Contournement UAC (UAC bypass)

Définition

Le contournement UAC, ou UAC bypass, désigne une famille de techniques permettant à un processus s'exécutant avec des privilèges utilisateur standard sur Windows d'obtenir des privilèges administrateur sans déclencher l'invite de consentement du contrôle de compte utilisateur normalement affichée à l'écran, un mécanisme conçu pour demander une confirmation explicite avant toute élévation de privilège. Ces techniques exploitent typiquement des exécutables système signés numériquement par Microsoft et bénéficiant d'une élévation automatique de confiance, en détournant leur comportement par manipulation du registre ou par une opération de détournement d'ordre de recherche DLL, de sorte que du code arbitraire s'exécute dans le contexte privilégié de ce binaire de confiance sans jamais afficher l'invite visible destinée à alerter l'utilisateur. De nombreuses variantes ont été documentées au fil des années, chacune ciblant un binaire ou un mécanisme spécifique. Le contournement UAC ne constitue pas à proprement parler une élévation de privilèges au sens strict, l'utilisateur disposant déjà techniquement des droits administrateur, mais un contournement du mécanisme de confirmation censé limiter l'exécution silencieuse de code privilégié. Pour les équipes défensives, la détection repose sur la surveillance des créations de processus enfants inhabituels depuis les binaires système connus pour être ciblés par ces techniques, associée au niveau UAC le plus strict disponible et à l'usage d'un compte non administrateur au quotidien.