UAC bypass silentcleanup

schtasks /run /tn \Microsoft\Windows\DiskCleanup\SilentCleanup /I

Bypass de UAC abusando da tarefa agendada SilentCleanup: é executada elevada e herda o ambiente, onde a variável COMSPEC ou o registro da aplicação de limpeza foi sequestrado.

Quando fodhelper/eventvwr já estão assinados pelo EDR e você precisa de uma variante diferente. SilentCleanup é uma tarefa da Microsoft que se auto-eleva; ao modificar previamente o registro (HKCU Environment ou a chave da tarefa) você pode fazer com que execute seu payload com token elevado.

Se a tarefa SilentCleanup está desabilitada por GPO ou o EDR monitora modificações de variáveis de ambiente (HKCU\Environment). É uma técnica mais complexa de configurar: requer preparar o registro antes de lançar a tarefa.