home.social

#applocker — Public Fediverse posts

Live and recent posts from across the Fediverse tagged #applocker, aggregated by home.social.

  1. Who Let The Dogs Out 🐾 @[email protected] ·

    #red_team #whitelist #applocker

    ИБ-исследователь Оддвар Мо обнаружил (oddvar.moe/2025/07/03/applocke) в ноутбуках фирмы Lenovo архив C:\Windows\MFGSTAT.zip, который можно распаковать и запустить с обходом AppLocker. При этом не контролируется ZIP, только .exe, .dll и т.п., а также разрешается запуск файлов из системной папки C:\Windows. Дыра в реализации whitelisting-контроля.

    Записать данные в MFGSTAT.zip может любой авторизованный пользователь и даже без прав админа. Достаточно взять вредоносную нагрузку, встроить её в поток данных у ZIP-файла, а после запустить с использованием AppVLP.exe — легитимного LOLBin, который не блокируется AppLocker.

    Lenovo написала целое руководство по устранению этой проблемы. "Решение" - снести MFGSTAT.zip.
    Но лучше бы поработать с политиками AppLocker и тщательнее настроить whitelisting.

    #red_team #whitelist #applocker
  2. Who Let The Dogs Out 🐾 @[email protected] ·

    #blue_team #CRD #whitelist #applocker

    Просто и незамысловато, но на стороне атакуемого настроен через AppLocker запрет на установку MSI не перечисленных в "белом списке".

    Настройка максимально простая:

    - `gpedit.msc` — `Application Control Policies` — `AppLocker` — `Windows Installer Rules`.
    - Создайте правило «Разрешить» для MSI в доверенных папках и путях ("белый список").
    - Создайте правило «Запретить» для всех остальных MSI.
    - Включите сервис `Application Identity` (через `services.msc`), чтобы `AppLocker` начал работать.
    - Проверьте, что `MSI` из запрещённых мест не запускается.

    #blue_team #crd #whitelist #applocker