UAC bypass teknikleri, Windows’un Kullanıcı Hesabı Denetimi (User Account Control) mekanizmasını devre dışı bırakmadan atlatmaya yönelik yöntemler bütünüdür. UAC, yönetici grubundaki bir kullanıcının programlarını normalde kısıtlı bir belirteçle çalıştırır ve yükseltilmiş yetki gerektiğinde ekrandaki onay istemiyle kullanıcıyı uyarır; bu teknikler ise o istemi hiç tetiklemeden yüksek yetkiye ulaşmayı amaçlar.

UAC bypass, Windows’un güvenilir kabul ettiği sistem ikili dosyalarını kötüye kullanarak, kullanıcıya hiçbir onay sorulmadan yönetici seviyesine geçme tekniğidir.

UAC Neyi Korur, Neyi Korumaz?

UAC’nin varsayılan ayarı, Microsoft’un imzaladığı ve güvenilir konumlarda bulunan belirli sistem programlarının onay istemeden otomatik olarak yükselmesine izin verir; bu programlara auto-elevate özelliği tanınır. İşte saldırının çıkış noktası budur. Microsoft, UAC’yi bir güvenlik sınırı olarak değil, bir kolaylık ve uyum özelliği olarak tanımlar; yani UAC bypass, resmi anlamda bir zafiyet değil, tasarımın öngörülebilir bir sonucu sayılır. Bu ayrım, neden bazı bypass yöntemlerinin yıllarca yamalanmadan kaldığını açıklar.

Yaygın Yöntemler

Çoğu teknik, otomatik yükselen bir sistem programının kayıt defterinden veya çevre değişkenlerinden okuduğu bir değeri saldırganın kontrolüne bırakmasına dayanır. Aşağıdaki kalıplar en sık görülenlerdir:

• Kayıt defteri kaçırma: fodhelper veya eventvwr gibi bir programın okuduğu HKCU anahtarına saldırganın komutu yazılır; program yükselirken bu komut da yüksek yetkiyle çalışır.
• DLL arama sırası kaçırma: yükselen bir programın yüklediği bir kütüphane, saldırganın yerleştirdiği sahte DLL ile değiştirilir.
• Güvenilir dizin taklidi: sistem güvenilir sayılan bir yola sahte bir kopya yerleştirilerek imza denetimi aşılır.
• COM arayüzü kötüye kullanımı: yükseltilmiş COM nesneleri, meşru arayüzler üzerinden yetkili işlem yapmaya zorlanır.

Tespit ve Savunma

En güçlü savunma, UAC’yi en yüksek bildirim seviyesine (Always Notify) çekmek ve mümkün olduğunda günlük işleri yönetici olmayan hesaplarla yürütmektir; çünkü UAC bypass tam bir yetki yükseltme adımıdır ve yalnızca kullanıcı zaten yönetici grubundaysa anlam taşır. İzleme tarafında, fodhelper gibi programların altında beklenmedik süreçlerin doğması net bir uyarı sinyalidir. Modern bir uç nokta güvenliği çözümü bu davranış kalıplarını tanıyacak şekilde ayarlanabilir.

Bu tekniklerin bir de savunmadan kaçınma boyutu vardır: saldırgan onay penceresini tetiklemeyerek hem kullanıcının dikkatini çekmez hem de bazı basit tespit kurallarının atladığı bir yolu izler. Bu nedenle davranış temelli izleme, imza temelli yaklaşımlardan daha etkilidir.

Kurumsal Etki

UAC bypass, bir zararlının makinedeki ilk dayanak noktasını kalıcı ve yüksek yetkili bir varlığa dönüştüren ara adımdır. Ortamınızın bu tekniklere karşı ne kadar dirençli olduğunu ölçmenin en gerçekçi yolu, saldırgan araçlarının aynısını kontrollü biçimde kullanan bir red team hizmeti ile savunmalarınızı sınamaktır.