Microsoft Windows OS における eventvwr.exe を用いて UAC による制限を回避する手法（Scan Tech Report）

◆概要
Microsoft 社の OS である Windows に、イベントビューアー (eventvwr.exe) の仕組みを利用して、ユーザアカウント制御 (UAC) の機構を回避可能となる手法が公開されています。Windows 端末に攻撃者が侵入した場合やマルウェアが感染した場合に、当該手法を用いて端末の全権を掌握されてしまう可能性が考えられます。アカウントのグループ管理や UAC による制御を強化することにより対策することを推奨します。
----------------------------------------------------------------------
◆分析者コメント
Windows 10 では、インストール後の初期設定は 4 段階の UAC レベルの内、上から 2 番目に設定されており当該手法の影響を受けるため、影響範囲が広い攻撃手法であると考えられます。マルウェアに感染してしまった場合は、積極的に悪用される手法であると考えられるため、当該手法への対策を講じることを推奨します。
----------------------------------------------------------------------
◆影響を受けるソフトウェア
Windows 7 よりも新しい Windows OS が影響を受けます。Windows 7 未満の Windows OS には UAC の機能が実装されていないため、当該手法の影響を受けません。
----------------------------------------------------------------------
◆解説
Windows 7 よりも新しい Microsoft Windows OS にて、eventvwr.exe の処理により、管理者権限により任意のコードが実行可能となる手法が報告されています。攻撃者は侵入した端末で、一般権限で書き込み可能なレジストリキーの値を操作し、eventvwr.exe の起動時に読み込ませることにより、管理者権限で任意のコードを実行させることが可能となります。