Auto-Elevate

Этот инструмент демонстрирует мощь обходов UAC и встроенных функций Windows. Эта утилита автоматически находит winlogon.exe, похищает и олицетворяет его TOKEN процесса и порождает новый процесс уровня SYSTEM с помощью украденного токена. В сочетании с методом обхода UAC #41 (ICMLuaUtil UAC bypass) из утилиты UACME от hfiref0x, эта утилита может автоматически повысить привилегии низкопривилегированной учетной записи Администратора до NT AUTHORITY\SYSTEM.

---

Следующее изображение демонстрирует использование UACME в сочетании с Auto-Elevate для перехода от низкопривилегированного Администратора до NT AUTHORITY\SYSTEM на Windows 10 21H1.

Следующее изображение демонстрирует повышение привилегий от высокопривилегированного Администратора до SYSTEM без обхода UAC

Техническое объяснение

Auto-Elevate выполняет следующие шаги для повышения привилегий от низкопривилегированного Администратора до SYSTEM:

Auto-Elevate

1. Процесс winlogon.exe находится путем перечисления запущенных процессов системы с помощью CreateToolhelp32Snapshot, Process32First и Process32Next
2. SeDebugPrivilege включается для текущего процесса через вызов AdjustTokenPrivileges, так как это необходимо для открытия HANDLE к winlogon.exe
3. Хендл к процессу winlogon.exe открывается вызовом OpenProcess; для этого вызова используется PROCESS_ALL_ACCESS (хотя это избыточно)
4. Хендл к токену процесса winlogon получается вызовом OpenProcessToken в сочетании с ранее полученным хендлом процесса 
5. Пользователь (SYSTEM) winlogon олицетворяется вызовом ImpersonateLoggedOnUser
6. Хендл олицетворенного токена дублируется вызовом DuplicateTokenEx с SecurityImpersonation, что создает дубликат токена, который мы можем использовать
7. С использованием дублированного и олицетворенного токена порождается новый экземпляр CMD вызовом CreateProcessWithTokenW

Запланировано

• Реализовать автономную версию метода 41 из UACME (или аналогичного) для дальнейшей автоматизации процесса

Карта MITRE ATT&CK

• Token Manipulation: T1134
• Access Token Manipulation: Token Impersonation/Theft: T1134.001
• Access Token Manipulation: Create Process with Token: T1134.002
• Access Token Manipulation: Make and Impersonate Token: T1134.003