Adminrechte per Mausklick: gefährliche Lücke in Windows

Ormandys Exploit besteht aus der ausführbaren Datei vdmallowed.exe und der Library vdmexploit.dll, die mittels DLL-Injection eingeschleust wird. Ein Benutzer muss nur diese beiden Dateien in ein beliebiges Verzeichnis kopieren und auf die vdmallowed.exe doppelklicken. Dann erhält er eine Kommandozeile unter dem Sicherheitskontext NT-AUTORITÄTSYSTEM, siehe Bild 1.

Der System-Account ist das höchste Benutzerkonto auf einem Windows-Rechner. Es hat wesentlich mehr Rechte als das Administrator-Konto.

Microsoft beschränkt diese allerdings auf den lokalen Rechner. Versucht man mit dem System-Account auf einen anderen Rechner zuzugreifen, schlägt das automatisch fehl. Das heißt, die unmittelbare Gefahr liegt darin, dass Benutzer sich auf ihrem Arbeitsplatzrechner Administratorrechte verschaffen können, auch wenn das vom Administrator nicht gewünscht ist.

Allerdings ist es in Domänen-Netzen normalerweise möglich, sich auf jedem Arbeitsplatzrechner anzumelden, beispielsweise auf dem Rechner eines Kollegen, der Urlaub hat oder in der Mittagspause ist. Administratoren, die sicherstellen wollen, dass ein Einloggen auf einem Rechner nur dem Konto des Besitzers erfolgen kann, müssen das für jeden Rechner einzeln konfigurieren. Da das einen hohen Verwaltungsaufwand erfordert, verzichten die meisten darauf.

Grundsätzlich ist es kein Sicherheitsproblem, wenn sich auch andere normale Benutzer an einem Rechner anmelden können. Ein Zugriff auf die Dateien im Benutzerverzeichnis des Besitzers ist damit nicht möglich.

Wer jedoch anschließend vdmallowed.exe von einem USB-Stick anklickt, hat über den System-Account normalerweise Vollzugriff auf alle Dateien der lokalen Festplatte. Wenn das nicht der Fall ist, lassen sich die Zugriffsberechtigungen mit dem System-Account nach Belieben ändern.