Utilman Hack : Les droits Administrateurs de Windows sans mot de passe

On connaît tous les CD ou les clés USB bootables qui permettent d'entrer dans l'ordinateur sans le mot de passe Windows. Saviez-vous cependant que la méthode est assez simple sans même se procurer ce genre de supports bootable. Nous allons voir comment faire et les méthodes pour se protéger contre cette attaque.

La technique

La technique est en fait très simple. Il faut modifier l'exécutable Utilman.exe. On démarre cet exécutable normalement en cliquant sur l'icône en bas à gauche du login screen de Windows.

Ce bouton tentera de démarrer l'exécutable Utilman.exe même si celui-ci n'est pas le vrai fichier exe. Et pour modifier l'exécutable, il suffit d'avoir une mouture Linux et... C'est tout.

C'était possible sans Linux avant en se servant de la réparation de Windows. Depuis un patch a été installé pour empêcher n'importe qui de démarrer en mode réparation.

1. Il faut d'abord booter sur un Linux en modifiant la séquence de boot dans le bios.
2. Une fois que vous avez booté sur l'OS, il faut renommer Utilman.exe l'exécutable qui se situe dans C:\Windows\System32

   Ne supprimez pas se fichier ! Renommez-le simplement Utilman.exe.bak par exemple.

3. Ensuite, Trouvez l'exécutable cmd.exe dans ce même dossier et dupliquez-le et renommez-le en Utilman.exe.
4. Enfin, redémarrez Windows et cliquez sur l'icone en bas à gauche et vous devriez voir une console apparaitre avec les droits administrateurs...

Comment se protéger ?

La meilleure manière de se protéger de ce genre d'attaque est de mettre un mot de passe sur le bios et d'empêcher l'accès aux composants internes de l'ordinateur.

Pour la première protection, il suffit d'aller dans l'onglet sécurité (généralement) du bios et d'ajouter un mot de passe et d'enlever toutes les amorçages possibles (CD, USB, Network... Disquette ?) excepté celui sur l'OS.

Pour la deuxième protection, c'est plus compliqué. Il existe des cadenas ou anti-vols pour empêcher l'ouverture des ordinateurs de bureau. C'est parfois possible d'enfermer l'ordinateur dans un bureau (dans le meuble) ou dans un local.

Pour les ordinateurs portables, c'est encore plus compliqué puisque l'ordinateur est amené à sortir de l'entreprise.

Dans tous les cas il faut empêcher :

• la modification du bios ou sa réinitialisation et donc l'accès aux composants internes.
• l'extraction du disque dur