利用fodhelper.exe实现无文件Bypass UAC

本文讲的是 利用fodhelper.exe实现无文件Bypass UAC， 恶意软件作者拥有一个新的Bypass UAC技术，可用于在运行Windows 10的设备上安装恶意应用程序。发现这种新的Bypass UAC方法是德国学生，以Christian B.的名义发布。他提出的Bypass UAC技术类似安全研究员Matt Nelson于 2016年8月 发现的方法。

当Nelson的方法使用内置的事件查看器实用程序（eventvwr.exe）时，Christian的UAC旁路使用fodhelper.exe文件，位于:C:\\Windows\System32\fodhelper.exe

Fodhelper.exe在Windows 10中引入，它位于“C:\\Windows\System32\fodhelper.exe”，如果这个文件名不熟悉，这是在“应用程序和功能”Windows设置屏幕中按“管理可选功能”选项时出现的窗口。

ventvwr.exe和fodhelper.exe都是一个值得信赖的二进制文件，(使用Microsoft证书签名的文件）并位于受信任的位置（如“ C：\\ Windows \ System32 “）。您可以使用名为“sigcheck”的工具检查文件的签名，该工具是Sysinternal套件的一部分。