本文讲的是
利用fodhelper.exe实现无文件Bypass UAC,
恶意软件作者拥有一个新的Bypass UAC技术,可用于在运行Windows 10的设备上安装恶意应用程序。发现这种新的Bypass UAC方法是德国学生,以Christian B.的名义发布。他提出的Bypass UAC技术类似安全研究员Matt Nelson于
2016年8月
发现的方法。
当Nelson的方法使用内置的事件查看器实用程序(eventvwr.exe)时,Christian的UAC旁路使用fodhelper.exe文件,位于:C:\\Windows\System32\fodhelper.exe
Fodhelper.exe在Windows 10中引入,它位于“C:\\Windows\System32\fodhelper.exe”,如果这个文件名不熟悉,这是在“应用程序和功能”Windows设置屏幕中按“管理可选功能”选项时出现的窗口。
ventvwr.exe和fodhelper.exe都是一个值得信赖的二进制文件,(使用Microsoft证书签名的文件)并位于受信任的位置(如“ C:\\ Windows \ System32 “)。您可以使用名为“sigcheck”的工具检查文件的签名,该工具是Sysinternal套件的一部分。