Техника основана на принципе автоматического повышения привилегий, действующего для различных доверенных файлов. В поисках новых методов обхода UAC Нельсон решил проверить, возможно ли использовать автоэлевацию для загрузки файлов, помимо тех, что одобрены Microsoft.
В ходе исследования Нельсон нашел лазейку в виде исполняемого файла sdclt.exe (утилита Backup And Restore, впервые представленная в Windows 7). По его словам, при запуске утилиты sdclt.exe использует control.exe (Панель управления) для загрузки контрольной панели Backup And Restore. Однако перед загрузкой control.exe процесс sdclt.exe отправляет запрос в локальный реестр Windows на указание пути к control.exe, который обычно выглядит вот так: HKCU:SoftwareMicrosoftWindowsCurrentVersionApp Pathscontrol.exe.
Как отметил исследователь, это представляет проблему, поскольку пользователи с низкими привилегиями могут модифицировать ключи реестра, в том числе для control.exe. Таким образом, злоумышленник может изменить данный ключ реестра и использовать sdclt.exe для запуска вредоносного кода. При этом Windows не выдаст никаких предупреждений.
Вышеописанный метод работает только на компьютерах под управлением Windows 10 и не затрагивает более ранние версии операционной системы, утверждает Нельсон. Исследователь опубликовал PoC-код атаки на GitHub.