Detecting T1548 Abuse Elevation Control Mechanism

检测 T1548 提升控制机制滥用

适用场景

• 狩猎 Windows 环境中通过 UAC 绕过进行权限提升时
• 威胁情报表明活跃威胁组织正在使用 UAC 绕过漏洞时
• 调查攻击者如何在不触发 UAC 提示的情况下获取管理员权限时
• 安全评估期间验证 UAC 绕过检测覆盖范围时
• 监控 Linux 系统上的 setuid/setgid 滥用时

前置条件

• 配置了命令行和父进程日志的 Sysmon 事件 ID 1
• 开启进程追踪的 Windows 安全事件 ID 4688
• 针对 UAC 相关注册表键的注册表审计（HKCU\Software\Classes）
• Sysmon 事件 ID 12/13（注册表键/值修改）
• 具备提升监控能力的 EDR

工作流程

1. 监控 UAC 注册表修改：许多 UAC 绕过会修改 HKCU\Software\Classes\ms-settings\shell\open\command 或 HKCU\Software\Classes\mscfile\shell\open\command 下的注册表键。追踪这些更改的 Sysmon 事件 12/13。
2. 检测自动提升进程滥用：某些 Windows 二进制文件会自动提升而不触发 UAC 提示（fodhelper.exe、computerdefaults.exe、eventvwr.exe）。狩猎由非标准父进程启动这些文件的情况。
3. 追踪进程完整性级别变更：监控进程在没有对应 UAC 同意事件的情况下从中级提升到高级完整性级别的情况。
4. 狩猎提升进程衍生：检测自动提升进程生成非预期子进程（cmd.exe、powershell.exe）的情况——这表明存在 UAC 绕过利用。
5. 监控 Linux 提升滥用：追踪 sudo 错误配置利用、SUID 二进制文件滥用和能力操纵。
6. 与权限提升链关联：将提升滥用映射到更广泛的攻击链，识别使用提升权限执行的操作。

核心概念

检测查询

Splunk——通过注册表修改进行 UAC 绕过

index=sysmon (EventCode=12 OR EventCode=13)
| where match(TargetObject, "(?i)HKCU\\\\Software\\\\Classes\\\\(ms-settings|mscfile|exefile|Folder)\\\\shell\\\\open\\\\command")
| table _time Computer User EventCode TargetObject Details Image

Splunk——自动提升进程滥用

index=sysmon EventCode=1
| where match(Image, "(?i)(fodhelper|computerdefaults|eventvwr|sdclt|slui|cmstp)\.exe$")
| where NOT match(ParentImage, "(?i)(explorer|svchost|services)\.exe$")
| table _time Computer User Image CommandLine ParentImage ParentCommandLine

KQL——UAC 绕过检测

DeviceRegistryEvents
| where Timestamp > ago(7d)
| where RegistryKey has_any ("ms-settings\\shell\\open\\command", "mscfile\\shell\\open\\command")
| where ActionType == "RegistryValueSet"
| project Timestamp, DeviceName, RegistryKey, RegistryValueData, InitiatingProcessFileName

Sigma 规则

title: UAC Bypass via Registry Modification
status: stable
logsource:
    product: windows
    category: registry_set
detection:
    selection:
        TargetObject|contains:
            - '\ms-settings\shell\open\command'
            - '\mscfile\shell\open\command'
            - '\exefile\shell\open\command'
    condition: selection
level: high
tags:
    - attack.privilege_escalation
    - attack.t1548.002

常见场景

1. fodhelper.exe 注册表劫持：攻击者将 HKCU\Software\Classes\ms-settings\shell\open\command 设置为恶意可执行文件，然后启动 fodhelper.exe，后者自动提升并执行被劫持的命令。
2. eventvwr.exe MSC 绕过：修改 HKCU\Software\Classes\mscfile\shell\open\command 以拦截事件查看器的自动提升行为。
3. sdclt.exe 绕过：利用 Windows 备份工具的自动提升执行任意命令。
4. CMSTP.exe INF 绕过：使用带有恶意 INF 文件的连接管理器配置文件安装程序，通过 /s /ni 标志绕过 UAC。
5. 自动提升中的 DLL 劫持：将恶意 DLL 放置在自动提升可执行文件的搜索路径中。

输出格式

Hunt ID: TH-UAC-[DATE]-[SEQ]
Host: [主机名]
Bypass Method: [注册表劫持/DLL 劫持/令牌操纵]
Auto-Elevate Binary: [fodhelper.exe/eventvwr.exe 等]
Registry Key Modified: [完整注册表路径]
Payload Executed: [命令或二进制路径]
User Context: [账户]
Risk Level: [Critical/High/Medium]
ATT&CK Technique: [T1548.00x]