Microsoft Windows OS における fodhelper.exe を用いて UAC による制限を回避する手法（Scan Tech Report）

◆概要

Microsoft 社の OS である Windows にユーザアカウント制御 (UAC) の機構を回避可能となる手法が公開されています。Windows 端末に攻撃者が侵入した場合やマルウェアが感染した場合に、当該手法を用いて端末の全権を掌握されてしまう可能性が考えられます。アカウントのグループ管理や UAC による制御を強化することにより対策することを推奨します。

◆分析者コメント

Windows 10 以後の Windows OS のみが影響を受ける手法ですが、近年公開されている手法と同様に、dll 等のファイルの作成を必要としない手法であるため、攻撃者に悪用される可能性が高い手法であると考えられます。日頃からAdministrators グループに所属していないユーザアカウントで端末を操作していれば、UAC 回避の手法は一通り対策できますが、一般的な端末の運用を考慮すると難しい場合が多いと考えられます。UAC のレベルを、最高レベルである「常に通知する」に設定することで、意図していない管理者権限の行使に気が付ける運用をすることを推奨します。

◆影響を受けるソフトウェア

fodhelper.exe が導入された Windows OS は 10 以後であるため、Windows 10以後にリリースされた Windows OS が、当該手法の影響を受けると考えられます。

◆解説

Windows 10 から導入された、オプション機能の設定に用いる fodhelper.exe の設計の問題で、ユーザアカウント制御 (UAC) が回避可能となる手法が公開されています。