hfiref0x/uacmeBypassare Windows User Account Control
[](https://ci.appveyor.io/project/hfiref0x/uacme)
# UACMe
Sconfiggere il Controllo dell'Account Utente di Windows abusando del backdoor AutoElevate integrato. Questo progetto dimostra varie tecniche di bypass di UAC e funge da risorsa educativa per comprendere i meccanismi di sicurezza di Windows.
> ⚠️ **Avvertenza**: Questo strumento dimostra vulnerabilità di sicurezza che potrebbero essere sfruttate in modo malevolo. Utilizzare responsabilmente e solo in ambienti controllati.
# Requisiti di Sistema
* **Sistemi Operativi**: Windows 7/8/8.1/10/11 (x86-32/x64, client, alcuni metodi funzionano comunque anche sulle versioni server)
* **Account Utente**: Account amministratore con UAC impostato sulle impostazioni predefinite
## Utilizzo
Eseguire l'eseguibile dalla riga di comando utilizzando la seguente sintassi:```
akagi32.exe [Method_Number] [Optional_Command]
```
o```
akagi64.exe [Method_Number] [Optional_Command]
```
### Parametri:
* **Method_Number**: Numero corrispondente al metodo di bypass UAC (vedi elenco metodi più sotto)
* **Optional_Command**: Percorso completo di un file eseguibile da eseguire con privilegi elevati
* Se omesso, il programma avvierà un prompt dei comandi elevato (%systemroot%\system32\cmd.exe)
### Esempi:```
akagi32.exe 23
akagi64.exe 61
akagi32.exe 23 c:\windows\system32\calc.exe
akagi64.exe 61 c:\windows\system32\charmap.exe
```
> **Nota**: A partire dalla versione 3.5.0, tutti i metodi precedentemente "fixati" sono considerati obsoleti e sono stati rimossi. Se ne hai bisogno, usa il [ramo v3.2.x](https://github.com/hfiref0x/UACME/tree/v3.2.x).
> **Nota**: A partire dalla versione 3.7.0, i metodi "fixati" tra la 3.5.0 e la 3.7.0 sono stati rimossi dalla tabella dei metodi di UACMe. Se ne hai bisogno, usa il [ramo v3.6.x_plus](https://github.com/hfiref0x/UACME/tree/v3.6.x_plus). Il codice per questi metodi è ancora disponibile nel ramo corrente per scopi storici.
<details>
<summary>Chiavi (clicca per espandere/comprimere)</summary>1. Autore: Leo Davidson
* Tipo: Hijack di DLL
* Metodo: IFileOperation
* Target: \system32\sysprep\sysprep.exe
* Componenti: cryptbase.dll
* Implementazione: ucmStandardAutoElevation
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 8.1 (9600)
* Come: sysprep.exe ha indurito gli elementi LoadFrom del manifest
* Stato codice: rimosso a partire da v3.5.0 :tractor:
2. Autore: Derivato da Leo Davidson
* Tipo: Hijack di DLL
* Metodo: IFileOperation
* Target: \system32\sysprep\sysprep.exe
* Componenti: ShCore.dll
* Implementazione: ucmStandardAutoElevation
* Funziona da: Windows 8.1 (9600)
* Risolto in: Windows 10 TP (> 9600)
* Come: Effetto collaterale dello spostamento di ShCore.dll in \KnownDlls
* Stato codice: rimosso a partire da v3.5.0 :tractor:
3. Autore: Derivato da Leo Davidson da WinNT/Pitou
* Tipo: Hijack di DLL
* Metodo: IFileOperation
* Target: \system32\oobe\setupsqm.exe
* Componenti: WdsCore.dll
* Implementazione: ucmStandardAutoElevation
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 TH2 (10558)
* Come: Effetto collaterale della riprogettazione di OOBE
* Stato codice: rimosso a partire da v3.5.0 :tractor:
4. Autore: Jon Ericson, WinNT/Gootkit, mzH
* Tipo: Compatibilità app
* Metodo: Shim RedirectEXE
* Target: \system32\cliconfg.exe
* Componenti: -
* Implementazione: ucmShimRedirectEXE
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 TP (> 9600)
* Come: Rimossa l'autoelevazione di Sdbinst.exe, KB3045645/KB3048097 per le altre versioni di Windows
* Stato codice: rimosso a partire da v3.5.0 :tractor:
5. Autore: WinNT/Simda
* Tipo: Interfaccia COM elevata
* Metodo: ISecurityEditor
* Target: Chiavi di registro HKLM
* Componenti: -
* Implementazione: ucmSimdaTurnOffUac
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 TH1 (10147)
* Come: Metodo dell'interfaccia ISecurityEditor modificato
* Stato codice: rimosso a partire da v3.5.0 :tractor:
6. Autore: Win32/Carberp
* Tipo: Hijack di DLL
* Metodo: WUSA
* Target: \ehome\mcx2prov.exe, \system32\migwiz\migwiz.exe
* Componenti: WdsCore.dll, CryptBase.dll, CryptSP.dll
* Implementazione: ucmWusaMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 TH1 (10147)
* Come: Opzione WUSA /extract rimossa
* Stato codice: rimosso a partire da v3.5.0 :tractor:
7. Autore: Derivato da Win32/Carberp
* Tipo: Hijack di DLL
* Metodo: WUSA
* Target: \system32\cliconfg.exe
* Componenti: ntwdblib.dll
* Implementazione: ucmWusaMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 TH1 (10147)
* Come: Opzione WUSA /extract rimossa
* Stato codice: rimosso a partire da v3.5.0 :tractor:
8. Autore: Derivato da Leo Davidson da Win32/Tilon
* Tipo: Hijack di DLL
* Metodo: IFileOperation
* Target: \system32\sysprep\sysprep.exe
* Componenti: Actionqueue.dll
* Implementazione: ucmStandardAutoElevation
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 8.1 (9600)
* Come: sysprep.exe ha indurito il LoadFrom del manifest
* Stato codice: rimosso a partire da v3.5.0 :tractor:
9. Autore: Derivato da Leo Davidson, WinNT/Simda, Win32/Carberp
* Tipo: Hijack di DLL
* Metodo: IFileOperation, ISecurityEditor, WUSA
* Target: Chiavi di registro IFEO, \system32\cliconfg.exe
* Componenti: DLL Verifier di applicazione definita dall'attaccante
* Implementazione: ucmAvrfMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 TH1 (10147)
* Come: Opzione WUSA /extract rimossa, metodo dell'interfaccia ISecurityEditor modificato
* Stato codice: rimosso a partire da v3.5.0 :tractor:
10. Autore: Derivato da WinNT/Pitou, Win32/Carberp
* Tipo: Hijack di DLL
* Metodo: IFileOperation, WUSA
* Target: \system32\\{Nuovo}o{Esistente}\\{autoelevato}.exe, ad es. winsat.exe
* Componenti: DLL definita dall'attaccante, ad es. PowProf.dll, DevObj.dll
* Implementazione: ucmWinSATMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 TH2 (10548)
* Come: Rafforzamento del controllo del percorso delle applicazioni elevate di AppInfo
* Stato codice: rimosso a partire da v3.5.0 :tractor:
11. Autore: Jon Ericson, WinNT/Gootkit, mzH
* Tipo: Compatibilità app
* Metodo: Patch di memoria Shim
* Target: \system32\iscsicli.exe
* Componenti: Shellcode preparato dall'attaccante
* Implementazione: ucmShimPatch
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 8.1 (9600)
* Come: Rimossa l'autoelevazione di Sdbinst.exe, KB3045645/KB3048097 per le altre versioni di Windows
* Stato codice: rimosso a partire da v3.5.0 :tractor:
12. Autore: Derivato da Leo Davidson
* Tipo: Hijack di DLL
* Metodo: IFileOperation
* Target: \system32\sysprep\sysprep.exe
* Componenti: dbgcore.dll
* Implementazione: ucmStandardAutoElevation
* Funziona da: Windows 10 TH1 (10240)
* Risolto in: Windows 10 TH2 (10565)
* Come: Manifest di sysprep.exe aggiornato
* Stato codice: rimosso a partire da v3.5.0 :tractor:
13. Autore: Derivato da Leo Davidson
* Tipo: Hijack di DLL
* Metodo: IFileOperation
* Target: \system32\mmc.exe EventVwr.msc
* Componenti: elsext.dll
* Implementazione: ucmMMCMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 RS1 (14316)
* Come: Dipendenza mancante rimossa
* Stato codice: rimosso a partire da v3.5.0 :tractor:
14. Autore: Derivato da Leo Davidson, WinNT/Sirefef
* Tipo: Hijack di DLL
* Metodo: IFileOperation
* Target: \system\credwiz.exe, \system32\wbem\oobe.exe
* Componenti: netutils.dll
* Implementazione: ucmSirefefMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 TH2 (10548)
* Come: Rafforzamento del controllo del percorso delle applicazioni elevate di AppInfo
* Stato codice: rimosso a partire da v3.5.0 :tractor:
15. Autore: Derivato da Leo Davidson, Win32/Addrop, Metasploit
* Tipo: Hijack di DLL
* Metodo: IFileOperation
* Target: \system32\cliconfg.exe
* Componenti: ntwdblib.dll
* Implementazione: ucmGenericAutoelevation
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 RS1 (14316)
* Come: Rimossa l'autoelevazione di Cliconfg.exe
* Stato codice: rimosso a partire da v3.5.0 :tractor:
16. Autore: Derivato da Leo Davidson
* Tipo: Hijack di DLL
* Metodo: IFileOperation
* Target: \system32\GWX\GWXUXWorker.exe, \system32\inetsrv\inetmgr.exe
* Componenti: SLC.dll
* Implementazione: ucmGWX
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 RS1 (14316)
* Come: Controllo del percorso delle applicazioni elevate di AppInfo e rafforzamento dell'eseguibile inetmgr
* Stato codice: rimosso a partire da v3.5.0 :tractor:
17. Autore: Derivato da Leo Davidson
* Tipo: Hijack di DLL (Inoltro importazioni)
* Metodo: IFileOperation
* Target: \system32\sysprep\sysprep.exe
* Componenti: unbcl.dll
* Implementazione: ucmStandardAutoElevation2
* Funziona da: Windows 8.1 (9600)
* Risolto in: Windows 10 RS1 (14371)
* Come: Manifest di sysprep.exe aggiornato
* Stato codice: rimosso a partire da v3.5.0 :tractor:
18. Autore: Derivato da Leo Davidson
* Tipo: Hijack di DLL (Manifest)
* Metodo: IFileOperation
* Target: \system32\taskhost.exe, \system32\tzsync.exe (qualsiasi eseguibile ms senza manifest)
* Componenti: Definito dall'attaccante
* Implementazione: ucmAutoElevateManifest
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 RS1 (14371)
* Come: Logica di parsing del manifest revisionata
* Stato codice: rimosso a partire da v3.5.0 :tractor:
19. Autore: Derivato da Leo Davidson
* Tipo: Hijack di DLL
* Metodo: IFileOperation
* Target: \system32\inetsrv\inetmgr.exe
* Componenti: MsCoree.dll
* Implementazione: ucmInetMgrMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 RS1 (14376)
* Come: Rafforzamento del manifest dell'eseguibile inetmgr.exe, MitigationPolicy->ProcessImageLoadPolicy->PreferSystem32Images
* Stato codice: rimosso a partire da v3.5.0 :tractor:
20. Autore: Derivato da Leo Davidson
* Tipo: Hijack di DLL
* Metodo: IFileOperation
* Target: \system32\mmc.exe, Rsop.msc
* Componenti: WbemComn.dll
* Implementazione: ucmMMCMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 RS3 (16232)
* Come: Il target richiede che wbemcomn.dll sia firmata da Microsoft
* Stato codice: rimosso a partire da v3.5.0 :tractor:
21. Autore: Derivato da Leo Davidson
* Tipo: Hijack di DLL
* Metodo: IFileOperation, SxS DotLocal
* Target: \system32\sysprep\sysprep.exe
* Componenti: comctl32.dll
* Implementazione: ucmSXSMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 RS3 (16232)
* Come: MitigationPolicy->ProcessImageLoadPolicy->PreferSystem32Images
* Stato codice: rimosso a partire da v3.5.0 :tractor:
22. Autore: Derivato da Leo Davidson
* Tipo: Hijack di DLL
* Metodo: IFileOperation, SxS DotLocal
* Target: \system32\consent.exe
* Componenti: comctl32.dll
* Implementazione: ucmSXSMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 11 24H2/25H2 (26100/26200)
* Come: Modifiche interne al loader di Windows, consent!MitigationPolicy->ProcessSignaturePolicy->MicrosoftSignedOnly
* Stato codice: rimosso a partire da v3.7.0 :tractor:
23. Autore: Derivato da Leo Davidson
* Tipo: Hijack di DLL
* Metodo: IFileOperation
* Target: \system32\pkgmgr.exe
* Componenti: DismCore.dll
* Implementazione: ucmDismMethod
* Funziona da: Windows 7 (7600)
* Risolto in: non risolto :see_no_evil:
* Come: -
* Stato codice: aggiunto in v2.5.1
24. Autore: BreakingMalware
* Tipo: API Shell
* Metodo: Espansione variabili d'ambiente
* Target: \system32\CompMgmtLauncher.exe
* Componenti: Definito dall'attaccante
* Implementazione: ucmCometMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 RS2 (15031)
* Come: Rimossa l'autoelevazione di CompMgmtLauncher.exe
* Stato codice: rimosso a partire da v3.5.0 :tractor:
25. Autore: Enigma0x3
* Tipo: API Shell
* Metodo: Manipolazione chiave registro
* Target: \system32\EventVwr.exe, \system32\CompMgmtLauncher.exe
* Componenti: Definito dall'attaccante
* Implementazione: ucmHijackShellCommandMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 RS2 (15031)
* Come: EventVwr.exe riprogettato, rimossa l'autoelevazione di CompMgmtLauncher.exe
* Stato codice: rimosso a partire da v3.5.0 :tractor:
26. Autore: Enigma0x3
* Tipo: Condizione di gara
* Metodo: Sovrascrittura file
* Target: %temp%\GUID\dismhost.exe
* Componenti: LogProvider.dll
* Implementazione: ucmDiskCleanupRaceCondition
* Funziona da: Windows 10 TH1 (10240)
* Compatibile AlwaysNotify
* Risolto in: Windows 10 RS2 (15031)
* Come: Autorizzazioni di sicurezza del file modificate
* Stato codice: rimosso a partire da v3.5.0 :tractor:
27. Autore: ExpLife
* Tipo: Interfaccia COM elevata
* Metodo: IARPUninstallStringLauncher
* Target: Definito dall'attaccante
* Componenti: Definito dall'attaccante
* Implementazione: ucmUninstallLauncherMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 RS3 (16199)
* Come: Interfaccia UninstallStringLauncher rimossa da COMAutoApprovalList
* Stato codice: rimosso a partire da v3.5.0 :tractor:
28. Autore: Exploit/Sandworm
* Tipo: Componente whitelistato
* Metodo: InfDefaultInstall
* Target: Definito dall'attaccante
* Componenti: Definito dall'attaccante
* Implementazione: ucmSandwormMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 8.1 (9600)
* Come: InfDefaultInstall.exe rimosso da g_lpAutoApproveEXEList (MS14-060)
* Stato codice: rimosso a partire da v3.5.0 :tractor:
29. Autore: Enigma0x3
* Tipo: API Shell
* Metodo: Manipolazione chiave registro
* Target: \system32\sdclt.exe
* Componenti: Definito dall'attaccante
* Implementazione: ucmAppPathMethod
* Funziona da: Windows 10 TH1 (10240)
* Risolto in: Windows 10 RS3 (16215)
* Come: Aggiornamento API Shell
* Stato codice: rimosso a partire da v3.5.0 :tractor:
30. Autore: Derivato da Leo Davidson, lhc645
* Tipo: Hijack di DLL
* Metodo: Logger WOW64
* Target: \syswow64\\{qualsiasi eseguibile elevato, ad es. wusa.exe}
* Componenti: wow64log.dll
* Implementazione: ucmWow64LoggerMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 11 24H2/25H2 (26100/26200)
* Come: Modifiche interne al loader di Windows
* Stato codice: rimosso a partire da v3.7.0 :tractor:
31. Autore: Enigma0x3
* Tipo: API Shell
* Metodo: Manipolazione chiave registro
* Target: \system32\sdclt.exe
* Componenti: Definito dall'attaccante
* Implementazione: ucmSdcltIsolatedCommandMethod
* Funziona da: Windows 10 TH1 (10240)
* Risolto in: Windows 10 RS4 (17025)
* Come: Aggiornamento API Shell / componenti Windows
* Stato codice: rimosso a partire da v3.5.0 :tractor:
32. Autore: xi-tauw
* Tipo: Hijack di DLL
* Metodo: Bypass UIPI con applicazione uiAccess
* Target: \Program Files\Windows Media Player\osk.exe, \system32\EventVwr.exe, \system32\mmc.exe
* Componenti: duser.dll, osksupport.dll
* Implementazione: ucmUiAccessMethod
* Funziona da: Windows 7 (7600)
* Risolto in: non risolto :see_no_evil:
* Come: -
* Stato codice: aggiunto in v2.7.1
33. Autore: winscripting.blog
* Tipo: API Shell
* Metodo: Manipolazione chiave registro
* Target: \system32\fodhelper.exe
* Componenti: Definito dall'attaccante
* Implementazione: ucmShellRegModMethod
* Funziona da: Windows 10 TH1 (10240)
* Risolto in: non risolto :see_no_evil:
* Come: -
* Stato codice: aggiunto in v2.7.2
34. Autore: James Forshaw
* Tipo: API Shell
* Metodo: Espansione variabili d'ambiente
* Target: \system32\svchost.exe tramite \system32\schtasks.exe
* Componenti: Definito dall'attaccante
* Implementazione: ucmDiskCleanupEnvironmentVariable
* Funziona da: Windows 8.1 (9600)
* Compatibile AlwaysNotify
* Risolto in: non risolto :see_no_evil:
* Come: -
* Stato codice: aggiunto in v2.7.2
35. Autore: CIA e James Forshaw
* Tipo: Impersonificazione
* Metodo: Manipolazioni di token
* Target: Applicazioni elevate automaticamente
* Componenti: Definito dall'attaccante
* Implementazione: ucmTokenModification
* Funziona da: Windows 7 (7600)
* Compatibile AlwaysNotify, vedi nota
* Risolto in: Windows 10 RS5 (17686)
* Come: Aggiunto controllo aggiuntivo del token di accesso in ntoskrnl.exe->SeTokenCanImpersonate
* Stato codice: rimosso a partire da v3.5.0 :tractor:
36. Autore: Thomas Vanhoutte alias SandboxEscaper
* Tipo: Condizione di gara
* Metodo: Punto di reparse NTFS e Hijack di DLL
* Target: wusa.exe, pkgmgr.exe
* Componenti: Definito dall'attaccante
* Implementazione: ucmJunctionMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 11 24H2/25H2 (26100/26200)
* Come: Modifiche a WUSA
* Stato codice: rimosso a partire da v3.7.0 :tractor:
37. Autore: Ernesto Fernandez, Thomas Vanhoutte
* Tipo: Hijack di DLL
* Metodo: SxS DotLocal, Punto di reparse NTFS
* Target: \system32\dccw.exe
* Componenti: GdiPlus.dll
* Implementazione: ucmSXSDccwMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 11 24H2/25H2 (26100/26200)
* Come: Modifiche interne al loader di Windows, modifiche a WUSA
* Stato codice: rimosso a partire da v3.7.0 :tractor:
38. Autore: Clement Rouault
* Tipo: Componente whitelistato
* Metodo: Spoofing della riga di comando APPINFO
* Target: \system32\mmc.exe
* Componenti: Definito dall'attaccante
* Implementazione: ucmHakrilMethod
* Funziona da: Windows 7 (7600)
* Risolto in: non risolto :see_no_evil:
* Come: -
* Stato codice: aggiunto in v2.7.6
39. Autore: Stefan Kanthak
* Tipo: Hijack di DLL
* Metodo: Profiler .NET Code
* Target: \system32\mmc.exe
* Componenti: Definito dall'attaccante
* Implementazione: ucmCorProfilerMethod
* Funziona da: Windows 7 (7600)
* Risolto in: non risolto :see_no_evil:
* Come: -
* Stato codice: aggiunto in v2.7.7
40. Autore: Ruben Boonen
* Tipo: Hijack di gestore COM
* Metodo: Manipolazione chiave registro
* Target: \system32\mmc.exe, \system32\recdisc.exe
* Componenti: Definito dall'attaccante
* Implementazione: ucmCOMHandlersMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 19H1 (18362)
* Come: Effetto collaterale delle modifiche di Windows
* Stato codice: rimosso a partire da v3.5.0 :tractor:
41. Autore: Oddvar Moe
* Tipo: Interfaccia COM elevata
* Metodo: ICMLuaUtil
* Target: Definito dall'attaccante
* Componenti: Definito dall'attaccante
* Implementazione: ucmCMLuaUtilShellExecMethod
* Funziona da: Windows 7 (7600)
* Risolto in: non risolto :see_no_evil:
* Come: -
* Stato codice: aggiunto in v2.7.9
42. Autore: BreakingMalware e Enigma0x3
* Tipo: Interfaccia COM elevata
* Metodo: IFwCplLua
* Target: Definito dall'attaccante
* Componenti: Definito dall'attaccante
* Implementazione: ucmFwCplLuaMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 RS4 (17134)
* Come: Aggiornamento API Shell
* Stato codice: rimosso a partire da v3.5.0 :tractor:
43. Autore: Derivato da Oddvar Moe
* Tipo: Interfaccia COM elevata
* Metodo: IColorDataProxy, ICMLuaUtil
* Target: Definito dall'attaccante
* Componenti: Definito dall'attaccante
* Implementazione: ucmDccwCOMMethod
* Funziona da: Windows 7 (7600)
* Risolto in: non risolto :see_no_evil:
* Come: -
* Stato codice: aggiunto in v2.8.3
44. Autore: bytecode77
* Tipo: API Shell
* Metodo: Espansione variabili d'ambiente
* Target: Molteplici processi elevati automaticamente
* Componenti: Vari per target
* Implementazione: ucmVolatileEnvMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 RS3 (16299)
* Come: Variabili di directory di sistema dell'utente corrente ignorate durante la creazione del processo
* Stato codice: rimosso a partire da v3.5.0 :tractor:
45. Autore: bytecode77
* Tipo: API Shell
* Metodo: Manipolazione chiave registro
* Target: \system32\slui.exe
* Componenti: Definito dall'attaccante
* Implementazione: ucmSluiHijackMethod
* Funziona da: Windows 8.1 (9600)
* Risolto in: Windows 10 20H1 (19041)
* Come: Effetto collaterale delle modifiche di Windows
* Stato codice: rimosso a partire da v3.5.0 :tractor:
46. Autore: Anonimo
* Tipo: Condizione di gara
* Metodo: Manipolazione chiave registro
* Target: \system32\BitlockerWizardElev.exe
* Componenti: Definito dall'attaccante
* Implementazione: ucmBitlockerRCMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 RS4 (>16299)
* Come: Aggiornamento API Shell
* Stato codice: rimosso a partire da v3.5.0 :tractor:
47. Autore: clavoillotte e 3gstudent
* Tipo: Hijack di gestore COM
* Metodo: Manipolazione chiave registro
* Target: \system32\mmc.exe
* Componenti: Definito dall'attaccante
* Implementazione: ucmCOMHandlersMethod2
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 19H1 (18362)
* Come: Effetto collaterale delle modifiche di Windows
* Stato codice: rimosso a partire da v3.5.0 :tractor:
48. Autore: deroko
* Tipo: Interfaccia COM elevata
* Metodo: ISPPLUAObject
* Target: Definito dall'attaccante
* Componenti: Definito dall'attaccante
* Implementazione: ucmSPPLUAObjectMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 RS5 (17763)
* Come: Metodo dell'interfaccia ISPPLUAObject modificato
* Stato codice: rimosso a partire da v3.5.0 :tractor:
49. Autore: RinN
* Tipo: Interfaccia COM elevata
* Metodo: ICreateNewLink
* Target: \system32\TpmInit.exe
* Componenti: WbemComn.dll
* Implementazione: ucmCreateNewLinkMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 RS1 (14393)
* Come: Effetto collaterale dell'introduzione di COMAutoApprovalList in consent.exe
* Stato codice: rimosso a partire da v3.5.0 :tractor:
50. Autore: Anonimo
* Tipo: Interfaccia COM elevata
* Metodo: IDateTimeStateWrite, ISPPLUAObject
* Target: Servizio w32time
* Componenti: w32time.dll
* Implementazione: ucmDateTimeStateWriterMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 RS5 (17763)
* Come: Effetto collaterale della modifica dell'interfaccia ISPPLUAObject
* Stato codice: rimosso a partire da v3.5.0 :tractor:
51. Autore: Derivato da bytecode77
* Tipo: Interfaccia COM elevata
* Metodo: IAccessibilityCplAdmin
* Target: \system32\rstrui.exe
* Componenti: Definito dall'attaccante
* Implementazione: ucmAcCplAdminMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 RS4 (17134)
* Come: Aggiornamento API Shell
* Stato codice: rimosso a partire da v3.5.0 :tractor:
52. Autore: David Wells
* Tipo: Componente whitelistato
* Metodo: Abuso di parsing AipNormalizePath
* Target: Definito dall'attaccante
* Componenti: Definito dall'attaccante
* Implementazione: ucmDirectoryMockMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 11 24H2/25H2 (26100/26200)
* Come: Modifiche a appinfo
* Stato codice: rimosso a partire da v3.7.0 :tractor:
53. Autore: Emeric Nasi
* Tipo: API Shell
* Metodo: Manipolazione chiave registro
* Target: \system32\sdclt.exe
* Componenti: Definito dall'attaccante
* Implementazione: ucmShellRegModMethod
* Funziona da: Windows 10 (14393)
* Risolto in: non risolto :see_no_evil:
* Come: -
* Stato codice: aggiunto in v3.1.3
54. Autore: egre55
* Tipo: Hijack di DLL
* Metodo: Abuso ricerca percorso DLL
* Target: \syswow64\SystemPropertiesAdvanced.exe e altri SystemProperties*.exe
* Componenti: \AppData\Local\Microsoft\WindowsApps\srrstr.dll
* Implementazione: ucmEgre55Method
* Funziona da: Windows 10 (14393)
* Risolto in: Windows 10 19H1 (18362)
* Come: SysDm.cpl!_CreateSystemRestorePage è stato aggiornato per una chiamata di libreria sicura
* Stato codice: rimosso a partire da v3.5.0 :tractor:
55. Autore: James Forshaw
* Tipo: Hack GUI
* Metodo: Bypass UIPI con modifica token
* Target: \system32\osk.exe, \system32\msconfig.exe
* Componenti: Definito dall'attaccante
* Implementazione: ucmTokenModUIAccessMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 RS5 (17763), parte di una patch, anno 2024
* Come: Quando il livello di integrità di un token UIAccess viene abbassato, la proprietà UIAccess viene rimossa
* Stato codice: rimosso a partire da v3.7.0 :tractor:
56. Autore: Hashim Jawad
* Tipo: API Shell
* Metodo: Manipolazione chiave registro
* Target: \system32\WSReset.exe
* Componenti: Definito dall'attaccante
* Implementazione: ucmShellRegModMethod2
* Funziona da: Windows 10 (17134)
* Risolto in: Windows 11 (22000)
* Come: Riprogettazione dei componenti di Windows
* Stato codice: rimosso a partire da v3.7.0 :tractor:
57. Autore: Derivato da Leo Davidson da Win32/Gapz
* Tipo: Hijack di DLL
* Metodo: IFileOperation
* Target: \system32\sysprep\sysprep.exe
* Componenti: unattend.dll
* Implementazione: ucmStandardAutoElevation
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 8.1 (9600)
* Come: sysprep.exe ha indurito gli elementi LoadFrom del manifest
* Stato codice: rimosso a partire da v3.5.0 :tractor:
58. Autore: RinN
* Tipo: Interfaccia COM elevata
* Metodo: IEditionUpgradeManager
* Target: \system32\clipup.exe
* Componenti: Definito dall'attaccante
* Implementazione: ucmEditionUpgradeManagerMethod
* Funziona da: Windows 10 (14393)
* Risolto in: Windows 11 24H2/25H2 (26100/26200)
* Come: Variabile d'ambiente %windir% dell'utente corrente ignorata
* Stato codice: rimosso a partire da v3.7.0 :tractor:
59. Autore: James Forshaw
* Tipo: AppInfo ALPC
* Metodo: RAiLaunchAdminProcess e DebugObject
* Target: Definito dall'attaccante
* Componenti: Definito dall'attaccante
* Implementazione: ucmDebugObjectMethod
* Funziona da: Windows 7 (7600)
* Risolto in: non risolto :see_no_evil:
* Come: -
* Stato codice: aggiunto in v3.2.3
60. Autore: Derivato da Enigma0x3 da WinNT/Glupteba
* Tipo: API Shell
* Metodo: Manipolazione chiave registro
* Target: \system32\CompMgmtLauncher.exe
* Componenti: Definito dall'attaccante
* Implementazione: ucmGluptebaMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 10 RS2 (15063)
* Come: Rimossa l'autoelevazione di CompMgmtLauncher.exe
* Stato codice: rimosso a partire da v3.5.0 :tractor:
61. Autore: Derivato da Enigma0x3/bytecode77 da Nassim Asrir
* Tipo: API Shell
* Metodo: Manipolazione chiave registro
* Target: \system32\slui.exe, \system32\changepk.exe
* Componenti: Definito dall'attaccante
* Implementazione: ucmShellRegModMethod
* Funziona da: Windows 10 (14393)
* Risolto in: non risolto :see_no_evil:
* Come: -
* Stato codice: aggiunto in v3.2.5
62. Autore: winscripting.blog
* Tipo: API Shell
* Metodo: Manipolazione chiave registro
* Target: \system32\computerdefaults.exe
* Componenti: Definito dall'attaccante
* Implementazione: ucmShellRegModMethod
* Funziona da: Windows 10 RS4 (17134)
* Risolto in: non risolto :see_no_evil:
* Come: -
* Stato codice: aggiunto in v3.2.6
63. Autore: Arush Agarampur
* Tipo: Hijack di DLL
* Metodo: ISecurityEditor
* Target: Elementi Native Image Cache
* Componenti: Definito dall'attaccante
* Implementazione: ucmNICPoisonMethod
* Funziona da: Windows 7 (7600)
* Risolto in: non risolto :see_no_evil:
* Come: -
* Stato codice: aggiunto in v3.2.7
64. Autore: Arush Agarampur
* Tipo: Interfaccia COM elevata
* Metodo: IIEAxiAdminInstaller, IIEAxiInstaller2, IFileOperation
* Target: Cache di installazione dei componenti aggiuntivi IE
* Componenti: Definito dall'attaccante
* Implementazione: ucmIeAddOnInstallMethod
* Funziona da: Windows 7 (7600)
* Risolto in: non risolto :see_no_evil:
* Come: -
* Stato codice: aggiunto in v3.5.1
65. Autore: Arush Agarampur
* Tipo: Interfaccia COM elevata
* Metodo: IWscAdmin
* Target: Hijack del protocollo shell
* Componenti: Definito dall'attaccante
* Implementazione: ucmWscActionProtocolMethod
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 11 24H2 (26100)
* Come: Effetto collaterale delle modifiche di Windows
* Stato codice: rimosso a partire da v3.7.0 :tractor:
66. Autore: Arush Agarampur
* Tipo: Interfaccia COM elevata
* Metodo: IFwCplLua, Hijack del protocollo shell
* Target: Voce di registro del protocollo shell e variabili d'ambiente
* Componenti: Definito dall'attaccante
* Implementazione: ucmFwCplLuaMethod2
* Funziona da: Windows 7 (7600)
* Risolto in: Windows 11 24H2 (26100)
* Come: Effetto collaterale delle modifiche di Windows
* Stato codice: rimosso a partire da v3.7.0 :tractor:
67. Autore: Arush Agarampur
* Tipo: API Shell
* Metodo: Hijack del protocollo shell
* Target: \system32\fodhelper.exe
* Componenti: Definito dall'attaccante
* Implementazione: ucmMsSettingsProtocolMethod
* Funziona da: Windows 10 TH1 (10240)
* Risolto in: non risolto :see_no_evil:
* Come: -
* Stato codice: aggiunto in v3.5.4
68. Autore: Arush Agarampur
* Tipo: API Shell
* Metodo: Hijack del protocollo shell
* Target: \system32\wsreset.exe
* Componenti: Definito dall'attaccante
* Implementazione: ucmMsStoreProtocolMethod
* Funziona da: Windows 10 RS5 (17763)
* Risolto in: non risolto :see_no_evil:
* Come: -
* Stato codice: aggiunto in v3.5.5
69. Autore: Arush Agarampur
* Tipo: API Shell
* Metodo: Espansione variabili d'ambiente, Hijack di DLL
* Target: \system32\taskhostw.exe
* Componenti: pcadm.dll
* Implementazione: ucmPcaMethod
* Funziona da: Windows 7 (7600)
* Compatibile AlwaysNotify
* Risolto in: Windows 11 24H2/25H2 (26100)
* Come: Variabile d'ambiente %windir% dell'utente corrente ignorata
* Stato codice: rimosso a partire da v3.7.0 :tractor:
70. Autore: V3ded
* Tipo: API Shell
* Metodo: Manipolazione chiave registro
* Target: \system32\fodhelper.exe, \system32\computerdefaults.exe
* Componenti: Definito dall'attaccante
* Implementazione: ucmShellRegModMethod3
* Funziona da: Windows 10 (10240)
* Risolto in: non risolto :see_no_evil:
* Come: -
* Stato codice: aggiunto in v3.5.7
71. Autore: Arush Agarampur
* Tipo: Hijack di DLL
* Metodo: ISecurityEditor
* Target: Elementi Native Image Cache
* Componenti: Definito dall'attaccante
```
---
[Read more](https://github.com/hfiref0x/uacme)