Detecção de Abuso de Mecanismo de Controle de Elevação T1548

Quando Usar

• Ao procurar por escalonamento de privilégios via bypass de UAC em ambientes Windows
• Após inteligência de ameaças indicar o uso de exploits de bypass de UAC por grupos de ameaças ativos
• Ao investigar como atacantes alcançaram acesso administrativo sem disparar prompts de UAC
• Durante avaliações de segurança para validar a cobertura de detecção de bypass de UAC
• Ao monitorar abuso de setuid/setgid em sistemas Linux

Pré-requisitos

• Sysmon Event ID 1 com registro de linha de comando e processo pai
• Windows Security Event ID 4688 com rastreamento de processos
• Auditoria de Registro para chaves relacionadas ao UAC (HKCU\Software\Classes)
• Sysmon Event ID 12/13 (Modificação de chave/valor de registro)
• EDR com capacidades de monitoramento de elevação

Fluxo de Trabalho

1. Monitorar Modificações de Registro do UAC: Muitos bypasses de UAC modificam chaves de registro em HKCU\Software\Classes\ms-settings\shell\open\command ou HKCU\Software\Classes\mscfile\shell\open\command. Rastreie Eventos Sysmon 12/13 para essas alterações.
2. Detectar Abuso de Processos de Auto-Elevação: Certos binários do Windows se auto-elevam sem prompts de UAC (fodhelper.exe, computerdefaults.exe, eventvwr.exe). Procure por estes sendo lançados por processos pais não padrão.
3. Rastrear Mudanças no Nível de Integridade do Processo: Monitore processos escalando de nível de integridade médio para alto sem eventos de consentimento de UAC correspondentes.
4. Procurar por Criação de Processos Elevados: Detecte quando processos de auto-elevação criam filhos inesperados (cmd.exe, powershell.exe) -- indicando exploração de bypass de UAC.
5. Monitorar Abuso de Elevação no Linux: Rastreie exploração de má configuração de sudo, abuso de binários setuid e manipulação de capacidades.
6. Correlacionar com Cadeia de Escalonamento de Privilégios: Mapeie o abuso de elevação para a cadeia de ataque mais ampla, identificando o que foi feito com os privilégios escalados.

Conceitos Chave

Consultas de Detecção

Splunk -- Bypass de UAC via Modificação de Registro

index=sysmon (EventCode=12 OR EventCode=13)
| where match(TargetObject, "(?i)HKCU\\\\Software\\\\Classes\\\\(ms-settings|mscfile|exefile|Folder)\\\\shell\\\\open\\\\command")
| table _time Computer User EventCode TargetObject Details Image

Splunk -- Abuso de Processo de Auto-Elevação

index=sysmon EventCode=1
| where match(Image, "(?i)(fodhelper|computerdefaults|eventvwr|sdclt|slui|cmstp)\.exe$")
| where NOT match(ParentImage, "(?i)(explorer|svchost|services)\.exe$")
| table _time Computer User Image CommandLine ParentImage ParentCommandLine

KQL -- Detecção de Bypass de UAC

DeviceRegistryEvents
| where Timestamp > ago(7d)
| where RegistryKey has_any ("ms-settings\\shell\\open\\command", "mscfile\\shell\\open\\command")
| where ActionType == "RegistryValueSet"
| project Timestamp, DeviceName, RegistryKey, RegistryValueData, InitiatingProcessFileName

Regra Sigma

title: UAC Bypass via Registry Modification
status: stable
logsource:
    product: windows
    category: registry_set
detection:
    selection:
        TargetObject|contains:
            - '\ms-settings\shell\open\command'
            - '\mscfile\shell\open\command'
            - '\exefile\shell\open\command'
    condition: selection
level: high
tags:
    - attack.privilege_escalation
    - attack.t1548.002

Cenários Comuns

1. Sequestro de Registro do fodhelper.exe: O atacante define HKCU\Software\Classes\ms-settings\shell\open\command para um executável malicioso, então lança o fodhelper.exe que se auto-eleva e executa o comando sequestrado.
2. Bypass MSC do eventvwr.exe: Modificando HKCU\Software\Classes\mscfile\shell\open\command para interceptar o comportamento de auto-elevação do Visualizador de Eventos.
3. Bypass do sdclt.exe: Alavancando a auto-elevação do utilitário de Backup do Windows para executar comandos arbitrários.
4. Bypass de INF do CMSTP.exe: Usando o Connection Manager Profile Installer com um arquivo INF malicioso para contornar o UAC via flags /s /ni.

…