el método de la interfaz ISecurityEditor
* Estado del código: eliminado a partir de v3.5.0 :tractor:
6. Autor: Win32/Carberp
* Tipo: Dll Hijack
* Método: WUSA
* Objetivo(s): \ehome\mcx2prov.exe, \system32\migwiz\migwiz.exe
* Componente(s): WdsCore.dll, CryptBase.dll, CryptSP.dll
* Implementación: ucmWusaMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 TH1 (10147)
* Cómo: Se eliminó la opción WUSA /extract
* Estado del código: eliminado a partir de v3.5.0 :tractor:
7. Autor: Derivado de Win32/Carberp
* Tipo: Dll Hijack
* Método: WUSA
* Objetivo(s): \system32\cliconfg.exe
* Componente(s): ntwdblib.dll
* Implementación: ucmWusaMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 TH1 (10147)
* Cómo: Se eliminó la opción WUSA /extract
* Estado del código: eliminado a partir de v3.5.0 :tractor:
8. Autor: Derivado de Leo Davidson por Win32/Tilon
* Tipo: Dll Hijack
* Método: IFileOperation
* Objetivo(s): \system32\sysprep\sysprep.exe
* Componente(s): Actionqueue.dll
* Implementación: ucmStandardAutoElevation
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 8.1 (9600)
* Cómo: sysprep.exe endureció LoadFrom del manifiesto
* Estado del código: eliminado a partir de v3.5.0 :tractor:
9. Autor: Derivado de Leo Davidson, WinNT/Simda, Win32/Carberp
* Tipo: Dll Hijack
* Método: IFileOperation, ISecurityEditor, WUSA
* Objetivo(s): Claves del registro IFEO, \system32\cliconfg.exe
* Componente(s): Application Verifier Dll definida por el atacante
* Implementación: ucmAvrfMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 TH1 (10147)
* Cómo: Se eliminó la opción WUSA /extract, se modificó el método de la interfaz ISecurityEditor
* Estado del código: eliminado a partir de v3.5.0 :tractor:
10. Autor: WinNT/Pitou, Derivado de Win32/Carberp
* Tipo: Dll Hijack
* Método: IFileOperation, WUSA
* Objetivo(s): \system32\\{Nuevo}o{Existente}\\{autoelevated}.exe, p.ej. winsat.exe
* Componente(s): dll definida por el atacante, p.ej. PowProf.dll, DevObj.dll
* Implementación: ucmWinSATMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 TH2 (10548)
* Cómo: Endurecimiento del control de rutas de aplicaciones elevadas en AppInfo
* Estado del código: eliminado a partir de v3.5.0 :tractor:
11. Autor: Jon Ericson, WinNT/Gootkit, mzH
* Tipo: AppCompat
* Método: Shim Memory Patch
* Objetivo(s): \system32\iscsicli.exe
* Componente(s): Shellcode preparado por el atacante
* Implementación: ucmShimPatch
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 8.1 (9600)
* Cómo: Se eliminó la autoelevación de Sdbinst.exe, KB3045645/KB3048097 para el resto de versiones de Windows
* Estado del código: eliminado a partir de v3.5.0 :tractor:
12. Autor: Derivado de Leo Davidson
* Tipo: Dll Hijack
* Método: IFileOperation
* Objetivo(s): \system32\sysprep\sysprep.exe
* Componente(s): dbgcore.dll
* Implementación: ucmStandardAutoElevation
* Funciona desde: Windows 10 TH1 (10240)
* Corregido en: Windows 10 TH2 (10565)
* Cómo: Se actualizó el manifiesto de sysprep.exe
* Estado del código: eliminado a partir de v3.5.0 :tractor:
13. Autor: Derivado de Leo Davidson
* Tipo: Dll Hijack
* Método: IFileOperation
* Objetivo(s): \system32\mmc.exe EventVwr.msc
* Componente(s): elsext.dll
* Implementación: ucmMMCMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 RS1 (14316)
* Cómo: Se eliminó dependencia faltante
* Estado del código: eliminado a partir de v3.5.0 :tractor:
14. Autor: Derivado de Leo Davidson, WinNT/Sirefef
* Tipo: Dll Hijack
* Método: IFileOperation
* Objetivo(s): \system\credwiz.exe, \system32\wbem\oobe.exe
* Componente(s): netutils.dll
* Implementación: ucmSirefefMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 TH2 (10548)
* Cómo: Endurecimiento del control de rutas de aplicaciones elevadas en AppInfo
* Estado del código: eliminado a partir de v3.5.0 :tractor:
15. Autor: Derivado de Leo Davidson, Win32/Addrop, Metasploit
* Tipo: Dll Hijack
* Método: IFileOperation
* Objetivo(s): \system32\cliconfg.exe
* Componente(s): ntwdblib.dll
* Implementación: ucmGenericAutoelevation
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 RS1 (14316)
* Cómo: Se eliminó la autoelevación de Cliconfg.exe
* Estado del código: eliminado a partir de v3.5.0 :tractor:
16. Autor: Derivado de Leo Davidson
* Tipo: Dll Hijack
* Método: IFileOperation
* Objetivo(s): \system32\GWX\GWXUXWorker.exe, \system32\inetsrv\inetmgr.exe
* Componente(s): SLC.dll
* Implementación: ucmGWX
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 RS1 (14316)
* Cómo: Endurecimiento del control de rutas de aplicaciones elevadas en AppInfo y endurecimiento del ejecutable inetmgr
* Estado del código: eliminado a partir de v3.5.0 :tractor:
17. Autor: Derivado de Leo Davidson
* Tipo: Dll Hijack (redirección de importación)
* Método: IFileOperation
* Objetivo(s): \system32\sysprep\sysprep.exe
* Componente(s): unbcl.dll
* Implementación: ucmStandardAutoElevation2
* Funciona desde: Windows 8.1 (9600)
* Corregido en: Windows 10 RS1 (14371)
* Cómo: Se actualizó el manifiesto de sysprep.exe
* Estado del código: eliminado a partir de v3.5.0 :tractor:
18. Autor: Derivado de Leo Davidson
* Tipo: Dll Hijack (Manifiesto)
* Método: IFileOperation
* Objetivo(s): \system32\taskhost.exe, \system32\tzsync.exe (cualquier ejecutable de ms sin manifiesto)
* Componente(s): Definido por el atacante
* Implementación: ucmAutoElevateManifest
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 RS1 (14371)
* Cómo: Se revisó la lógica de análisis del manifiesto
* Estado del código: eliminado a partir de v3.5.0 :tractor:
19. Autor: Derivado de Leo Davidson
* Tipo: Dll Hijack
* Método: IFileOperation
* Objetivo(s): \system32\inetsrv\inetmgr.exe
* Componente(s): MsCoree.dll
* Implementación: ucmInetMgrMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 RS1 (14376)
* Cómo: Endurecimiento del manifiesto del ejecutable inetmgr.exe, MitigationPolicy->ProcessImageLoadPolicy->PreferSystem32Images
* Estado del código: eliminado a partir de v3.5.0 :tractor:
20. Autor: Derivado de Leo Davidson
* Tipo: Dll Hijack
* Método: IFileOperation
* Objetivo(s): \system32\mmc.exe, Rsop.msc
* Componente(s): WbemComn.dll
* Implementación: ucmMMCMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 RS3 (16232)
* Cómo: El objetivo requiere que wbemcomn.dll esté firmado por MS
* Estado del código: eliminado a partir de v3.5.0 :tractor:
21. Autor: Derivado de Leo Davidson
* Tipo: Dll Hijack
* Método: IFileOperation, SxS DotLocal
* Objetivo(s): \system32\sysprep\sysprep.exe
* Componente(s): comctl32.dll
* Implementación: ucmSXSMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 RS3 (16232)
* Cómo: MitigationPolicy->ProcessImageLoadPolicy->PreferSystem32Images
* Estado del código: eliminado a partir de v3.5.0 :tractor:
22. Autor: Derivado de Leo Davidson
* Tipo: Dll Hijack
* Método: IFileOperation, SxS DotLocal
* Objetivo(s): \system32\consent.exe
* Componente(s): comctl32.dll
* Implementación: ucmSXSMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 11 24H2/25H2 (26100/26200)
* Cómo: Cambios internos en el cargador de Windows, consent!MitigationPolicy->ProcessSignaturePolicy->MicrosoftSignedOnly
* Estado del código: eliminado a partir de v3.7.0 :tractor:
23. Autor: Derivado de Leo Davidson
* Tipo: Dll Hijack
* Método: IFileOperation
* Objetivo(s): \system32\pkgmgr.exe
* Componente(s): DismCore.dll
* Implementación: ucmDismMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: sin corregir :see_no_evil:
* Cómo: -
* Estado del código: añadido en v2.5.1
24. Autor: BreakingMalware
* Tipo: Shell API
* Método: Expansión de variables de entorno
* Objetivo(s): \system32\CompMgmtLauncher.exe
* Componente(s): Definido por el atacante
* Implementación: ucmCometMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 RS2 (15031)
* Cómo: Se eliminó la autoelevación de CompMgmtLauncher.exe
* Estado del código: eliminado a partir de v3.5.0 :tractor:
25. Autor: Enigma0x3
* Tipo: Shell API
* Método: Manipulación de claves del registro
* Objetivo(s): \system32\EventVwr.exe, \system32\CompMgmtLauncher.exe
* Componente(s): Definido por el atacante
* Implementación: ucmHijackShellCommandMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 RS2 (15031)
* Cómo: EventVwr.exe rediseñado, autoelevación de CompMgmtLauncher.exe eliminada
* Estado del código: eliminado a partir de v3.5.0 :tractor:
26. Autor: Enigma0x3
* Tipo: Condición de carrera
* Método: Sobrescritura de archivo
* Objetivo(s): %temp%\GUID\dismhost.exe
* Componente(s): LogProvider.dll
* Implementación: ucmDiskCleanupRaceCondition
* Funciona desde: Windows 10 TH1 (10240)
* Compatible con AlwaysNotify
* Corregido en: Windows 10 RS2 (15031)
* Cómo: Se alteraron los permisos de seguridad del archivo
* Estado del código: eliminado a partir de v3.5.0 :tractor:
27. Autor: ExpLife
* Tipo: Interfaz COM elevada
* Método: IARPUninstallStringLauncher
* Objetivo(s): Definido por el atacante
* Componente(s): Definido por el atacante
* Implementación: ucmUninstallLauncherMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 RS3 (16199)
* Cómo: Se eliminó la interfaz UninstallStringLauncher de COMAutoApprovalList
* Estado del código: eliminado a partir de v3.5.0 :tractor:
28. Autor: Exploit/Sandworm
* Tipo: Componente en lista blanca
* Método: InfDefaultInstall
* Objetivo(s): Definido por el atacante
* Componente(s): Definido por el atacante
* Implementación: ucmSandwormMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 8.1 (9600)
* Cómo: InfDefaultInstall.exe eliminado de g_lpAutoApproveEXEList (MS14-060)
* Estado del código: eliminado a partir de v3.5.0 :tractor:
29. Autor: Enigma0x3
* Tipo: Shell API
* Método: Manipulación de claves del registro
* Objetivo(s): \system32\sdclt.exe
* Componente(s): Definido por el atacante
* Implementación: ucmAppPathMethod
* Funciona desde: Windows 10 TH1 (10240)
* Corregido en: Windows 10 RS3 (16215)
* Cómo: Actualización de Shell API
* Estado del código: eliminado a partir de v3.5.0 :tractor:
30. Autor: Derivado de Leo Davidson, lhc645
* Tipo: Dll Hijack
* Método: WOW64 logger
* Objetivo(s): \syswow64\\{cualquier ejecutable elevado, p.ej wusa.exe}
* Componente(s): wow64log.dll
* Implementación: ucmWow64LoggerMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 11 24H2/25H2 (26100/26200)
* Cómo: Cambios internos en el cargador de Windows
* Estado del código: eliminado a partir de v3.7.0 :tractor:
31. Autor: Enigma0x3
* Tipo: Shell API
* Método: Manipulación de claves del registro
* Objetivo(s): \system32\sdclt.exe
* Componente(s): Definido por el atacante
* Implementación: ucmSdcltIsolatedCommandMethod
* Funciona desde: Windows 10 TH1 (10240)
* Corregido en: Windows 10 RS4 (17025)
* Cómo: Actualización de Shell API / Componentes de Windows
* Estado del código: eliminado a partir de v3.5.0 :tractor:
32. Autor: xi-tauw
* Tipo: Dll Hijack
* Método: Bypass de UIPI con aplicación uiAccess
* Objetivo(s): \Program Files\Windows Media Player\osk.exe, \system32\EventVwr.exe, \system32\mmc.exe
* Componente(s): duser.dll, osksupport.dll
* Implementación: ucmUiAccessMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: sin corregir :see_no_evil:
* Cómo: -
* Estado del código: añadido en v2.7.1
33. Autor: winscripting.blog
* Tipo: Shell API
* Método: Manipulación de claves del registro
* Objetivo(s): \system32\fodhelper.exe
* Componente(s): Definido por el atacante
* Implementación: ucmShellRegModMethod
* Funciona desde: Windows 10 TH1 (10240)
* Corregido en: sin corregir :see_no_evil:
* Cómo: -
* Estado del código: añadido en v2.7.2
34. Autor: James Forshaw
* Tipo: Shell API
* Método: Expansión de variables de entorno
* Objetivo(s): \system32\svchost.exe vía \system32\schtasks.exe
* Componente(s): Definido por el atacante
* Implementación: ucmDiskCleanupEnvironmentVariable
* Funciona desde: Windows 8.1 (9600)
* Compatible con AlwaysNotify
* Corregido en: sin corregir :see_no_evil:
* Cómo: -
* Estado del código: añadido en v2.7.2
35. Autor: CIA y James Forshaw
* Tipo: Suplantación
* Método: Manipulaciones de tokens
* Objetivo(s): Aplicaciones autoelevadas
* Componente(s): Definido por el atacante
* Implementación: ucmTokenModification
* Funciona desde: Windows 7 (7600)
* Compatible con AlwaysNotify, ver nota
* Corregido en: Windows 10 RS5 (17686)
* Cómo: ntoskrnl.exe->SeTokenCanImpersonate añadida comprobación adicional de token de acceso
* Estado del código: eliminado a partir de v3.5.0 :tractor:
36. Autor: Thomas Vanhoutte alias SandboxEscaper
* Tipo: Condición de carrera
* Método: Punto de reanálisis NTFS y Dll Hijack
* Objetivo(s): wusa.exe, pkgmgr.exe
* Componente(s): Definido por el atacante
* Implementación: ucmJunctionMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 11 24H2/25H2 (26100/26200)
* Cómo: Cambios en WUSA
* Estado del código: eliminado a partir de v3.7.0 :tractor:
37. Autor: Ernesto Fernandez, Thomas Vanhoutte
* Tipo: Dll Hijack
* Método: SxS DotLocal, Punto de reanálisis NTFS
* Objetivo(s): \system32\dccw.exe
* Componente(s): GdiPlus.dll
* Implementación: ucmSXSDccwMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 11 24H2/25H2 (26100/26200)
* Cómo: Cambios internos en el cargador de Windows, cambios en WUSA
* Estado del código: eliminado a partir de v3.7.0 :tractor:
38. Autor: Clement Rouault
* Tipo: Componente en lista blanca
* Método: Suplantación de línea de comandos de APPINFO
* Objetivo(s): \system32\mmc.exe
* Componente(s): Definido por el atacante
* Implementación: ucmHakrilMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: sin corregir :see_no_evil:
* Cómo: -
* Estado del código: añadido en v2.7.6
39. Autor: Stefan Kanthak
* Tipo: Dll Hijack
* Método: .NET Code Profiler
* Objetivo(s): \system32\mmc.exe
* Componente(s): Definido por el atacante
* Implementación: ucmCorProfilerMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: sin corregir :see_no_evil:
* Cómo: -
* Estado del código: añadido en v2.7.7
40. Autor: Ruben Boonen
* Tipo: COM Handler Hijack
* Método: Manipulación de claves del registro
* Objetivo(s): \system32\mmc.exe, \system32\recdisc.exe
* Componente(s): Definido por el atacante
* Implementación: ucmCOMHandlersMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 19H1 (18362)
* Cómo: Efecto secundario de cambios en Windows
* Estado del código: eliminado a partir de v3.5.0 :tractor:
41. Autor: Oddvar Moe
* Tipo: Interfaz COM elevada
* Método: ICMLuaUtil
* Objetivo(s): Definido por el atacante
* Componente(s): Definido por el atacante
* Implementación: ucmCMLuaUtilShellExecMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: sin corregir :see_no_evil:
* Cómo: -
* Estado del código: añadido en v2.7.9
42. Autor: BreakingMalware y Enigma0x3
* Tipo: Interfaz COM elevada
* Método: IFwCplLua
* Objetivo(s): Definido por el atacante
* Componente(s): Definido por el atacante
* Implementación: ucmFwCplLuaMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 RS4 (17134)
* Cómo: Actualización de Shell API
* Estado del código: eliminado a partir de v3.5.0 :tractor:
43. Autor: Derivado de Oddvar Moe
* Tipo: Interfaz COM elevada
* Método: IColorDataProxy, ICMLuaUtil
* Objetivo(s): Definido por el atacante
* Componente(s): Definido por el atacante
* Implementación: ucmDccwCOMMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: sin corregir :see_no_evil:
* Cómo: -
* Estado del código: añadido en v2.8.3
44. Autor: bytecode77
* Tipo: Shell API
* Método: Expansión de variables de entorno
* Objetivo(s): Múltiples procesos autoelevados
* Componente(s): Varios por objetivo
* Implementación: ucmVolatileEnvMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 RS3 (16299)
* Cómo: Las variables de directorio del sistema del usuario actual se ignoran durante la creación de procesos
* Estado del código: eliminado a partir de v3.5.0 :tractor:
45. Autor: bytecode77
* Tipo: Shell API
* Método: Manipulación de claves del registro
* Objetivo(s): \system32\slui.exe
* Componente(s): Definido por el atacante
* Implementación: ucmSluiHijackMethod
* Funciona desde: Windows 8.1 (9600)
* Corregido en: Windows 10 20H1 (19041)
* Cómo: Efecto secundario de cambios en Windows
* Estado del código: eliminado a partir de v3.5.0 :tractor:
46. Autor: Anónimo
* Tipo: Condición de carrera
* Método: Manipulación de claves del registro
* Objetivo(s): \system32\BitlockerWizardElev.exe
* Componente(s): Definido por el atacante
* Implementación: ucmBitlockerRCMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 RS4 (>16299)
* Cómo: Actualización de Shell API
* Estado del código: eliminado a partir de v3.5.0 :tractor:
47. Autor: clavoillotte y 3gstudent
* Tipo: COM Handler Hijack
* Método: Manipulación de claves del registro
* Objetivo(s): \system32\mmc.exe
* Componente(s): Definido por el atacante
* Implementación: ucmCOMHandlersMethod2
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 19H1 (18362)
* Cómo: Efecto secundario de cambios en Windows
* Estado del código: eliminado a partir de v3.5.0 :tractor:
48. Autor: deroko
* Tipo: Interfaz COM elevada
* Método: ISPPLUAObject
* Objetivo(s): Definido por el atacante
* Componente(s): Definido por el atacante
* Implementación: ucmSPPLUAObjectMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 RS5 (17763)
* Cómo: Se cambió el método de la interfaz ISPPLUAObject
* Estado del código: eliminado a partir de v3.5.0 :tractor:
49. Autor: RinN
* Tipo: Interfaz COM elevada
* Método: ICreateNewLink
* Objetivo(s): \system32\TpmInit.exe
* Componente(s): WbemComn.dll
* Implementación: ucmCreateNewLinkMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 RS1 (14393)
* Cómo: Efecto secundario de la introducción de COMAutoApprovalList en consent.exe
* Estado del código: eliminado a partir de v3.5.0 :tractor:
50. Autor: Anónimo
* Tipo: Interfaz COM elevada
* Método: IDateTimeStateWrite, ISPPLUAObject
* Objetivo(s): Servicio w32time
* Componente(s): w32time.dll
* Implementación: ucmDateTimeStateWriterMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 RS5 (17763)
* Cómo: Efecto secundario del cambio de la interfaz ISPPLUAObject
* Estado del código: eliminado a partir de v3.5.0 :tractor:
51. Autor: Derivado de bytecode77
* Tipo: Interfaz COM elevada
* Método: IAccessibilityCplAdmin
* Objetivo(s): \system32\rstrui.exe
* Componente(s): Definido por el atacante
* Implementación: ucmAcCplAdminMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 RS4 (17134)
* Cómo: Actualización de Shell API
* Estado del código: eliminado a partir de v3.5.0 :tractor:
52. Autor: David Wells
* Tipo: Componente en lista blanca
* Método: Abuso de análisis AipNormalizePath
* Objetivo(s): Definido por el atacante
* Componente(s): Definido por el atacante
* Implementación: ucmDirectoryMockMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 11 24H2/25H2 (26100/26200)
* Cómo: Cambios en appinfo
* Estado del código: eliminado a partir de v3.7.0 :tractor:
53. Autor: Emeric Nasi
* Tipo: Shell API
* Método: Manipulación de claves del registro
* Objetivo(s): \system32\sdclt.exe
* Componente(s): Definido por el atacante
* Implementación: ucmShellRegModMethod
* Funciona desde: Windows 10 (14393)
* Corregido en: sin corregir :see_no_evil:
* Cómo: -
* Estado del código: añadido en v3.1.3
54. Autor: egre55
* Tipo: Dll Hijack
* Método: Abuso de búsqueda de ruta de DLL
* Objetivo(s): \syswow64\SystemPropertiesAdvanced.exe y otros SystemProperties*.exe
* Componente(s): \AppData\Local\Microsoft\WindowsApps\srrstr.dll
* Implementación: ucmEgre55Method
* Funciona desde: Windows 10 (14393)
* Corregido en: Windows 10 19H1 (18362)
* Cómo: SysDm.cpl!_CreateSystemRestorePage se actualizó para una llamada de biblioteca de carga segura
* Estado del código: eliminado a partir de v3.5.0 :tractor:
55. Autor: James Forshaw
* Tipo: Hack de GUI
* Método: Bypass de UIPI con modificación de token
* Objetivo(s): \system32\osk.exe, \system32\msconfig.exe
* Componente(s): Definido por el atacante
* Implementación: ucmTokenModUIAccessMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 RS5 (17763), parcialmente parcheado, año 2024
* Cómo: Cuando se reduce el nivel de integridad de un token UIAccess, se elimina la propiedad UIAccess
* Estado del código: eliminado a partir de v3.7.0 :tractor:
56. Autor: Hashim Jawad
* Tipo: Shell API
* Método: Manipulación de claves del registro
* Objetivo(s): \system32\WSReset.exe
* Componente(s): Definido por el atacante
* Implementación: ucmShellRegModMethod2
* Funciona desde: Windows 10 (17134)
* Corregido en: Windows 11 (22000)
* Cómo: Rediseño de componentes de Windows
* Estado del código: eliminado a partir de v3.7.0 :tractor:
57. Autor: Derivado de Leo Davidson por Win32/Gapz
* Tipo: Dll Hijack
* Método: IFileOperation
* Objetivo(s): \system32\sysprep\sysprep.exe
* Componente(s): unattend.dll
* Implementación: ucmStandardAutoElevation
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 8.1 (9600)
* Cómo: sysprep.exe endureció los elementos LoadFrom del manifiesto
* Estado del código: eliminado a partir de v3.5.0 :tractor:
58. Autor: RinN
* Tipo: Interfaz COM elevada
* Método: IEditionUpgradeManager
* Objetivo(s): \system32\clipup.exe
* Componente(s): Definido por el atacante
* Implementación: ucmEditionUpgradeManagerMethod
* Funciona desde: Windows 10 (14393)
* Corregido en: Windows 11 24H2/25H2 (26100/26200)
* Cómo: Se ignora la variable de entorno %windir% del usuario actual
* Estado del código: eliminado a partir de v3.7.0 :tractor:
59. Autor: James Forshaw
* Tipo: AppInfo ALPC
* Método: RAiLaunchAdminProcess y DebugObject
* Objetivo(s): Definido por el atacante
* Componente(s): Definido por el atacante
* Implementación: ucmDebugObjectMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: sin corregir :see_no_evil:
* Cómo: -
* Estado del código: añadido en v3.2.3
60. Autor: Derivado de Enigma0x3 por WinNT/Glupteba
* Tipo: Shell API
* Método: Manipulación de claves del registro
* Objetivo(s): \system32\CompMgmtLauncher.exe
* Componente(s): Definido por el atacante
* Implementación: ucmGluptebaMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 10 RS2 (15063)
* Cómo: Se eliminó la autoelevación de CompMgmtLauncher.exe
* Estado del código: eliminado a partir de v3.5.0 :tractor:
61. Autor: Derivado de Enigma0x3/bytecode77 por Nassim Asrir
* Tipo: Shell API
* Método: Manipulación de claves del registro
* Objetivo(s): \system32\slui.exe, \system32\changepk.exe
* Componente(s): Definido por el atacante
* Implementación: ucmShellRegModMethod
* Funciona desde: Windows 10 (14393)
* Corregido en: sin corregir :see_no_evil:
* Cómo: -
* Estado del código: añadido en v3.2.5
62. Autor: winscripting.blog
* Tipo: Shell API
* Método: Manipulación de claves del registro
* Objetivo(s): \system32\computerdefaults.exe
* Componente(s): Definido por el atacante
* Implementación: ucmShellRegModMethod
* Funciona desde: Windows 10 RS4 (17134)
* Corregido en: sin corregir :see_no_evil:
* Cómo: -
* Estado del código: añadido en v3.2.6
63. Autor: Arush Agarampur
* Tipo: Dll Hijack
* Método: ISecurityEditor
* Objetivo(s): Elementos de Native Image Cache
* Componente(s): Definido por el atacante
* Implementación: ucmNICPoisonMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: sin corregir :see_no_evil:
* Cómo: -
* Estado del código: añadido en v3.2.7
64. Autor: Arush Agarampur
* Tipo: Interfaz COM elevada
* Método: IIEAxiAdminInstaller, IIEAxiInstaller2, IFileOperation
* Objetivo(s): Caché de instalación de complementos de IE
* Componente(s): Definido por el atacante
* Implementación: ucmIeAddOnInstallMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: sin corregir :see_no_evil:
* Cómo: -
* Estado del código: añadido en v3.5.1
65. Autor: Arush Agarampur
* Tipo: Interfaz COM elevada
* Método: IWscAdmin
* Objetivo(s): Shell Protocol Hijack
* Componente(s): Definido por el atacante
* Implementación: ucmWscActionProtocolMethod
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 11 24H2 (26100)
* Cómo: Efecto secundario de cambios en Windows
* Estado del código: eliminado a partir de v3.7.0 :tractor:
66. Autor: Arush Agarampur
* Tipo: Interfaz COM elevada
* Método: IFwCplLua, Shell Protocol Hijack
* Objetivo(s): Entrada de registro de protocolo Shell y variables de entorno
* Componente(s): Definido por el atacante
* Implementación: ucmFwCplLuaMethod2
* Funciona desde: Windows 7 (7600)
* Corregido en: Windows 11 24H2 (26100)
* Cómo: Efecto secundario de cambios en Windows
* Estado del código: eliminado a partir de v3.7.0 :tractor:
67. Autor: Arush Agarampur
* Tipo: Shell API
* Método: Shell Protocol Hijack
* Objetivo(s): \system32\fodhelper.exe
* Componente(s): Definido por el atacante
* Implementación: ucmMsSettingsProtocolMethod
* Funciona desde: Windows 10 TH1 (10240)
```
---
[Read more](https://github.com/hfiref0x/uacme)