hfiref0x/uacmeContourner le contrôle de compte d'utilisateur Windows
[](https://ci.appveyor.com/project/hfiref0x/uacme)
# UACMe
Contourner le Contrôle de Compte d'Utilisateur Windows en abusant de la porte dérobée AutoElevate intégrée. Ce projet démontre diverses techniques de contournement de l'UAC et sert de ressource éducative pour comprendre les mécanismes de sécurité de Windows.
> ⚠️ **Avertissement** : Cet outil démontre des vulnérabilités de sécurité qui pourraient être exploitées de manière malveillante. Utilisez-le de manière responsable et uniquement dans des environnements contrôlés.
# Configuration système requise
* **Systèmes d'exploitation** : Windows 7/8/8.1/10/11 (x86-32/x64, client, certaines méthodes fonctionnent également sur la version serveur)
* **Compte utilisateur** : Compte administrateur avec UAC configuré sur les paramètres par défaut
## Utilisation
Exécutez l'exécutable depuis la ligne de commande en utilisant la syntaxe suivante :```
akagi32.exe [Method_Number] [Optional_Command]
```
ou```
akagi64.exe [Method_Number] [Optional_Command]
```
### Paramètres :
* **Method_Number** : Numéro correspondant à la méthode de contournement UAC (voir la liste des méthodes ci-dessous)
* **Optional_Command** : Chemin complet d'un fichier exécutable à exécuter avec des privilèges élevés
* Si omis, le programme lancera une invite de commandes élevée (%systemroot%\system32\cmd.exe)
### Exemples :```
akagi32.exe 23
akagi64.exe 61
akagi32.exe 23 c:\windows\system32\calc.exe
akagi64.exe 61 c:\windows\system32\charmap.exe
```
> **Note** : Depuis la version 3.5.0, toutes les méthodes précédemment « corrigées » sont considérées comme obsolètes et ont été supprimées. Si vous en avez besoin, utilisez la [branche v3.2.x](https://github.com/hfiref0x/UACME/tree/v3.2.x).
> **Note** : À partir de la version 3.7.0, les méthodes « corrigées » entre 3.5.0 et 3.7.0 ont été supprimées du tableau des méthodes UACMe. Si vous en avez besoin, utilisez la [branche v3.6.x_plus](https://github.com/hfiref0x/UACME/tree/v3.6.x_plus). Le code de ces méthodes est toujours disponible dans la branche actuelle à des fins historiques.
<details>
<summary>Clés (cliquez pour développer/réduire)</summary>1. Auteur : Leo Davidson
* Type : Détournement de DLL
* Méthode : IFileOperation
* Cible(s) : \system32\sysprep\sysprep.exe
* Composant(s) : cryptbase.dll
* Implémentation : ucmStandardAutoElevation
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 8.1 (9600)
* Comment : sysprep.exe a durci les éléments LoadFrom du manifeste
* État du code : supprimé à partir de v3.5.0 :tractor:
2. Auteur : dérivé de Leo Davidson
* Type : Détournement de DLL
* Méthode : IFileOperation
* Cible(s) : \system32\sysprep\sysprep.exe
* Composant(s) : ShCore.dll
* Implémentation : ucmStandardAutoElevation
* Fonctionne depuis : Windows 8.1 (9600)
* Corrigé dans : Windows 10 TP (> 9600)
* Comment : Effet secondaire du déplacement de ShCore.dll vers \KnownDlls
* État du code : supprimé à partir de v3.5.0 :tractor:
3. Auteur : dérivé de Leo Davidson par WinNT/Pitou
* Type : Détournement de DLL
* Méthode : IFileOperation
* Cible(s) : \system32\oobe\setupsqm.exe
* Composant(s) : WdsCore.dll
* Implémentation : ucmStandardAutoElevation
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 TH2 (10558)
* Comment : Effet secondaire de la refonte de OOBE
* État du code : supprimé à partir de v3.5.0 :tractor:
4. Auteur : Jon Ericson, WinNT/Gootkit, mzH
* Type : Compatibilité d’application
* Méthode : Shim RedirectEXE
* Cible(s) : \system32\cliconfg.exe
* Composant(s) : -
* Implémentation : ucmShimRedirectEXE
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 TP (> 9600)
* Comment : Suppression de l’auto-élévation de Sdbinst.exe, KB3045645/KB3048097 pour les autres versions de Windows
* État du code : supprimé à partir de v3.5.0 :tractor:
5. Auteur : WinNT/Simda
* Type : Interface COM élevée
* Méthode : ISecurityEditor
* Cible(s) : clés de registre HKLM
* Composant(s) : -
* Implémentation : ucmSimdaTurnOffUac
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 TH1 (10147)
* Comment : Changement de la méthode de l’interface ISecurityEditor
* État du code : supprimé à partir de v3.5.0 :tractor:
6. Auteur : Win32/Carberp
* Type : Détournement de DLL
* Méthode : WUSA
* Cible(s) : \ehome\mcx2prov.exe, \system32\migwiz\migwiz.exe
* Composant(s) : WdsCore.dll, CryptBase.dll, CryptSP.dll
* Implémentation : ucmWusaMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 TH1 (10147)
* Comment : Option WUSA /extract supprimée
* État du code : supprimé à partir de v3.5.0 :tractor:
7. Auteur : dérivé de Win32/Carberp
* Type : Détournement de DLL
* Méthode : WUSA
* Cible(s) : \system32\cliconfg.exe
* Composant(s) : ntwdblib.dll
* Implémentation : ucmWusaMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 TH1 (10147)
* Comment : Option WUSA /extract supprimée
* État du code : supprimé à partir de v3.5.0 :tractor:
8. Auteur : dérivé de Leo Davidson par Win32/Tilon
* Type : Détournement de DLL
* Méthode : IFileOperation
* Cible(s) : \system32\sysprep\sysprep.exe
* Composant(s) : Actionqueue.dll
* Implémentation : ucmStandardAutoElevation
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 8.1 (9600)
* Comment : sysprep.exe a durci LoadFrom du manifeste
* État du code : supprimé à partir de v3.5.0 :tractor:
9. Auteur : Leo Davidson, WinNT/Simda, dérivé de Win32/Carberp
* Type : Détournement de DLL
* Méthode : IFileOperation, ISecurityEditor, WUSA
* Cible(s) : clés de registre IFEO, \system32\cliconfg.exe
* Composant(s) : DLL de Vérificateur d’applications définie par l’attaquant
* Implémentation : ucmAvrfMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 TH1 (10147)
* Comment : Option WUSA /extract supprimée, changement de la méthode de l’interface ISecurityEditor
* État du code : supprimé à partir de v3.5.0 :tractor:
10. Auteur : WinNT/Pitou, dérivé de Win32/Carberp
* Type : Détournement de DLL
* Méthode : IFileOperation, WUSA
* Cible(s) : \system32\\{New}ou{Existing}\\{auto-élevé}.exe, ex. winsat.exe
* Composant(s) : DLL définie par l’attaquant, ex. PowProf.dll, DevObj.dll
* Implémentation : ucmWinSATMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 TH2 (10548)
* Comment : Durcissement du contrôle du chemin des applications élevées AppInfo
* État du code : supprimé à partir de v3.5.0 :tractor:
11. Auteur : Jon Ericson, WinNT/Gootkit, mzH
* Type : Compatibilité d’application
* Méthode : Correction mémoire Shim
* Cible(s) : \system32\iscsicli.exe
* Composant(s) : Shellcode préparé par l’attaquant
* Implémentation : ucmShimPatch
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 8.1 (9600)
* Comment : Suppression de l’auto-élévation de Sdbinst.exe, KB3045645/KB3048097 pour les autres versions de Windows
* État du code : supprimé à partir de v3.5.0 :tractor:
12. Auteur : dérivé de Leo Davidson
* Type : Détournement de DLL
* Méthode : IFileOperation
* Cible(s) : \system32\sysprep\sysprep.exe
* Composant(s) : dbgcore.dll
* Implémentation : ucmStandardAutoElevation
* Fonctionne depuis : Windows 10 TH1 (10240)
* Corrigé dans : Windows 10 TH2 (10565)
* Comment : Mise à jour du manifeste de sysprep.exe
* État du code : supprimé à partir de v3.5.0 :tractor:
13. Auteur : dérivé de Leo Davidson
* Type : Détournement de DLL
* Méthode : IFileOperation
* Cible(s) : \system32\mmc.exe EventVwr.msc
* Composant(s) : elsext.dll
* Implémentation : ucmMMCMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 RS1 (14316)
* Comment : Dépendance manquante supprimée
* État du code : supprimé à partir de v3.5.0 :tractor:
14. Auteur : Leo Davidson, dérivé de WinNT/Sirefef
* Type : Détournement de DLL
* Méthode : IFileOperation
* Cible(s) : \system\credwiz.exe, \system32\wbem\oobe.exe
* Composant(s) : netutils.dll
* Implémentation : ucmSirefefMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 TH2 (10548)
* Comment : Durcissement du contrôle du chemin des applications élevées AppInfo
* État du code : supprimé à partir de v3.5.0 :tractor:
15. Auteur : Leo Davidson, Win32/Addrop, dérivé de Metasploit
* Type : Détournement de DLL
* Méthode : IFileOperation
* Cible(s) : \system32\cliconfg.exe
* Composant(s) : ntwdblib.dll
* Implémentation : ucmGenericAutoelevation
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 RS1 (14316)
* Comment : Suppression de l’auto-élévation de Cliconfg.exe
* État du code : supprimé à partir de v3.5.0 :tractor:
16. Auteur : dérivé de Leo Davidson
* Type : Détournement de DLL
* Méthode : IFileOperation
* Cible(s) : \system32\GWX\GWXUXWorker.exe, \system32\inetsrv\inetmgr.exe
* Composant(s) : SLC.dll
* Implémentation : ucmGWX
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 RS1 (14316)
* Comment : Contrôle du chemin des applications élevées AppInfo et durcissement de l’exécutable inetmgr
* État du code : supprimé à partir de v3.5.0 :tractor:
17. Auteur : dérivé de Leo Davidson
* Type : Détournement de DLL (redirection d’importation)
* Méthode : IFileOperation
* Cible(s) : \system32\sysprep\sysprep.exe
* Composant(s) : unbcl.dll
* Implémentation : ucmStandardAutoElevation2
* Fonctionne depuis : Windows 8.1 (9600)
* Corrigé dans : Windows 10 RS1 (14371)
* Comment : Mise à jour du manifeste de sysprep.exe
* État du code : supprimé à partir de v3.5.0 :tractor:
18. Auteur : dérivé de Leo Davidson
* Type : Détournement de DLL (Manifeste)
* Méthode : IFileOperation
* Cible(s) : \system32\taskhost.exe, \system32\tzsync.exe (tout exe ms sans manifeste)
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmAutoElevateManifest
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 RS1 (14371)
* Comment : Logique d’analyse du manifeste revue
* État du code : supprimé à partir de v3.5.0 :tractor:
19. Auteur : dérivé de Leo Davidson
* Type : Détournement de DLL
* Méthode : IFileOperation
* Cible(s) : \system32\inetsrv\inetmgr.exe
* Composant(s) : MsCoree.dll
* Implémentation : ucmInetMgrMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 RS1 (14376)
* Comment : Durcissement du manifeste de l’exécutable inetmgr.exe, MitigationPolicy->ProcessImageLoadPolicy->PreferSystem32Images
* État du code : supprimé à partir de v3.5.0 :tractor:
20. Auteur : dérivé de Leo Davidson
* Type : Détournement de DLL
* Méthode : IFileOperation
* Cible(s) : \system32\mmc.exe, Rsop.msc
* Composant(s) : WbemComn.dll
* Implémentation : ucmMMCMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 RS3 (16232)
* Comment : La cible nécessite que wbemcomn.dll soit signé par MS
* État du code : supprimé à partir de v3.5.0 :tractor:
21. Auteur : dérivé de Leo Davidson
* Type : Détournement de DLL
* Méthode : IFileOperation, SxS DotLocal
* Cible(s) : \system32\sysprep\sysprep.exe
* Composant(s) : comctl32.dll
* Implémentation : ucmSXSMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 RS3 (16232)
* Comment : MitigationPolicy->ProcessImageLoadPolicy->PreferSystem32Images
* État du code : supprimé à partir de v3.5.0 :tractor:
22. Auteur : dérivé de Leo Davidson
* Type : Détournement de DLL
* Méthode : IFileOperation, SxS DotLocal
* Cible(s) : \system32\consent.exe
* Composant(s) : comctl32.dll
* Implémentation : ucmSXSMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 11 24H2/25H2 (26100/26200)
* Comment : Modifications internes du chargeur Windows, consent!MitigationPolicy->ProcessSignaturePolicy->MicrosoftSignedOnly
* État du code : supprimé à partir de v3.7.0 :tractor:
23. Auteur : dérivé de Leo Davidson
* Type : Détournement de DLL
* Méthode : IFileOperation
* Cible(s) : \system32\pkgmgr.exe
* Composant(s) : DismCore.dll
* Implémentation : ucmDismMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : non corrigé :see_no_evil:
* Comment : -
* État du code : ajouté dans v2.5.1
24. Auteur : BreakingMalware
* Type : API Shell
* Méthode : Expansion de variables d’environnement
* Cible(s) : \system32\CompMgmtLauncher.exe
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmCometMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 RS2 (15031)
* Comment : Suppression de l’auto-élévation de CompMgmtLauncher.exe
* État du code : supprimé à partir de v3.5.0 :tractor:
25. Auteur : Enigma0x3
* Type : API Shell
* Méthode : Manipulation de clés de registre
* Cible(s) : \system32\EventVwr.exe, \system32\CompMgmtLauncher.exe
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmHijackShellCommandMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 RS2 (15031)
* Comment : EventVwr.exe repensé, suppression de l’auto-élévation de CompMgmtLauncher.exe
* État du code : supprimé à partir de v3.5.0 :tractor:
26. Auteur : Enigma0x3
* Type : Condition de concurrence
* Méthode : Écrasement de fichier
* Cible(s) : %temp%\GUID\dismhost.exe
* Composant(s) : LogProvider.dll
* Implémentation : ucmDiskCleanupRaceCondition
* Fonctionne depuis : Windows 10 TH1 (10240)
* Compatible AlwaysNotify
* Corrigé dans : Windows 10 RS2 (15031)
* Comment : Permissions de sécurité du fichier modifiées
* État du code : supprimé à partir de v3.5.0 :tractor:
27. Auteur : ExpLife
* Type : Interface COM élevée
* Méthode : IARPUninstallStringLauncher
* Cible(s) : Défini par l’attaquant
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmUninstallLauncherMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 RS3 (16199)
* Comment : Interface UninstallStringLauncher supprimée de COMAutoApprovalList
* État du code : supprimé à partir de v3.5.0 :tractor:
28. Auteur : Exploit/Sandworm
* Type : Composant sur liste blanche
* Méthode : InfDefaultInstall
* Cible(s) : Défini par l’attaquant
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmSandwormMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 8.1 (9600)
* Comment : InfDefaultInstall.exe supprimé de g_lpAutoApproveEXEList (MS14-060)
* État du code : supprimé à partir de v3.5.0 :tractor:
29. Auteur : Enigma0x3
* Type : API Shell
* Méthode : Manipulation de clés de registre
* Cible(s) : \system32\sdclt.exe
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmAppPathMethod
* Fonctionne depuis : Windows 10 TH1 (10240)
* Corrigé dans : Windows 10 RS3 (16215)
* Comment : Mise à jour de l’API Shell
* État du code : supprimé à partir de v3.5.0 :tractor:
30. Auteur : dérivé de Leo Davidson, lhc645
* Type : Détournement de DLL
* Méthode : Logger WOW64
* Cible(s) : \syswow64\\{tout exe élevé, ex. wusa.exe}
* Composant(s) : wow64log.dll
* Implémentation : ucmWow64LoggerMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 11 24H2/25H2 (26100/26200)
* Comment : Modifications internes du chargeur Windows
* État du code : supprimé à partir de v3.7.0 :tractor:
31. Auteur : Enigma0x3
* Type : API Shell
* Méthode : Manipulation de clés de registre
* Cible(s) : \system32\sdclt.exe
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmSdcltIsolatedCommandMethod
* Fonctionne depuis : Windows 10 TH1 (10240)
* Corrigé dans : Windows 10 RS4 (17025)
* Comment : Mise à jour de l’API Shell / des composants Windows
* État du code : supprimé à partir de v3.5.0 :tractor:
32. Auteur : xi-tauw
* Type : Détournement de DLL
* Méthode : Contournement UIPI avec application uiAccess
* Cible(s) : \Program Files\Windows Media Player\osk.exe, \system32\EventVwr.exe, \system32\mmc.exe
* Composant(s) : duser.dll, osksupport.dll
* Implémentation : ucmUiAccessMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : non corrigé :see_no_evil:
* Comment : -
* État du code : ajouté dans v2.7.1
33. Auteur : winscripting.blog
* Type : API Shell
* Méthode : Manipulation de clés de registre
* Cible(s) : \system32\fodhelper.exe
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmShellRegModMethod
* Fonctionne depuis : Windows 10 TH1 (10240)
* Corrigé dans : non corrigé :see_no_evil:
* Comment : -
* État du code : ajouté dans v2.7.2
34. Auteur : James Forshaw
* Type : API Shell
* Méthode : Expansion de variables d’environnement
* Cible(s) : \system32\svchost.exe via \system32\schtasks.exe
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmDiskCleanupEnvironmentVariable
* Fonctionne depuis : Windows 8.1 (9600)
* Compatible AlwaysNotify
* Corrigé dans : non corrigé :see_no_evil:
* Comment : -
* État du code : ajouté dans v2.7.2
35. Auteur : CIA & James Forshaw
* Type : Usurpation d’identité
* Méthode : Manipulations de jetons
* Cible(s) : Applications auto-élevées
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmTokenModification
* Fonctionne depuis : Windows 7 (7600)
* Compatible AlwaysNotify, voir note
* Corrigé dans : Windows 10 RS5 (17686)
* Comment : ntoskrnl.exe->SeTokenCanImpersonate ajout d’un contrôle de jeton d’accès supplémentaire
* État du code : supprimé à partir de v3.5.0 :tractor:
36. Auteur : Thomas Vanhoutte alias SandboxEscaper
* Type : Condition de concurrence
* Méthode : Point de réanalyse NTFS & Détournement de DLL
* Cible(s) : wusa.exe, pkgmgr.exe
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmJunctionMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 11 24H2/25H2 (26100/26200)
* Comment : Modifications de WUSA
* État du code : supprimé à partir de v3.7.0 :tractor:
37. Auteur : Ernesto Fernandez, Thomas Vanhoutte
* Type : Détournement de DLL
* Méthode : SxS DotLocal, point de réanalyse NTFS
* Cible(s) : \system32\dccw.exe
* Composant(s) : GdiPlus.dll
* Implémentation : ucmSXSDccwMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 11 24H2/25H2 (26100/26200)
* Comment : Modifications internes du chargeur Windows, modifications de WUSA
* État du code : supprimé à partir de v3.7.0 :tractor:
38. Auteur : Clément Rouault
* Type : Composant sur liste blanche
* Méthode : Usurpation de ligne de commande APPINFO
* Cible(s) : \system32\mmc.exe
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmHakrilMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : non corrigé :see_no_evil:
* Comment : -
* État du code : ajouté dans v2.7.6
39. Auteur : Stefan Kanthak
* Type : Détournement de DLL
* Méthode : Profileur de code .NET
* Cible(s) : \system32\mmc.exe
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmCorProfilerMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : non corrigé :see_no_evil:
* Comment : -
* État du code : ajouté dans v2.7.7
40. Auteur : Ruben Boonen
* Type : Détournement de gestionnaire COM
* Méthode : Manipulation de clés de registre
* Cible(s) : \system32\mmc.exe, \system32\recdisc.exe
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmCOMHandlersMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 19H1 (18362)
* Comment : Effet secondaire des modifications de Windows
* État du code : supprimé à partir de v3.5.0 :tractor:
41. Auteur : Oddvar Moe
* Type : Interface COM élevée
* Méthode : ICMLuaUtil
* Cible(s) : Défini par l’attaquant
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmCMLuaUtilShellExecMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : non corrigé :see_no_evil:
* Comment : -
* État du code : ajouté dans v2.7.9
42. Auteur : BreakingMalware et Enigma0x3
* Type : Interface COM élevée
* Méthode : IFwCplLua
* Cible(s) : Défini par l’attaquant
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmFwCplLuaMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 RS4 (17134)
* Comment : Mise à jour de l’API Shell
* État du code : supprimé à partir de v3.5.0 :tractor:
43. Auteur : dérivé de Oddvar Moe
* Type : Interface COM élevée
* Méthode : IColorDataProxy, ICMLuaUtil
* Cible(s) : Défini par l’attaquant
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmDccwCOMMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : non corrigé :see_no_evil:
* Comment : -
* État du code : ajouté dans v2.8.3
44. Auteur : bytecode77
* Type : API Shell
* Méthode : Expansion de variables d’environnement
* Cible(s) : Plusieurs processus auto-élevés
* Composant(s) : Divers selon la cible
* Implémentation : ucmVolatileEnvMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 RS3 (16299)
* Comment : Variables de répertoire système de l’utilisateur actuel ignorées lors de la création du processus
* État du code : supprimé à partir de v3.5.0 :tractor:
45. Auteur : bytecode77
* Type : API Shell
* Méthode : Manipulation de clés de registre
* Cible(s) : \system32\slui.exe
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmSluiHijackMethod
* Fonctionne depuis : Windows 8.1 (9600)
* Corrigé dans : Windows 10 20H1 (19041)
* Comment : Effet secondaire des modifications de Windows
* État du code : supprimé à partir de v3.5.0 :tractor:
46. Auteur : Anonyme
* Type : Condition de concurrence
* Méthode : Manipulation de clés de registre
* Cible(s) : \system32\BitlockerWizardElev.exe
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmBitlockerRCMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 RS4 (>16299)
* Comment : Mise à jour de l’API Shell
* État du code : supprimé à partir de v3.5.0 :tractor:
47. Auteur : clavoillotte & 3gstudent
* Type : Détournement de gestionnaire COM
* Méthode : Manipulation de clés de registre
* Cible(s) : \system32\mmc.exe
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmCOMHandlersMethod2
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 19H1 (18362)
* Comment : Effet secondaire des modifications de Windows
* État du code : supprimé à partir de v3.5.0 :tractor:
48. Auteur : deroko
* Type : Interface COM élevée
* Méthode : ISPPLUAObject
* Cible(s) : Défini par l’attaquant
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmSPPLUAObjectMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 RS5 (17763)
* Comment : Changement de la méthode de l’interface ISPPLUAObject
* État du code : supprimé à partir de v3.5.0 :tractor:
49. Auteur : RinN
* Type : Interface COM élevée
* Méthode : ICreateNewLink
* Cible(s) : \system32\TpmInit.exe
* Composant(s) : WbemComn.dll
* Implémentation : ucmCreateNewLinkMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 RS1 (14393)
* Comment : Effet secondaire de l’introduction de COMAutoApprovalList dans consent.exe
* État du code : supprimé à partir de v3.5.0 :tractor:
50. Auteur : Anonyme
* Type : Interface COM élevée
* Méthode : IDateTimeStateWrite, ISPPLUAObject
* Cible(s) : service w32time
* Composant(s) : w32time.dll
* Implémentation : ucmDateTimeStateWriterMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 RS5 (17763)
* Comment : Effet secondaire du changement de l’interface ISPPLUAObject
* État du code : supprimé à partir de v3.5.0 :tractor:
51. Auteur : dérivé de bytecode77
* Type : Interface COM élevée
* Méthode : IAccessibilityCplAdmin
* Cible(s) : \system32\rstrui.exe
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmAcCplAdminMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 RS4 (17134)
* Comment : Mise à jour de l’API Shell
* État du code : supprimé à partir de v3.5.0 :tractor:
52. Auteur : David Wells
* Type : Composant sur liste blanche
* Méthode : Abus d’analyse AipNormalizePath
* Cible(s) : Défini par l’attaquant
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmDirectoryMockMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 11 24H2/25H2 (26100/26200)
* Comment : Modifications de appinfo
* État du code : supprimé à partir de v3.7.0 :tractor:
53. Auteur : Emeric Nasi
* Type : API Shell
* Méthode : Manipulation de clés de registre
* Cible(s) : \system32\sdclt.exe
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmShellRegModMethod
* Fonctionne depuis : Windows 10 (14393)
* Corrigé dans : non corrigé :see_no_evil:
* Comment : -
* État du code : ajouté dans v3.1.3
54. Auteur : egre55
* Type : Détournement de DLL
* Méthode : Abus de recherche de chemin de DLL
* Cible(s) : \syswow64\SystemPropertiesAdvanced.exe et autres SystemProperties*.exe
* Composant(s) : \AppData\Local\Microsoft\WindowsApps\srrstr.dll
* Implémentation : ucmEgre55Method
* Fonctionne depuis : Windows 10 (14393)
* Corrigé dans : Windows 10 19H1 (18362)
* Comment : SysDm.cpl!_CreateSystemRestorePage a été mis à jour pour un appel de bibliothèque sécurisé
* État du code : supprimé à partir de v3.5.0 :tractor:
55. Auteur : James Forshaw
* Type : Hack GUI
* Méthode : Contournement UIPI avec modification de jeton
* Cible(s) : \system32\osk.exe, \system32\msconfig.exe
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmTokenModUIAccessMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 RS5 (17763), une partie du correctif, année 2024
* Comment : Lorsque le niveau d’intégrité d’un jeton UIAccess est abaissé, la propriété UIAccess est supprimée
* État du code : supprimé à partir de v3.7.0 :tractor:
56. Auteur : Hashim Jawad
* Type : API Shell
* Méthode : Manipulation de clés de registre
* Cible(s) : \system32\WSReset.exe
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmShellRegModMethod2
* Fonctionne depuis : Windows 10 (17134)
* Corrigé dans : Windows 11 (22000)
* Comment : Refonte des composants Windows
* État du code : supprimé à partir de v3.7.0 :tractor:
57. Auteur : dérivé de Leo Davidson par Win32/Gapz
* Type : Détournement de DLL
* Méthode : IFileOperation
* Cible(s) : \system32\sysprep\sysprep.exe
* Composant(s) : unattend.dll
* Implémentation : ucmStandardAutoElevation
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 8.1 (9600)
* Comment : sysprep.exe a durci les éléments LoadFrom du manifeste
* État du code : supprimé à partir de v3.5.0 :tractor:
58. Auteur : RinN
* Type : Interface COM élevée
* Méthode : IEditionUpgradeManager
* Cible(s) : \system32\clipup.exe
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmEditionUpgradeManagerMethod
* Fonctionne depuis : Windows 10 (14393)
* Corrigé dans : Windows 11 24H2/25H2 (26100/26200)
* Comment : Variable d’environnement %windir% de l’utilisateur actuel ignorée
* État du code : supprimé à partir de v3.7.0 :tractor:
59. Auteur : James Forshaw
* Type : AppInfo ALPC
* Méthode : RAiLaunchAdminProcess et DebugObject
* Cible(s) : Défini par l’attaquant
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmDebugObjectMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : non corrigé :see_no_evil:
* Comment : -
* État du code : ajouté dans v3.2.3
60. Auteur : dérivé de Enigma0x3 par WinNT/Glupteba
* Type : API Shell
* Méthode : Manipulation de clés de registre
* Cible(s) : \system32\CompMgmtLauncher.exe
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmGluptebaMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : Windows 10 RS2 (15063)
* Comment : Suppression de l’auto-élévation de CompMgmtLauncher.exe
* État du code : supprimé à partir de v3.5.0 :tractor:
61. Auteur : dérivé de Enigma0x3/bytecode77 par Nassim Asrir
* Type : API Shell
* Méthode : Manipulation de clés de registre
* Cible(s) : \system32\slui.exe, \system32\changepk.exe
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmShellRegModMethod
* Fonctionne depuis : Windows 10 (14393)
* Corrigé dans : non corrigé :see_no_evil:
* Comment : -
* État du code : ajouté dans v3.2.5
62. Auteur : winscripting.blog
* Type : API Shell
* Méthode : Manipulation de clés de registre
* Cible(s) : \system32\computerdefaults.exe
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmShellRegModMethod
* Fonctionne depuis : Windows 10 RS4 (17134)
* Corrigé dans : non corrigé :see_no_evil:
* Comment : -
* État du code : ajouté dans v3.2.6
63. Auteur : Arush Agarampur
* Type : Détournement de DLL
* Méthode : ISecurityEditor
* Cible(s) : Éléments du cache d’images natives
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmNICPoisonMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : non corrigé :see_no_evil:
* Comment : -
* État du code : ajouté dans v3.2.7
64. Auteur : Arush Agarampur
* Type : Interface COM élevée
* Méthode : IIEAxiAdminInstaller, IIEAxiInstaller2, IFileOperation
* Cible(s) : Cache d’installation des modules complémentaires IE
* Composant(s) : Défini par l’attaquant
* Implémentation : ucmIeAddOnInstallMethod
* Fonctionne depuis : Windows 7 (7600)
* Corrigé dans : non corrigé :see_no_evil:
```
---
[Read more](https://github.com/hfiref0x/uacme)