?ang010ela?嘶吼专业版?
Trickbot***是当前使用的最先进的恶意软件传播***。***者利用Trickbot***可以用不同的方法来传播不同种类的恶意代码。近期，研究人员分析发现TRICKBOT***使用了一种新的Windows 10 UAC绕过技术。
研究人员分析发现，Trickbot总是在不断寻找新的方法来将***传播到用户的机器。这也是为什么Trickbot是最先进的恶意软件传播工具，而且其传播的方法也在不断更新和迭代。
Morphisec Labs研究人员发现最新的TRICKBOT***使用一种权限的Windows 10 WSReset UAC绕过方法来绕过用户账户控制，并传播payload到用户机器。
TRICKBOT***和WINDOWS 10
Trickbot 的WSReset UAC 绕过进程首先检查系统是否运行在Windows 7或Windows 10系统上。如果运行在Windows 7系统上，就使用CMSTPLUA UAC绕过，只有当运行在Windows 10系统上时，Trickbot才使用WSReset UAC绕过。
图 ?1 操作系统版本检查
图 ?2 如果运行在Windows 10系统，就使用WSReset UAC绕过
WSReset UAC绕过是2019年3月发现的，允许Trickbot开发者利用WSReset.exe进程。根据mainfest文件，WSReset.exe进程是微软的一个签名的可执行文件，用来重置Windows存储设置。最重要的是其‘autoElevate’ 特征被设置为 “true”。这也是为什么WSReset UAC绕过可以被用于权限提升的原因。
图 ?3 WSReset manifest.
Trickbot 会解密其字符串来使用WSReset UAC绕过，比如注册表路径和要执行的命令。
图 ?4 Trickbot命令准备
然后，Trickbot会使用 “reg.exe” 来添加相关的key，这些key可以用来使用WSReset UAC绕过。
图? 5 使用reg.exe来添加相关key
图 ?6 WSReset执行前的注册表
绕过的最后一步是执行WSReset.exe，Trickbot可以用它在没有UAC弹窗的情况下以提权权限运行。Trickbot使用的是‘ShellExecuteExW’ API。最终的可执行文件允许Trickbot将payload传播到工作站和其他终端上。?
图 ?7 WSReset.exe执行
本文参考自：https://blog.morphisec测试数据/trickbot-uses-a-new-windows-10-uac-bypass
查看更多关于TRICKBOT使用新的win 10 UAC绕过的详细内容...