hfiref0x/uacmeDerrotando o Controle de Conta de Usuário do Windows
[](https://ci.appveyor.com/project/hfiref0x/uacme)
# UACMe
Derrotando o Controle de Conta de Usuário do Windows abusando do backdoor interno de elevação automática do Windows. Este projeto demonstra várias técnicas de bypass do UAC e serve como um recurso educacional para entender os mecanismos de segurança do Windows.
> ⚠️ **Aviso**: Esta ferramenta demonstra vulnerabilidades de segurança que podem ser exploradas maliciosamente. Use com responsabilidade e apenas em ambientes controlados.
# Requisitos do Sistema
* **Sistemas Operacionais**: Windows 7/8/8.1/10/11 (x86-32/x64, cliente, alguns métodos também funcionam na versão servidor)
* **Conta de Usuário**: Conta de administrador com UAC configurado nas configurações padrão
## Uso
Execute o executável a partir da linha de comando usando a seguinte sintaxe:```
akagi32.exe [Method_Number] [Optional_Command]
```
ou```
akagi64.exe [Method_Number] [Optional_Command]
```
### Parâmetros:
* **Method_Number**: Número correspondente ao método de bypass de UAC (veja a Methods List abaixo)
* **Optional_Command**: Caminho completo para um arquivo executável a ser executado com privilégios elevados
* Se omitido, o programa iniciará um prompt de comando elevado (%systemroot%\system32\cmd.exe)
### Exemplos:```
akagi32.exe 23
akagi64.exe 61
akagi32.exe 23 c:\windows\system32\calc.exe
akagi64.exe 61 c:\windows\system32\charmap.exe
```
> **Nota**: Desde a versão 3.5.0, todos os métodos anteriormente "corrigidos" são considerados obsoletos e foram removidos. Se precisar deles, use o [branch v3.2.x](https://github.com/hfiref0x/UACME/tree/v3.2.x).
> **Nota**: A partir da versão 3.7.0, os métodos "corrigidos" entre 3.5.0 e 3.7.0 foram removidos da tabela de métodos do UACMe. Se precisar deles, use o [branch v3.6.x_plus](https://github.com/hfiref0x/UACME/tree/v3.6.x_plus). O código desses métodos ainda está disponível no branch atual para fins históricos.
<details>
<summary>Chaves (clique para expandir/recolher)</summary>1. Autor: Leo Davidson
* Tipo: Dll Hijack
* Método: IFileOperation
* Alvo(s): \system32\sysprep\sysprep.exe
* Componente(s): cryptbase.dll
* Implementação: ucmStandardAutoElevation
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 8.1 (9600)
* Como: sysprep.exe endureceu os elementos LoadFrom do manifesto
* Status do código: removido a partir da v3.5.0 :tractor:
2. Autor: Leo Davidson derivado
* Tipo: Dll Hijack
* Método: IFileOperation
* Alvo(s): \system32\sysprep\sysprep.exe
* Componente(s): ShCore.dll
* Implementação: ucmStandardAutoElevation
* Funciona a partir de: Windows 8.1 (9600)
* Corrigido em: Windows 10 TP (> 9600)
* Como: Efeito colateral da mudança de ShCore.dll para \KnownDlls
* Status do código: removido a partir da v3.5.0 :tractor:
3. Autor: Leo Davidson derivado por WinNT/Pitou
* Tipo: Dll Hijack
* Método: IFileOperation
* Alvo(s): \system32\oobe\setupsqm.exe
* Componente(s): WdsCore.dll
* Implementação: ucmStandardAutoElevation
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 TH2 (10558)
* Como: Efeito colateral do redesenho do OOBE
* Status do código: removido a partir da v3.5.0 :tractor:
4. Autor: Jon Ericson, WinNT/Gootkit, mzH
* Tipo: AppCompat
* Método: RedirectEXE Shim
* Alvo(s): \system32\cliconfg.exe
* Componente(s): -
* Implementação: ucmShimRedirectEXE
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 TP (> 9600)
* Como: Autoelevação do Sdbinst.exe removida, KB3045645/KB3048097 para as restantes versões Windows
* Status do código: removido a partir da v3.5.0 :tractor:
5. Autor: WinNT/Simda
* Tipo: Interface COM elevada
* Método: ISecurityEditor
* Alvo(s): Chaves de registo HKLM
* Componente(s): -
* Implementação: ucmSimdaTurnOffUac
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 TH1 (10147)
* Como: Método da interface ISecurityEditor alterado
* Status do código: removido a partir da v3.5.0 :tractor:
6. Autor: Win32/Carberp
* Tipo: Dll Hijack
* Método: WUSA
* Alvo(s): \ehome\mcx2prov.exe, \system32\migwiz\migwiz.exe
* Componente(s): WdsCore.dll, CryptBase.dll, CryptSP.dll
* Implementação: ucmWusaMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 TH1 (10147)
* Como: Opção WUSA /extract removida
* Status do código: removido a partir da v3.5.0 :tractor:
7. Autor: Win32/Carberp derivado
* Tipo: Dll Hijack
* Método: WUSA
* Alvo(s): \system32\cliconfg.exe
* Componente(s): ntwdblib.dll
* Implementação: ucmWusaMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 TH1 (10147)
* Como: Opção WUSA /extract removida
* Status do código: removido a partir da v3.5.0 :tractor:
8. Autor: Leo Davidson derivado por Win32/Tilon
* Tipo: Dll Hijack
* Método: IFileOperation
* Alvo(s): \system32\sysprep\sysprep.exe
* Componente(s): Actionqueue.dll
* Implementação: ucmStandardAutoElevation
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 8.1 (9600)
* Como: sysprep.exe endureceu LoadFrom do manifesto
* Status do código: removido a partir da v3.5.0 :tractor:
9. Autor: Leo Davidson, WinNT/Simda, Win32/Carberp derivado
* Tipo: Dll Hijack
* Método: IFileOperation, ISecurityEditor, WUSA
* Alvo(s): Chaves de registo IFEO, \system32\cliconfg.exe
* Componente(s): Attacker defined Application Verifier Dll
* Implementação: ucmAvrfMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 TH1 (10147)
* Como: Opção WUSA /extract removida, método da interface ISecurityEditor alterado
* Status do código: removido a partir da v3.5.0 :tractor:
10. Autor: WinNT/Pitou, Win32/Carberp derivado
* Tipo: Dll Hijack
* Método: IFileOperation, WUSA
* Alvo(s): \system32\\{New}or{Existing}\\{autoelevated}.exe, e.g. winsat.exe
* Componente(s): Attacker defined dll, e.g. PowProf.dll, DevObj.dll
* Implementação: ucmWinSATMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 TH2 (10548)
* Como: Reforço do controlo do caminho da aplicação elevada AppInfo
* Status do código: removido a partir da v3.5.0 :tractor:
11. Autor: Jon Ericson, WinNT/Gootkit, mzH
* Tipo: AppCompat
* Método: Shim Memory Patch
* Alvo(s): \system32\iscsicli.exe
* Componente(s): Attacker prepared shellcode
* Implementação: ucmShimPatch
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 8.1 (9600)
* Como: Autoelevação do Sdbinst.exe removida, KB3045645/KB3048097 para as restantes versões Windows
* Status do código: removido a partir da v3.5.0 :tractor:
12. Autor: Leo Davidson derivado
* Tipo: Dll Hijack
* Método: IFileOperation
* Alvo(s): \system32\sysprep\sysprep.exe
* Componente(s): dbgcore.dll
* Implementação: ucmStandardAutoElevation
* Funciona a partir de: Windows 10 TH1 (10240)
* Corrigido em: Windows 10 TH2 (10565)
* Como: Manifesto sysprep.exe atualizado
* Status do código: removido a partir da v3.5.0 :tractor:
13. Autor: Leo Davidson derivado
* Tipo: Dll Hijack
* Método: IFileOperation
* Alvo(s): \system32\mmc.exe EventVwr.msc
* Componente(s): elsext.dll
* Implementação: ucmMMCMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 RS1 (14316)
* Como: Dependência em falta removida
* Status do código: removido a partir da v3.5.0 :tractor:
14. Autor: Leo Davidson, WinNT/Sirefef derivado
* Tipo: Dll Hijack
* Método: IFileOperation
* Alvo(s): \system\credwiz.exe, \system32\wbem\oobe.exe
* Componente(s): netutils.dll
* Implementação: ucmSirefefMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 TH2 (10548)
* Como: Reforço do controlo do caminho da aplicação elevada AppInfo
* Status do código: removido a partir da v3.5.0 :tractor:
15. Autor: Leo Davidson, Win32/Addrop, Metasploit derivado
* Tipo: Dll Hijack
* Método: IFileOperation
* Alvo(s): \system32\cliconfg.exe
* Componente(s): ntwdblib.dll
* Implementação: ucmGenericAutoelevation
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 RS1 (14316)
* Como: Autoelevação do Cliconfg.exe removida
* Status do código: removido a partir da v3.5.0 :tractor:
16. Autor: Leo Davidson derivado
* Tipo: Dll Hijack
* Método: IFileOperation
* Alvo(s): \system32\GWX\GWXUXWorker.exe, \system32\inetsrv\inetmgr.exe
* Componente(s): SLC.dll
* Implementação: ucmGWX
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 RS1 (14316)
* Como: Controlo do caminho da aplicação elevada AppInfo e reforço do executável inetmgr
* Status do código: removido a partir da v3.5.0 :tractor:
17. Autor: Leo Davidson derivado
* Tipo: Dll Hijack (Import forwarding)
* Método: IFileOperation
* Alvo(s): \system32\sysprep\sysprep.exe
* Componente(s): unbcl.dll
* Implementação: ucmStandardAutoElevation2
* Funciona a partir de: Windows 8.1 (9600)
* Corrigido em: Windows 10 RS1 (14371)
* Como: Manifesto sysprep.exe atualizado
* Status do código: removido a partir da v3.5.0 :tractor:
18. Autor: Leo Davidson derivado
* Tipo: Dll Hijack (Manifesto)
* Método: IFileOperation
* Alvo(s): \system32\taskhost.exe, \system32\tzsync.exe (qualquer ms exe sem manifesto)
* Componente(s): Attacker defined
* Implementação: ucmAutoElevateManifest
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 RS1 (14371)
* Como: Lógica de análise de manifesto revista
* Status do código: removido a partir da v3.5.0 :tractor:
19. Autor: Leo Davidson derivado
* Tipo: Dll Hijack
* Método: IFileOperation
* Alvo(s): \system32\inetsrv\inetmgr.exe
* Componente(s): MsCoree.dll
* Implementação: ucmInetMgrMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 RS1 (14376)
* Como: Reforço do manifesto executável inetmgr.exe, MitigationPolicy->ProcessImageLoadPolicy->PreferSystem32Images
* Status do código: removido a partir da v3.5.0 :tractor:
20. Autor: Leo Davidson derivado
* Tipo: Dll Hijack
* Método: IFileOperation
* Alvo(s): \system32\mmc.exe, Rsop.msc
* Componente(s): WbemComn.dll
* Implementação: ucmMMCMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 RS3 (16232)
* Como: O alvo exige que wbemcomn.dll seja assinado pela MS
* Status do código: removido a partir da v3.5.0 :tractor:
21. Autor: Leo Davidson derivado
* Tipo: Dll Hijack
* Método: IFileOperation, SxS DotLocal
* Alvo(s): \system32\sysprep\sysprep.exe
* Componente(s): comctl32.dll
* Implementação: ucmSXSMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 RS3 (16232)
* Como: MitigationPolicy->ProcessImageLoadPolicy->PreferSystem32Images
* Status do código: removido a partir da v3.5.0 :tractor:
22. Autor: Leo Davidson derivado
* Tipo: Dll Hijack
* Método: IFileOperation, SxS DotLocal
* Alvo(s): \system32\consent.exe
* Componente(s): comctl32.dll
* Implementação: ucmSXSMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 11 24H2/25H2 (26100/26200)
* Como: Alterações internas do carregador Windows, consent!MitigationPolicy->ProcessSignaturePolicy->MicrosoftSignedOnly
* Status do código: removido a partir da v3.7.0 :tractor:
23. Autor: Leo Davidson derivado
* Tipo: Dll Hijack
* Método: IFileOperation
* Alvo(s): \system32\pkgmgr.exe
* Componente(s): DismCore.dll
* Implementação: ucmDismMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: não corrigido :see_no_evil:
* Como: -
* Status do código: adicionado na v2.5.1
24. Autor: BreakingMalware
* Tipo: Shell API
* Método: Expansão de variáveis de ambiente
* Alvo(s): \system32\CompMgmtLauncher.exe
* Componente(s): Attacker defined
* Implementação: ucmCometMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 RS2 (15031)
* Como: Autoelevação do CompMgmtLauncher.exe removida
* Status do código: removido a partir da v3.5.0 :tractor:
25. Autor: Enigma0x3
* Tipo: Shell API
* Método: Manipulação de chave de registo
* Alvo(s): \system32\EventVwr.exe, \system32\CompMgmtLauncher.exe
* Componente(s): Attacker defined
* Implementação: ucmHijackShellCommandMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 RS2 (15031)
* Como: EventVwr.exe redesenhado, autoelevação do CompMgmtLauncher.exe removida
* Status do código: removido a partir da v3.5.0 :tractor:
26. Autor: Enigma0x3
* Tipo: Race Condition
* Método: Sobrescrita de ficheiro
* Alvo(s): %temp%\GUID\dismhost.exe
* Componente(s): LogProvider.dll
* Implementação: ucmDiskCleanupRaceCondition
* Funciona a partir de: Windows 10 TH1 (10240)
* Compatível com AlwaysNotify
* Corrigido em: Windows 10 RS2 (15031)
* Como: Permissões de segurança de ficheiro alteradas
* Status do código: removido a partir da v3.5.0 :tractor:
27. Autor: ExpLife
* Tipo: Interface COM elevada
* Método: IARPUninstallStringLauncher
* Alvo(s): Attacker defined
* Componente(s): Attacker defined
* Implementação: ucmUninstallLauncherMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 RS3 (16199)
* Como: Interface UninstallStringLauncher removida do COMAutoApprovalList
* Status do código: removido a partir da v3.5.0 :tractor:
28. Autor: Exploit/Sandworm
* Tipo: Componente na lista de permissões
* Método: InfDefaultInstall
* Alvo(s): Attacker defined
* Componente(s): Attacker defined
* Implementação: ucmSandwormMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 8.1 (9600)
* Como: InfDefaultInstall.exe removido de g_lpAutoApproveEXEList (MS14-060)
* Status do código: removido a partir da v3.5.0 :tractor:
29. Autor: Enigma0x3
* Tipo: Shell API
* Método: Manipulação de chave de registo
* Alvo(s): \system32\sdclt.exe
* Componente(s): Attacker defined
* Implementação: ucmAppPathMethod
* Funciona a partir de: Windows 10 TH1 (10240)
* Corrigido em: Windows 10 RS3 (16215)
* Como: Atualização da Shell API
* Status do código: removido a partir da v3.5.0 :tractor:
30. Autor: Leo Davidson derivado, lhc645
* Tipo: Dll Hijack
* Método: WOW64 logger
* Alvo(s): \syswow64\\{any elevated exe, e.g wusa.exe}
* Componente(s): wow64log.dll
* Implementação: ucmWow64LoggerMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 11 24H2/25H2 (26100/26200)
* Como: Alterações internas do carregador Windows
* Status do código: removido a partir da v3.7.0 :tractor:
31. Autor: Enigma0x3
* Tipo: Shell API
* Método: Manipulação de chave de registo
* Alvo(s): \system32\sdclt.exe
* Componente(s): Attacker defined
* Implementação: ucmSdcltIsolatedCommandMethod
* Funciona a partir de: Windows 10 TH1 (10240)
* Corrigido em: Windows 10 RS4 (17025)
* Como: Atualização da Shell API / componentes Windows
* Status do código: removido a partir da v3.5.0 :tractor:
32. Autor: xi-tauw
* Tipo: Dll Hijack
* Método: Bypass UIPI com aplicação uiAccess
* Alvo(s): \Program Files\Windows Media Player\osk.exe, \system32\EventVwr.exe, \system32\mmc.exe
* Componente(s): duser.dll, osksupport.dll
* Implementação: ucmUiAccessMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: não corrigido :see_no_evil:
* Como: -
* Status do código: adicionado na v2.7.1
33. Autor: winscripting.blog
* Tipo: Shell API
* Método: Manipulação de chave de registo
* Alvo(s): \system32\fodhelper.exe
* Componente(s): Attacker defined
* Implementação: ucmShellRegModMethod
* Funciona a partir de: Windows 10 TH1 (10240)
* Corrigido em: não corrigido :see_no_evil:
* Como: -
* Status do código: adicionado na v2.7.2
34. Autor: James Forshaw
* Tipo: Shell API
* Método: Expansão de variáveis de ambiente
* Alvo(s): \system32\svchost.exe via \system32\schtasks.exe
* Componente(s): Attacker defined
* Implementação: ucmDiskCleanupEnvironmentVariable
* Funciona a partir de: Windows 8.1 (9600)
* Compatível com AlwaysNotify
* Corrigido em: não corrigido :see_no_evil:
* Como: -
* Status do código: adicionado na v2.7.2
35. Autor: CIA & James Forshaw
* Tipo: Impersonação
* Método: Manipulações de Token
* Alvo(s): Aplicações autoelevadas
* Componente(s): Attacker defined
* Implementação: ucmTokenModification
* Funciona a partir de: Windows 7 (7600)
* AlwaysNotify compatível, ver nota
* Corrigido em: Windows 10 RS5 (17686)
* Como: ntoskrnl.exe->SeTokenCanImpersonate adicionada verificação adicional de token de acesso
* Status do código: removido a partir da v3.5.0 :tractor:
36. Autor: Thomas Vanhoutte aka SandboxEscaper
* Tipo: Race condition
* Método: NTFS reparse point & Dll Hijack
* Alvo(s): wusa.exe, pkgmgr.exe
* Componente(s): Attacker defined
* Implementação: ucmJunctionMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 11 24H2/25H2 (26100/26200)
* Como: Alterações no WUSA
* Status do código: removido a partir da v3.7.0 :tractor:
37. Autor: Ernesto Fernandez, Thomas Vanhoutte
* Tipo: Dll Hijack
* Método: SxS DotLocal, NTFS reparse point
* Alvo(s): \system32\dccw.exe
* Componente(s): GdiPlus.dll
* Implementação: ucmSXSDccwMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 11 24H2/25H2 (26100/26200)
* Como: Alterações internas do carregador Windows, alterações no WUSA
* Status do código: removido a partir da v3.7.0 :tractor:
38. Autor: Clement Rouault
* Tipo: Componente na lista de permissões
* Método: Spoofing da linha de comandos APPINFO
* Alvo(s): \system32\mmc.exe
* Componente(s): Attacker defined
* Implementação: ucmHakrilMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: não corrigido :see_no_evil:
* Como: -
* Status do código: adicionado na v2.7.6
39. Autor: Stefan Kanthak
* Tipo: Dll Hijack
* Método: .NET Code Profiler
* Alvo(s): \system32\mmc.exe
* Componente(s): Attacker defined
* Implementação: ucmCorProfilerMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: não corrigido :see_no_evil:
* Como: -
* Status do código: adicionado na v2.7.7
40. Autor: Ruben Boonen
* Tipo: COM Handler Hijack
* Método: Manipulação de chave de registo
* Alvo(s): \system32\mmc.exe, \system32\recdisc.exe
* Componente(s): Attacker defined
* Implementação: ucmCOMHandlersMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 19H1 (18362)
* Como: Efeito colateral de alterações no Windows
* Status do código: removido a partir da v3.5.0 :tractor:
41. Autor: Oddvar Moe
* Tipo: Interface COM elevada
* Método: ICMLuaUtil
* Alvo(s): Attacker defined
* Componente(s): Attacker defined
* Implementação: ucmCMLuaUtilShellExecMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: não corrigido :see_no_evil:
* Como: -
* Status do código: adicionado na v2.7.9
42. Autor: BreakingMalware e Enigma0x3
* Tipo: Interface COM elevada
* Método: IFwCplLua
* Alvo(s): Attacker defined
* Componente(s): Attacker defined
* Implementação: ucmFwCplLuaMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 RS4 (17134)
* Como: Atualização da Shell API
* Status do código: removido a partir da v3.5.0 :tractor:
43. Autor: Oddvar Moe derivado
* Tipo: Interface COM elevada
* Método: IColorDataProxy, ICMLuaUtil
* Alvo(s): Attacker defined
* Componente(s): Attacker defined
* Implementação: ucmDccwCOMMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: não corrigido :see_no_evil:
* Como: -
* Status do código: adicionado na v2.8.3
44. Autor: bytecode77
* Tipo: Shell API
* Método: Expansão de variáveis de ambiente
* Alvo(s): Múltiplos processos autoelevados
* Componente(s): Vários por alvo
* Implementação: ucmVolatileEnvMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 RS3 (16299)
* Como: Variáveis de diretório de sistema do utilizador atual ignoradas durante a criação de processo
* Status do código: removido a partir da v3.5.0 :tractor:
45. Autor: bytecode77
* Tipo: Shell API
* Método: Manipulação de chave de registo
* Alvo(s): \system32\slui.exe
* Componente(s): Attacker defined
* Implementação: ucmSluiHijackMethod
* Funciona a partir de: Windows 8.1 (9600)
* Corrigido em: Windows 10 20H1 (19041)
* Como: Efeito colateral de alterações no Windows
* Status do código: removido a partir da v3.5.0 :tractor:
46. Autor: Anónimo
* Tipo: Race Condition
* Método: Manipulação de chave de registo
* Alvo(s): \system32\BitlockerWizardElev.exe
* Componente(s): Attacker defined
* Implementação: ucmBitlockerRCMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 RS4 (>16299)
* Como: Atualização da Shell API
* Status do código: removido a partir da v3.5.0 :tractor:
47. Autor: clavoillotte & 3gstudent
* Tipo: COM Handler Hijack
* Método: Manipulação de chave de registo
* Alvo(s): \system32\mmc.exe
* Componente(s): Attacker defined
* Implementação: ucmCOMHandlersMethod2
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 19H1 (18362)
* Como: Efeito colateral de alterações no Windows
* Status do código: removido a partir da v3.5.0 :tractor:
48. Autor: deroko
* Tipo: Interface COM elevada
* Método: ISPPLUAObject
* Alvo(s): Attacker defined
* Componente(s): Attacker defined
* Implementação: ucmSPPLUAObjectMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 RS5 (17763)
* Como: Método da interface ISPPLUAObject alterado
* Status do código: removido a partir da v3.5.0 :tractor:
49. Autor: RinN
* Tipo: Interface COM elevada
* Método: ICreateNewLink
* Alvo(s): \system32\TpmInit.exe
* Componente(s): WbemComn.dll
* Implementação: ucmCreateNewLinkMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 RS1 (14393)
* Como: Efeito colateral da introdução do COMAutoApprovalList no consent.exe
* Status do código: removido a partir da v3.5.0 :tractor:
50. Autor: Anónimo
* Tipo: Interface COM elevada
* Método: IDateTimeStateWrite, ISPPLUAObject
* Alvo(s): Serviço w32time
* Componente(s): w32time.dll
* Implementação: ucmDateTimeStateWriterMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 RS5 (17763)
* Como: Efeito colateral da alteração da interface ISPPLUAObject
* Status do código: removido a partir da v3.5.0 :tractor:
51. Autor: bytecode77 derivado
* Tipo: Interface COM elevada
* Método: IAccessibilityCplAdmin
* Alvo(s): \system32\rstrui.exe
* Componente(s): Attacker defined
* Implementação: ucmAcCplAdminMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 RS4 (17134)
* Como: Atualização da Shell API
* Status do código: removido a partir da v3.5.0 :tractor:
52. Autor: David Wells
* Tipo: Componente na lista de permissões
* Método: Abuso de parsing AipNormalizePath
* Alvo(s): Attacker defined
* Componente(s): Attacker defined
* Implementação: ucmDirectoryMockMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 11 24H2/25H2 (26100/26200)
* Como: Alterações no appinfo
* Status do código: removido a partir da v3.7.0 :tractor:
53. Autor: Emeric Nasi
* Tipo: Shell API
* Método: Manipulação de chave de registo
* Alvo(s): \system32\sdclt.exe
* Componente(s): Attacker defined
* Implementação: ucmShellRegModMethod
* Funciona a partir de: Windows 10 (14393)
* Corrigido em: não corrigido :see_no_evil:
* Como: -
* Status do código: adicionado na v3.1.3
54. Autor: egre55
* Tipo: Dll Hijack
* Método: Abuso de pesquisa de caminho de DLL
* Alvo(s): \syswow64\SystemPropertiesAdvanced.exe e outros SystemProperties*.exe
* Componente(s): \AppData\Local\Microsoft\WindowsApps\srrstr.dll
* Implementação: ucmEgre55Method
* Funciona a partir de: Windows 10 (14393)
* Corrigido em: Windows 10 19H1 (18362)
* Como: SysDm.cpl!_CreateSystemRestorePage atualizado para chamada de biblioteca segura
* Status do código: removido a partir da v3.5.0 :tractor:
55. Autor: James Forshaw
* Tipo: GUI Hack
* Método: Bypass UIPI com modificação de token
* Alvo(s): \system32\osk.exe, \system32\msconfig.exe
* Componente(s): Attacker defined
* Implementação: ucmTokenModUIAccessMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 RS5 (17763), parte de patch, ano 2024
* Como: Quando o nível de integridade de um token UIAccess é rebaixado, a propriedade UIAccess é removida
* Status do código: removido a partir da v3.7.0 :tractor:
56. Autor: Hashim Jawad
* Tipo: Shell API
* Método: Manipulação de chave de registo
* Alvo(s): \system32\WSReset.exe
* Componente(s): Attacker defined
* Implementação: ucmShellRegModMethod2
* Funciona a partir de: Windows 10 (17134)
* Corrigido em: Windows 11 (22000)
* Como: Redesenho de componentes Windows
* Status do código: removido a partir da v3.7.0 :tractor:
57. Autor: Leo Davidson derivado por Win32/Gapz
* Tipo: Dll Hijack
* Método: IFileOperation
* Alvo(s): \system32\sysprep\sysprep.exe
* Componente(s): unattend.dll
* Implementação: ucmStandardAutoElevation
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 8.1 (9600)
* Como: sysprep.exe endureceu os elementos LoadFrom do manifesto
* Status do código: removido a partir da v3.5.0 :tractor:
58. Autor: RinN
* Tipo: Interface COM elevada
* Método: IEditionUpgradeManager
* Alvo(s): \system32\clipup.exe
* Componente(s): Attacker defined
* Implementação: ucmEditionUpgradeManagerMethod
* Funciona a partir de: Windows 10 (14393)
* Corrigido em: Windows 11 24H2/25H2 (26100/26200)
* Como: Variável de ambiente do utilizador atual %windir% ignorada
* Status do código: removido a partir da v3.7.0 :tractor:
59. Autor: James Forshaw
* Tipo: AppInfo ALPC
* Método: RAiLaunchAdminProcess e DebugObject
* Alvo(s): Attacker defined
* Componente(s): Attacker defined
* Implementação: ucmDebugObjectMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: não corrigido :see_no_evil:
* Como: -
* Status do código: adicionado na v3.2.3
60. Autor: Enigma0x3 derivado por WinNT/Glupteba
* Tipo: Shell API
* Método: Manipulação de chave de registo
* Alvo(s): \system32\CompMgmtLauncher.exe
* Componente(s): Attacker defined
* Implementação: ucmGluptebaMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 10 RS2 (15063)
* Como: Autoelevação do CompMgmtLauncher.exe removida
* Status do código: removido a partir da v3.5.0 :tractor:
61. Autor: Enigma0x3/bytecode77 derivado por Nassim Asrir
* Tipo: Shell API
* Método: Manipulação de chave de registo
* Alvo(s): \system32\slui.exe, \system32\changepk.exe
* Componente(s): Attacker defined
* Implementação: ucmShellRegModMethod
* Funciona a partir de: Windows 10 (14393)
* Corrigido em: não corrigido :see_no_evil:
* Como: -
* Status do código: adicionado na v3.2.5
62. Autor: winscripting.blog
* Tipo: Shell API
* Método: Manipulação de chave de registo
* Alvo(s): \system32\computerdefaults.exe
* Componente(s): Attacker defined
* Implementação: ucmShellRegModMethod
* Funciona a partir de: Windows 10 RS4 (17134)
* Corrigido em: não corrigido :see_no_evil:
* Como: -
* Status do código: adicionado na v3.2.6
63. Autor: Arush Agarampur
* Tipo: Dll Hijack
* Método: ISecurityEditor
* Alvo(s): Elementos do Native Image Cache
* Componente(s): Attacker defined
* Implementação: ucmNICPoisonMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: não corrigido :see_no_evil:
* Como: -
* Status do código: adicionado na v3.2.7
64. Autor: Arush Agarampur
* Tipo: Interface COM elevada
* Método: IIEAxiAdminInstaller, IIEAxiInstaller2, IFileOperation
* Alvo(s): Cache de instalação de add-on do IE
* Componente(s): Attacker defined
* Implementação: ucmIeAddOnInstallMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: não corrigido :see_no_evil:
* Como: -
* Status do código: adicionado na v3.5.1
65. Autor: Arush Agarampur
* Tipo: Interface COM elevada
* Método: IWscAdmin
* Alvo(s): Hijack de Protocolo Shell
* Componente(s): Attacker defined
* Implementação: ucmWscActionProtocolMethod
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 11 24H2 (26100)
* Como: Efeito colateral de alterações no Windows
* Status do código: removido a partir da v3.7.0 :tractor:
66. Autor: Arush Agarampur
* Tipo: Interface COM elevada
* Método: IFwCplLua, Hijack de Protocolo Shell
* Alvo(s): Entrada de registo de protocolo Shell e variáveis de ambiente
* Componente(s): Attacker defined
* Implementação: ucmFwCplLuaMethod2
* Funciona a partir de: Windows 7 (7600)
* Corrigido em: Windows 11 24H2 (26100)
* Como: Efeito colateral de alterações no Windows
* Status do código: removido a partir da v3.7.0 :tractor:
67. Autor: Arush Agarampur
* Tipo: Shell API
* Método: Hijack de Protocolo Shell
* Alvo(s): \system32\fodhelper.exe
* Componente(s): Attacker defined
* Implementação: ucmMsSettingsProtocolMethod
* Funciona a partir de: Windows 10 TH1 (10240)
* Corrigido em: não corrigido :see_no_evil:
* Como: -
* Status do código: adicionado na v3.5.4
68. Autor: Arush Agarampur
* Tipo: Shell API
* Método: Hijack de Protocolo Shell
* Alvo(s): \system32\wsreset.exe
* Componente(s): Attacker defined
* Implementação: ucmMsStoreProtocolMethod
* Funciona a partir de: Windows 10 RS5 (17763)
* Corrigido em: não corrigido :see_no_evil:
* Como: -
* Status do código: adicionado na v3.5.5
69. Autor: Arush Agarampur
* Tipo: Shell API
* Método: Expansão de variáveis de ambiente, Dll Hijack
* Alvo(s): \system32\taskhostw.exe
* Componente(s): pcadm.dll
* Implementação: ucmPcaMethod
* Funciona a partir de: Windows 7 (7600)
```
---
[Read more](https://github.com/hfiref0x/uacme)