detecting-t1548-abuse-elevation-control-mechanism

检测 T1548 滥用提权控制机制

何时使用

• 在 Windows 环境中通过 UAC 绕过狩猎提权时
• 当威胁情报显示活跃威胁组织使用 UAC 绕过漏洞利用时
• 调查攻击者如何在未触发 UAC 提示的情况下获得管理访问权限时
• 在安全评估期间验证 UAC 绕过检测覆盖范围时
• 监控 Linux 系统上的 setuid/setgid 滥用时

前提条件

• 启用命令行和父进程日志记录的 Sysmon 事件 ID 1
• 启用进程跟踪的 Windows 安全事件 ID 4688
• 针对 UAC 相关注册表项（HKCU\Software\Classes）的注册表审计
• Sysmon 事件 ID 12/13（注册表项/值修改）
• 具备提权监控能力的 EDR

工作流

1. 监控 UAC 注册表修改：许多 UAC 绕过会修改 HKCU\Software\Classes\ms-settings\shell\open\command 或 HKCU\Software\Classes\mscfile\shell\open\command 下的注册表项。通过 Sysmon 事件 12/13 跟踪这些更改。
2. 检测自动提权进程滥用：某些 Windows 二进制文件会在无 UAC 提示的情况下自动提权（fodhelper.exe、computerdefaults.exe、eventvwr.exe）。狩猎这些进程是否由非标准父进程启动。
3. 跟踪进程完整性级别变化：监控进程是否在无对应 UAC 同意事件的情况下从中等完整性级别提升到高完整性级别。
4. 狩猎提权进程派生：检测自动提权进程是否派生了意外的子进程（cmd.exe、powershell.exe）——表明 UAC 绕过被利用。
5. 监控 Linux 提权滥用：跟踪 sudo 配置错误利用、setuid 二进制滥用和 capability 操纵。
6. 与提权链关联：将提权滥用映射到更广泛的攻击链，识别利用提权后执行了哪些操作。

关键概念

概念	描述
T1548.002	绕过用户账户控制
T1548.001	Setuid 和 Setgid（Linux）
T1548.003	Sudo 和 Sudo 缓存
T1548.004	带提示的提权执行（macOS）
UAC 自动提权	无需提示即可提权的 Windows 二进制文件
fodhelper.exe	通过注册表劫持的常见 UAC 绕过载体
eventvwr.exe	MSC 文件处理程序 UAC 绕过
完整性级别	Windows 进程信任级别（Low/Medium/High/System）

检测查询

Splunk —— 通过注册表修改的 UAC 绕过

index=sysmon (EventCode=12 OR EventCode=13)
| where match(TargetObject, "(?i)HKCU\\\\Software\\\\Classes\\\\(ms-settings|mscfile|exefile|Folder)\\\\shell\\\\open\\\\command")
| table _time Computer User EventCode TargetObject Details Image

Splunk —— 自动提权进程滥用

index=sysmon EventCode=1
| where match(Image, "(?i)(fodhelper|computerdefaults|eventvwr|sdclt|slui|cmstp)\.exe$")
| where NOT match(ParentImage, "(?i)(explorer|svchost|services)\.exe$")
| table _time Computer User Image CommandLine ParentImage ParentCommandLine

KQL —— UAC 绕过检测

DeviceRegistryEvents
| where Timestamp > ago(7d)
| where RegistryKey has_any ("ms-settings\\shell\\open\\command", "mscfile\\shell\\open\\command")
| where ActionType == "RegistryValueSet"
| project Timestamp, DeviceName, RegistryKey, RegistryValueData, InitiatingProcessFileName

Sigma 规则

title: UAC Bypass via Registry Modification
status: stable
logsource:
    product: windows
    category: registry_set
detection:
    selection:
        TargetObject|contains:
            - '\ms-settings\shell\open\command'
            - '\mscfile\shell\open\command'
            - '\exefile\shell\open\command'
    condition: selection
level: high
tags:
    - attack.privilege_escalation
    - attack.t1548.002

常见场景

1. fodhelper.exe 注册表劫持：攻击者将 HKCU\Software\Classes\ms-settings\shell\open\command 设置为恶意可执行文件，然后启动 fodhelper.exe，后者会自动提权并执行被劫持的命令。
2. eventvwr.exe MSC 绕过：修改 HKCU\Software\Classes\mscfile\shell\open\command 以拦截事件查看器的自动提权行为。
3. sdclt.exe 绕过：利用 Windows 备份实用程序的自动提权执行任意命令。
4. CMSTP.exe INF 绕过：使用连接管理器配置文件安装程序配合恶意 INF 文件，通过 /s /ni 标志绕过 UAC。
5. 自动提权中的 DLL 劫持：将恶意 DLL 放置在自动提权可执行文件的搜索路径中。

输出格式

Hunt ID: TH-UAC-[DATE]-[SEQ]
Host: [Hostname]
Bypass Method: [Registry hijack/DLL hijack/Token manipulation]
Auto-Elevate Binary: [fodhelper.exe/eventvwr.exe/etc.]
Registry Key Modified: [Full registry path]
Payload Executed: [Command or binary path]
User Context: [Account]
Risk Level: [Critical/High/Medium]
ATT&CK Technique: [T1548.00x]