13/12/24
Эта техника позволяет обходить системы обнаружения угроз, такие как EDR.
UIA, изначально внедрённый ещё в Windows XP в составе .NET Framework, разработан для помощи пользователям с ограниченными возможностями и автоматизированного тестирования. Однако его возможности предоставляют злоумышленникам доступ к данным, перенаправление поисков на фишинговые сайты и выполнение скрытых команд, пишут в Securitylab.
По данным исследователей, чтобы использовать эту технику, жертву нужно лишь убедить запустить специальную программу, использующую UI Automation. Это позволяет злоумышленникам взаимодействовать с элементами интерфейса других приложений, перехватывать сообщения из мессенджеров и даже отправлять их без отображения на экране.
Особенность UI Automation в том, что данный фреймворк взаимодействует с элементами интерфейса через механизм IPC Component Object Model (COM). Это даёт возможность манипулировать интерфейсом приложений в фокусе. При этом разрешения и привилегии, предоставляемые UIA, считаются штатными функциями системы.
Специалисты также отметили, что благодаря заранее загруженным элементам интерфейса в кэш злоумышленники могут перехватывать невидимые на экране сообщения и даже отправлять текст без отображения изменений в интерфейсе. Эти возможности делают технику особенно опасной для корпоративных приложений, таких как Slack и WhatsApp.
Каждый из описанных сценариев, по сути, является обычной функциональностью UI Automation, отмечают исследователи. Microsoft подчёркивает, что приложения, использующие UIA, должны обладать специальными привилегиями. Однако хакеры с лёгкостью обходят эти ограничения в своих атаках, используя фреймворк во вред.
Эта техника напоминает схему атак с использованием API служб специальных возможностей Android, которые часто применяются для кражи данных на заражённых устройствах. Основная проблема заключается в том, что в случае с Windows системы защиты распознают действия UIA как штатные функции, а не как угрозу.
