hfiref0x/uacmeОбход контроля учётных записей Windows
[](https://ci.appveyor.com/project/hfiref0x/uacme)
# UACMe
Обход контроля учётных записей Windows (UAC) путём злоупотребления встроенным бэкдором AutoElevate. Данный проект демонстрирует различные техники обхода UAC и служит образовательным ресурсом для понимания механизмов безопасности Windows.
> ⚠️ **Предупреждение**: Этот инструмент демонстрирует уязвимости безопасности, которые могут быть использованы злоумышленниками. Используйте ответственно и только в контролируемых средах.
# Системные требования
* **Операционные системы**: Windows 7/8/8.1/10/11 (x86-32/x64, клиентские; некоторые методы также работают на серверных версиях)
* **Учётная запись пользователя**: Учётная запись администратора с UAC, установленным по умолчанию
## Использование
Запустите исполняемый файл из командной строки, используя следующий синтаксис:```
akagi32.exe [Method_Number] [Optional_Command]
```
или```
akagi64.exe [Method_Number] [Optional_Command]
```
### Параметры:
* **Method_Number**: Номер, соответствующий методу обхода UAC (см. Список методов ниже)
* **Optional_Command**: Полный путь к исполняемому файлу для запуска с повышенными привилегиями
* Если не указано, программа запустит командную строку с повышенными привилегиями (%systemroot%\system32\cmd.exe)
### Примеры:```
akagi32.exe 23
akagi64.exe 61
akagi32.exe 23 c:\windows\system32\calc.exe
akagi64.exe 61 c:\windows\system32\charmap.exe
```
> **Примечание**: Начиная с версии 3.5.0 все ранее «исправленные» методы считаются устаревшими и были удалены. Если они вам нужны, используйте [ветку v3.2.x](https://github.com/hfiref0x/UACME/tree/v3.2.x).
> **Примечание**: Начиная с версии 3.7.0 методы, «исправленные» в период между 3.5.0 и 3.7.0, были удалены из таблицы методов UACMe. Если они вам нужны, используйте [ветку v3.6.x_plus](https://github.com/hfiref0x/UACME/tree/v3.6.x_plus). Код этих методов всё ещё доступен в текущей ветке в исторических целях.
<details>
<summary>Ключи (нажмите, чтобы развернуть/свернуть)</summary>1. Автор: Leo Davidson
* Тип: Dll Hijack
* Метод: IFileOperation
* Цель(и): \system32\sysprep\sysprep.exe
* Компонент(ы): cryptbase.dll
* Реализация: ucmStandardAutoElevation
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 8.1 (9600)
* Как: sysprep.exe ужесточены элементы LoadFrom манифеста
* Статус кода: удалено начиная с v3.5.0 :tractor:
2. Автор: Производное от Leo Davidson
* Тип: Dll Hijack
* Метод: IFileOperation
* Цель(и): \system32\sysprep\sysprep.exe
* Компонент(ы): ShCore.dll
* Реализация: ucmStandardAutoElevation
* Работает с: Windows 8.1 (9600)
* Исправлено в: Windows 10 TP (> 9600)
* Как: Побочный эффект перемещения ShCore.dll в \KnownDlls
* Статус кода: удалено начиная с v3.5.0 :tractor:
3. Автор: Производное от Leo Davidson от WinNT/Pitou
* Тип: Dll Hijack
* Метод: IFileOperation
* Цель(и): \system32\oobe\setupsqm.exe
* Компонент(ы): WdsCore.dll
* Реализация: ucmStandardAutoElevation
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 10 TH2 (10558)
* Как: Побочный эффект редизайна OOBE
* Статус кода: удалено начиная с v3.5.0 :tractor:
4. Автор: Jon Ericson, WinNT/Gootkit, mzH
* Тип: AppCompat
* Метод: RedirectEXE Shim
* Цель(и): \system32\cliconfg.exe
* Компонент(ы): -
* Реализация: ucmShimRedirectEXE
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 10 TP (> 9600)
* Как: Удалено автоповышение Sdbinst.exe, KB3045645/KB3048097 для остальных версий Windows
* Статус кода: удалено начиная с v3.5.0 :tractor:
5. Автор: WinNT/Simda
* Тип: Повышенный COM-интерфейс
* Метод: ISecurityEditor
* Цель(и): ключи реестра HKLM
* Компонент(ы): -
* Реализация: ucmSimdaTurnOffUac
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 10 TH1 (10147)
* Как: Изменён метод интерфейса ISecurityEditor
* Статус кода: удалено начиная с v3.5.0 :tractor:
6. Автор: Win32/Carberp
* Тип: Dll Hijack
* Метод: WUSA
* Цель(и): \ehome\mcx2prov.exe, \system32\migwiz\migwiz.exe
* Компонент(ы): WdsCore.dll, CryptBase.dll, CryptSP.dll
* Реализация: ucmWusaMethod
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 10 TH1 (10147)
* Как: Удалена опция WUSA /extract
* Статус кода: удалено начиная с v3.5.0 :tractor:
7. Автор: Производное от Win32/Carberp
* Тип: Dll Hijack
* Метод: WUSA
* Цель(и): \system32\cliconfg.exe
* Компонент(ы): ntwdblib.dll
* Реализация: ucmWusaMethod
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 10 TH1 (10147)
* Как: Удалена опция WUSA /extract
* Статус кода: удалено начиная с v3.5.0 :tractor:
8. Автор: Производное от Leo Davidson от Win32/Tilon
* Тип: Dll Hijack
* Метод: IFileOperation
* Цель(и): \system32\sysprep\sysprep.exe
* Компонент(ы): Actionqueue.dll
* Реализация: ucmStandardAutoElevation
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 8.1 (9600)
* Как: sysprep.exe ужесточен манифест LoadFrom
* Статус кода: удалено начиная с v3.5.0 :tractor:
9. Автор: Leo Davidson, WinNT/Simda, Производное от Win32/Carberp
* Тип: Dll Hijack
* Метод: IFileOperation, ISecurityEditor, WUSA
* Цель(и): ключи реестра IFEO, \system32\cliconfg.exe
* Компонент(ы): Определённая атакующим DLL Application Verifier
* Реализация: ucmAvrfMethod
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 10 TH1 (10147)
* Как: Удалена опция WUSA /extract, изменён метод интерфейса ISecurityEditor
* Статус кода: удалено начиная с v3.5.0 :tractor:
10. Автор: WinNT/Pitou, Производное от Win32/Carberp
* Тип: Dll Hijack
* Метод: IFileOperation, WUSA
* Цель(и): \system32\\{Новый}или{Существующий}\\{автоповышенный}.exe, например, winsat.exe
* Компонент(ы): Определённая атакующим dll, например, PowProf.dll, DevObj.dll
* Реализация: ucmWinSATMethod
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 10 TH2 (10548)
* Как: Ужесточение контроля путей повышенных приложений AppInfo
* Статус кода: удалено начиная с v3.5.0 :tractor:
11. Автор: Jon Ericson, WinNT/Gootkit, mzH
* Тип: AppCompat
* Метод: Shim Memory Patch
* Цель(и): \system32\iscsicli.exe
* Компонент(ы): Подготовленный атакующим шеллкод
* Реализация: ucmShimPatch
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 8.1 (9600)
* Как: Удалено автоповышение Sdbinst.exe, KB3045645/KB3048097 для остальных версий Windows
* Статус кода: удалено начиная с v3.5.0 :tractor:
12. Автор: Производное от Leo Davidson
* Тип: Dll Hijack
* Метод: IFileOperation
* Цель(и): \system32\sysprep\sysprep.exe
* Компонент(ы): dbgcore.dll
* Реализация: ucmStandardAutoElevation
* Работает с: Windows 10 TH1 (10240)
* Исправлено в: Windows 10 TH2 (10565)
* Как: Обновлён манифест sysprep.exe
* Статус кода: удалено начиная с v3.5.0 :tractor:
13. Автор: Производное от Leo Davidson
* Тип: Dll Hijack
* Метод: IFileOperation
* Цель(и): \system32\mmc.exe EventVwr.msc
* Компонент(ы): elsext.dll
* Реализация: ucmMMCMethod
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 10 RS1 (14316)
* Как: Удалена отсутствующая зависимость
* Статус кода: удалено начиная с v3.5.0 :tractor:
14. Автор: Производное от Leo Davidson, WinNT/Sirefef
* Тип: Dll Hijack
* Метод: IFileOperation
* Цель(и): \system\credwiz.exe, \system32\wbem\oobe.exe
* Компонент(ы): netutils.dll
* Реализация: ucmSirefefMethod
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 10 TH2 (10548)
* Как: Ужесточение контроля путей повышенных приложений AppInfo
* Статус кода: удалено начиная с v3.5.0 :tractor:
15. Автор: Производное от Leo Davidson, Win32/Addrop, Metasploit
* Тип: Dll Hijack
* Метод: IFileOperation
* Цель(и): \system32\cliconfg.exe
* Компонент(ы): ntwdblib.dll
* Реализация: ucmGenericAutoelevation
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 10 RS1 (14316)
* Как: Удалено автоповышение Cliconfg.exe
* Статус кода: удалено начиная с v3.5.0 :tractor:
16. Автор: Производное от Leo Davidson
* Тип: Dll Hijack
* Метод: IFileOperation
* Цель(и): \system32\GWX\GWXUXWorker.exe, \system32\inetsrv\inetmgr.exe
* Компонент(ы): SLC.dll
* Реализация: ucmGWX
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 10 RS1 (14316)
* Как: Контроль путей повышенных приложений AppInfo и ужесточение исполняемого файла inetmgr
* Статус кода: удалено начиная с v3.5.0 :tractor:
17. Автор: Производное от Leo Davidson
* Тип: Dll Hijack (перенаправление импорта)
* Метод: IFileOperation
* Цель(и): \system32\sysprep\sysprep.exe
* Компонент(ы): unbcl.dll
* Реализация: ucmStandardAutoElevation2
* Работает с: Windows 8.1 (9600)
* Исправлено в: Windows 10 RS1 (14371)
* Как: Обновлён манифест sysprep.exe
* Статус кода: удалено начиная с v3.5.0 :tractor:
18. Автор: Производное от Leo Davidson
* Тип: Dll Hijack (манифест)
* Метод: IFileOperation
* Цель(и): \system32\taskhost.exe, \system32\tzsync.exe (любой exe от MS без манифеста)
* Компонент(ы): Определённый атакующим
* Реализация: ucmAutoElevateManifest
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 10 RS1 (14371)
* Как: Пересмотрена логика разбора манифеста
* Статус кода: удалено начиная с v3.5.0 :tractor:
19. Автор: Производное от Leo Davidson
* Тип: Dll Hijack
* Метод: IFileOperation
* Цель(и): \system32\inetsrv\inetmgr.exe
* Компонент(ы): MsCoree.dll
* Реализация: ucmInetMgrMethod
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 10 RS1 (14376)
* Как: Ужесточение манифеста исполняемого файла inetmgr.exe, MitigationPolicy->ProcessImageLoadPolicy->PreferSystem32Images
* Статус кода: удалено начиная с v3.5.0 :tractor:
20. Автор: Производное от Leo Davidson
* Тип: Dll Hijack
* Метод: IFileOperation
* Цель(и): \system32\mmc.exe, Rsop.msc
* Компонент(ы): WbemComn.dll
* Реализация: ucmMMCMethod
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 10 RS3 (16232)
* Как: Цель требует, чтобы wbemcomn.dll была подписана MS
* Статус кода: удалено начиная с v3.5.0 :tractor:
21. Автор: Производное от Leo Davidson
* Тип: Dll Hijack
* Метод: IFileOperation, SxS DotLocal
* Цель(и): \system32\sysprep\sysprep.exe
* Компонент(ы): comctl32.dll
* Реализация: ucmSXSMethod
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 10 RS3 (16232)
* Как: MitigationPolicy->ProcessImageLoadPolicy->PreferSystem32Images
* Статус кода: удалено начиная с v3.5.0 :tractor:
22. Автор: Производное от Leo Davidson
* Тип: Dll Hijack
* Метод: IFileOperation, SxS DotLocal
* Цель(и): \system32\consent.exe
* Компонент(ы): comctl32.dll
* Реализация: ucmSXSMethod
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 11 24H2/25H2 (26100/26200)
* Как: Внутренние изменения загрузчика Windows, consent!MitigationPolicy->ProcessSignaturePolicy->MicrosoftSignedOnly
* Статус кода: удалено начиная с v3.7.0 :tractor:
23. Автор: Производное от Leo Davidson
* Тип: Dll Hijack
* Метод: IFileOperation
* Цель(и): \system32\pkgmgr.exe
* Компонент(ы): DismCore.dll
* Реализация: ucmDismMethod
* Работает с: Windows 7 (7600)
* Исправлено в: не исправлено :see_no_evil:
* Как: -
* Статус кода: добавлено в v2.5.1
24. Автор: BreakingMalware
* Тип: Shell API
* Метод: Разворачивание переменных окружения
* Цель(и): \system32\CompMgmtLauncher.exe
* Компонент(ы): Определённый атакующим
* Реализация: ucmCometMethod
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 10 RS2 (15031)
* Как: Удалено автоповышение CompMgmtLauncher.exe
* Статус кода: удалено начиная с v3.5.0 :tractor:
25. Автор: Enigma0x3
* Тип: Shell API
* Метод: Манипуляция ключами реестра
* Цель(и): \system32\EventVwr.exe, \system32\CompMgmtLauncher.exe
* Компонент(ы): Определённый атакующим
* Реализация: ucmHijackShellCommandMethod
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 10 RS2 (15031)
* Как: EventVwr.exe переработан, удалено автоповышение CompMgmtLauncher.exe
* Статус кода: удалено начиная с v3.5.0 :tractor:
26. Автор: Enigma0x3
* Тип: Состояние гонки
* Метод: Перезапись файла
* Цель(и): %temp%\GUID\dismhost.exe
* Компонент(ы): LogProvider.dll
* Реализация: ucmDiskCleanupRaceCondition
* Работает с: Windows 10 TH1 (10240)
* Совместимость с AlwaysNotify
* Исправлено в: Windows 10 RS2 (15031)
* Как: Изменены права безопасности файла
* Статус кода: удалено начиная с v3.5.0 :tractor:
27. Автор: ExpLife
* Тип: Повышенный COM-интерфейс
* Метод: IARPUninstallStringLauncher
* Цель(и): Определённая атакующим
* Компонент(ы): Определённый атакующим
* Реализация: ucmUninstallLauncherMethod
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 10 RS3 (16199)
* Как: Интерфейс UninstallStringLauncher удалён из COMAutoApprovalList
* Статус кода: удалено начиная с v3.5.0 :tractor:
28. Автор: Exploit/Sandworm
* Тип: Белый список компонентов
* Метод: InfDefaultInstall
* Цель(и): Определённая атакующим
* Компонент(ы): Определённый атакующим
* Реализация: ucmSandwormMethod
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 8.1 (9600)
* Как: InfDefaultInstall.exe удалён из g_lpAutoApproveEXEList (MS14-060)
* Статус кода: удалено начиная с v3.5.0 :tractor:
29. Автор: Enigma0x3
* Тип: Shell API
* Метод: Манипуляция ключами реестра
* Цель(и): \system32\sdclt.exe
* Компонент(ы): Определённый атакующим
* Реализация: ucmAppPathMethod
* Работает с: Windows 10 TH1 (10240)
* Исправлено в: Windows 10 RS3 (16215)
* Как: Обновление Shell API
* Статус кода: удалено начиная с v3.5.0 :tractor:
30. Автор: Производное от Leo Davidson, lhc645
* Тип: Dll Hijack
* Метод: WOW64 logger
* Цель(и): \syswow64\\{любой повышенный exe, например wusa.exe}
* Компонент(ы): wow64log.dll
* Реализация: ucmWow64LoggerMethod
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 11 24H2/25H2 (26100/26200)
* Как: Внутренние изменения загрузчика Windows
* Статус кода: удалено начиная с v3.7.0 :tractor:
31. Автор: Enigma0x3
* Тип: Shell API
* Метод: Манипуляция ключами реестра
* Цель(и): \system32\sdclt.exe
* Компонент(ы): Определённый атакующим
* Реализация: ucmSdcltIsolatedCommandMethod
* Работает с: Windows 10 TH1 (10240)
* Исправлено в: Windows 10 RS4 (17025)
* Как: Обновление Shell API / компонентов Windows
* Статус кода: удалено начиная с v3.5.0 :tractor:
32. Автор: xi-tauw
* Тип: Dll Hijack
* Метод: Обход UIPI с помощью приложения uiAccess
* Цель(и): \Program Files\Windows Media Player\osk.exe, \system32\EventVwr.exe, \system32\mmc.exe
* Компонент(ы): duser.dll, osksupport.dll
* Реализация: ucmUiAccessMethod
* Работает с: Windows 7 (7600)
* Исправлено в: не исправлено :see_no_evil:
* Как: -
* Статус кода: добавлено в v2.7.1
33. Автор: winscripting.blog
* Тип: Shell API
* Метод: Манипуляция ключами реестра
* Цель(и): \system32\fodhelper.exe
* Компонент(ы): Определённый атакующим
* Реализация: ucmShellRegModMethod
* Работает с: Windows 10 TH1 (10240)
* Исправлено в: не исправлено :see_no_evil:
* Как: -
* Статус кода: добавлено в v2.7.2
34. Автор: James Forshaw
* Тип: Shell API
* Метод: Разворачивание переменных окружения
* Цель(и): \system32\svchost.exe через \system32\schtasks.exe
* Компонент(ы): Определённый атакующим
* Реализация: ucmDiskCleanupEnvironmentVariable
* Работает с: Windows 8.1 (9600)
* Совместимость с AlwaysNotify
* Исправлено в: не исправлено :see_no_evil:
* Как: -
* Статус кода: добавлено в v2.7.2
35. Автор: CIA & James Forshaw
* Тип: Имитация
* Метод: Манипуляции токенами
* Цель(и): Автоповышенные приложения
* Компонент(ы): Определённый атакующим
* Реализация: ucmTokenModification
* Работает с: Windows 7 (7600)
* Совместимость с AlwaysNotify, см. примечание
* Исправлено в: Windows 10 RS5 (17686)
* Как: Добавлена дополнительная проверка токена доступа ntoskrnl.exe->SeTokenCanImpersonate
* Статус кода: удалено начиная с v3.5.0 :tractor:
36. Автор: Thomas Vanhoutte также известен как SandboxEscaper
* Тип: Состояние гонки
* Метод: Точка повторной обработки NTFS и Dll Hijack
* Цель(и): wusa.exe, pkgmgr.exe
* Компонент(ы): Определённый атакующим
* Реализация: ucmJunctionMethod
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 11 24H2/25H2 (26100/26200)
* Как: Изменения WUSA
* Статус кода: удалено начиная с v3.7.0 :tractor:
37. Автор: Ernesto Fernandez, Thomas Vanhoutte
* Тип: Dll Hijack
* Метод: SxS DotLocal, точка повторной обработки NTFS
* Цель(и): \system32\dccw.exe
* Компонент(ы): GdiPlus.dll
* Реализация: ucmSXSDccwMethod
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 11 24H2/25H2 (26100/26200)
* Как: Внутренние изменения загрузчика Windows, изменения WUSA
* Статус кода: удалено начиная с v3.7.0 :tractor:
38. Автор: Clement Rouault
* Тип: Белый список компонентов
* Метод: Спуфинг командной строки APPINFO
* Цель(и): \system32\mmc.exe
* Компонент(ы): Определённый атакующим
* Реализация: ucmHakrilMethod
* Работает с: Windows 7 (7600)
* Исправлено в: не исправлено :see_no_evil:
* Как: -
* Статус кода: добавлено в v2.7.6
39. Автор: Stefan Kanthak
* Тип: Dll Hijack
* Метод: Профилировщик кода .NET
* Цель(и): \system32\mmc.exe
* Компонент(ы): Определённый атакующим
* Реализация: ucmCorProfilerMethod
* Работает с: Windows 7 (7600)
* Исправлено в: не исправлено :see_no_evil:
* Как: -
* Статус кода: добавлено в v2.7.7
40. Автор: Ruben Boonen
* Тип: Перехват обработчика COM
* Метод: Манипуляция ключами реестра
* Цель(и): \system32\mmc.exe, \system32\recdisc.exe
* Компонент(ы): Определённый атакующим
* Реализация: ucmCOMHandlersMethod
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 10 19H1 (18362)
* Как: Побочный эффект изменений Windows
* Статус кода: удалено начиная с v3.5.0 :tractor:
41. Автор: Oddvar Moe
* Тип: Повышенный COM-интерфейс
* Метод: ICMLuaUtil
* Цель(и): Определённая атакующим
* Компонент(ы): Определённый атакующим
* Реализация: ucmCMLuaUtilShellExecMethod
* Работает с: Windows 7 (7600)
* Исправлено в: не исправлено :see_no_evil:
* Как: -
* Статус кода: добавлено в v2.7.9
42. Автор: BreakingMalware и Enigma0x3
* Тип: Повышенный COM-интерфейс
* Метод: IFwCplLua
* Цель(и): Определённая атакующим
* Компонент(ы): Определённый атакующим
* Реализация: ucmFwCplLuaMethod
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 10 RS4 (17134)
* Как: Обновление Shell API
* Статус кода: удалено начиная с v3.5.0 :tractor:
43. Автор: Производное от Oddvar Moe
* Тип: Повышенный COM-интерфейс
* Метод: IColorDataProxy, ICMLuaUtil
* Цель(и): Определённая атакующим
* Компонент(ы): Определённый атакующим
* Реализация: ucmDccwCOMMethod
* Работает с: Windows 7 (7600)
* Исправлено в: не исправлено :see_no_evil:
* Как: -
* Статус кода: добавлено в v2.8.3
44. Автор: bytecode77
* Тип: Shell API
* Метод: Разворачивание переменных окружения
* Цель(и): Несколько автоповышенных процессов
* Компонент(ы): Разные для каждой цели
* Реализация: ucmVolatileEnvMethod
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 10 RS3 (16299)
* Как: Переменные системного каталога текущего пользователя игнорируются при создании процесса
* Статус кода: удалено начиная с v3.5.0 :tractor:
45. Автор: bytecode77
* Тип: Shell API
* Метод: Манипуляция ключами реестра
* Цель(и): \system32\slui.exe
* Компонент(ы): Определённый атакующим
* Реализация: ucmSluiHijackMethod
* Работает с: Windows 8.1 (9600)
* Исправлено в: Windows 10 20H1 (19041)
* Как: Побочный эффект изменений Windows
* Статус кода: удалено начиная с v3.5.0 :tractor:
46. Автор: Аноним
* Тип: Состояние гонки
* Метод: Манипуляция ключами реестра
* Цель(и): \system32\BitlockerWizardElev.exe
* Компонент(ы): Определённый атакующим
* Реализация: ucmBitlockerRCMethod
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 10 RS4 (>16299)
* Как: Обновление Shell API
* Статус кода: удалено начиная с v3.5.0 :tractor:
47. Автор: clavoillotte & 3gstudent
* Тип: Перехват обработчика COM
* Метод: Манипуляция ключами реестра
* Цель(и): \system32\mmc.exe
* Компонент(ы): Определённый атакующим
* Реализация: ucmCOMHandlersMethod2
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 10 19H1 (18362)
* Как: Побочный эффект изменений Windows
* Статус кода: удалено начиная с v3.5.0 :tractor:
48. Автор: deroko
* Тип: Повышенный COM-интерфейс
* Метод: ISPPLUAObject
* Цель(и): Определённая атакующим
* Компонент(ы): Определённый атакующим
* Реализация: ucmSPPLUAObjectMethod
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 10 RS5 (17763)
* Как: Изменён метод интерфейса ISPPLUAObject
* Статус кода: удалено начиная с v3.5.0 :tractor:
49. Автор: RinN
* Тип: Повышенный COM-интерфейс
* Метод: ICreateNewLink
* Цель(и): \system32\TpmInit.exe
* Компонент(ы): WbemComn.dll
* Реализация: ucmCreateNewLinkMethod
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 10 RS1 (14393)
* Как: Побочный эффект введения COMAutoApprovalList в consent.exe
* Статус кода: удалено начиная с v3.5.0 :tractor:
50. Автор: Аноним
* Тип: Повышенный COM-интерфейс
* Метод: IDateTimeStateWrite, ISPPLUAObject
* Цель(и): служба w32time
* Компонент(ы): w32time.dll
* Реализация: ucmDateTimeStateWriterMethod
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 10 RS5 (17763)
* Как: Побочный эффект изменения интерфейса ISPPLUAObject
* Статус кода: удалено начиная с v3.5.0 :tractor:
51. Автор: Производное от bytecode77
* Тип: Повышенный COM-интерфейс
* Метод: IAccessibilityCplAdmin
* Цель(и): \system32\rstrui.exe
* Компонент(ы): Определённый атакующим
* Реализация: ucmAcCplAdminMethod
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 10 RS4 (17134)
* Как: Обновление Shell API
* Статус кода: удалено начиная с v3.5.0 :tractor:
52. Автор: David Wells
* Тип: Белый список компонентов
* Метод: Злоупотребление разбором AipNormalizePath
* Цель(и): Определённая атакующим
* Компонент(ы): Определённый атакующим
* Реализация: ucmDirectoryMockMethod
* Работает с: Windows 7 (7600)
* Исправлено в: Windows 11 24H2/25H2 (26100/26200)
```
---
[Read more](https://github.com/hfiref0x/uacme)