Tenzij gebruikers de melding goed inspecteren, is User Access Control in Windows geen garantie dat malware niet met administrator-rechten wordt uitgevoerd. Onderzoekers hebben malware gemaakt die gebruikers om de tuin kan leiden.

UAC moet op Windows-systemen voorkomen dat malware die op een systeem aanwezig is administrator-toegang krijgt, doordat gebruikers toestemming moeten geven voordat programma's op dat niveau draaien. UAC is echter niet waterdicht, tenzij gebruikers UAC-vensters uitvoerig inspecteren, waarschuwen onderzoekers van beveiligingsbedrijf Cylance.

De onderzoekers ontwikkelden een proof of concept van malware die gebruikers om de tuin zou kunnen leiden. De malware wacht totdat een gebruiker een proces opstart dat beheerderstoegang nodig heeft, en gebruikt datzelfde proces vervolgens om bewerkingen op een systeem uit te voeren. De aanval moet wel zijn toegesneden op het proces dat de gebruiker opstart. De onderzoekers hebben voor twee Windows-processen voorbeelden gemaakt - de command-line-tool en het programma waarmee het register kan worden bewerkt - maar stellen dat ook andere processen kunnen worden misbruikt.

In het geval van de command-line-tool wacht de malware tot de gebruiker zelf de command-line met beheerderstoegang opstart, om vervolgens de gebruiker voor te zijn en zelf om toestemming voor een dergelijk proces te vragen. Daarbij voert de malware via de command-line eigen code uit. Vervolgens wordt een nieuw venster van de command-line-tool geopend, zodat de gebruiker niets merkt.

De aanval via de register-bewerker is iets ingewikkelder: daarbij wordt stilletjes een extern .reg-bestand ingeladen, waarmee eigen registerbewerkingen kunnen worden uitgevoerd. Vervolgens opent de malware een nieuw register-venster, zodat de gebruiker alsnog het venster krijgt dat hij verwacht. Hij krijgt dan wel twee keer een uac-venster.

De onderzoekers van Cylance merken op dat het niet gaat om een bug in UAC, maar om een manier om misbruik te maken van de manier waarop UAC werkt. Gebruikers kunnen zich weren door de UAC-meldingen goed te inspecteren en op 'meer informatie' te klikken, maar ze moeten dan wel over de technische kennis beschikken om die informatie op waarde te kunnen schatten.

De NSA bereidt zich voor op het verlopen van de Patriot Act, volgende week maandag. Tenzij die wet op het laatste moment wordt verlengd, moet de geheime dienst stoppen met het verzamelen van telefoongegevens van Amerikanen.

De Patriot Act moet elk jaar door het Amerikaanse parlement worden verlengd, en hoewel dat jarenlang slechts een formaliteit was, is het maar de vraag of dat dit jaar gaat gebeuren. In de volksvertegenwoordiging is veel weerstand tegen de bevoegdheid van de NSA om metadata van het telefoongebruik van alle Amerikanen op te slaan en te doorzoeken. Overigens worden niet de metadata van alle Amerikanen opgeslagen, omdat niet van alle providers data worden verzameld; het gaat om ongeveer een derde van alle Amerikanen.

Afgelopen weekend stemde de Senaat tegen een verlenging van het programma. Volgende week zondag komt de Senaat opnieuw bij elkaar om op het laatste moment nogmaals te overleggen, maar het is onwaarschijnlijk dat de wet dan wel wordt verlengd.

De NSA is daarom bezig met de voorbereidingen om het omstreden programma uit te schakelen, schrijft de Los Angeles Times. Ook bevoegdheden van de FBI in de 'strijd tegen terrorisme', zoals de bevoegdheid om in één keer voor meerdere telefoonlijnen een aftapbevel op te vragen, zullen verlopen als de wet niet wordt verlengd.

Afgelopen weekend stemde de Amerikaanse Senaat tegen een wet die het metadata-programma van de NSA aan banden zou hebben gelegd. In dat voorstel zouden telecomproviders zelf metadata over telefoongebruik moeten verzamelen, waarop de NSA die data zou kunnen opvragen. Die situatie is vergelijkbaar met de Europese bewaarplicht, die door de rechter van tafel is geveegd.