Auto-Elevate

이 도구는 UAC 우회 및 Windows 기본 제공 기능의 위력을 보여줍니다. 이 유틸리티는 winlogon.exe를 자동으로 찾아 해당 프로세스의 TOKEN을 탈취 및 가장하고, 탈취한 토큰으로 새로운 SYSTEM 수준 프로세스를 생성합니다. hfiref0x의 UACME 유틸리티의 UAC 우회 방법 #41(ICMLuaUtil UAC 우회)과 결합하여, 이 유틸리티는 낮은 권한의 관리자 계정에서 NT AUTHORITY\SYSTEM으로 자동 상승시킬 수 있습니다.

---

다음 이미지는 UACME와 Auto-Elevate를 결합하여 Windows 10 21H1에서 낮은 권한의 관리자 계정에서 NT AUTHORITY\SYSTEM으로 전환하는 것을 보여줍니다.

다음 이미지는 UAC 우회 없이 높은 권한의 관리자 계정에서 SYSTEM으로의 상승을 보여줍니다.

기술적 설명

Auto-Elevate가 낮은 권한의 관리자에서 SYSTEM으로 상승하기 위해 수행하는 단계는 다음과 같습니다:

Auto-Elevate

1. CreateToolhelp32Snapshot, Process32First 및 Process32Next를 사용하여 시스템에서 실행 중인 프로세스를 열거하여 winlogon.exe 프로세스를 찾습니다.
2. winlogon.exe에 대한 HANDLE을 열기 위해 필요하므로 AdjustTokenPrivileges 호출을 통해 현재 프로세스에 SeDebugPrivilege가 활성화됩니다.
3. OpenProcess를 호출하여 winlogon.exe 프로세스에 대한 핸들이 열리며, 이 호출에는 PROCESS_ALL_ACCESS가 사용됩니다(그러나 과도한 권한입니다).
4. 이전에 얻은 프로세스 핸들과 함께 OpenProcessToken을 호출하여 winlogon의 프로세스 토큰에 대한 핸들을 검색합니다.
5. ImpersonateLoggedOnUser를 호출하여 winlogon의 사용자(SYSTEM)가 가장됩니다.
6. SecurityImpersonation과 함께 DuplicateTokenEx를 호출하여 가장된 토큰 핸들이 복제되며, 이렇게 하면 사용할 수 있는 복제된 토큰이 생성됩니다.
7. 복제된 가장 토큰을 사용하여 CreateProcessWithTokenW를 호출하여 새 CMD 인스턴스가 생성됩니다.

할 일

• 프로세스를 더 자동화하기 위해 UACME의 방법 41(또는 유사한)의 독립형 버전 구현

MITRE ATT&CK 매핑

• 토큰 변조: T1134
• 액세스 토큰 변조: 토큰 가장/탈취: T1134.001
• 액세스 토큰 변조: 토큰으로 프로세스 생성: T1134.002
• 액세스 토큰 변조: 토큰 생성 및 가장: T1134.003