Menu dostępności

Ciekawy sposób na obejście blokady AppLocker na Windows 10

W tym krótkim artykule zaprezentujemy ciekawy sposób na obejście blokad systemu Windows, przed uruchamianiem niedozwolonych komend przez użytkownika.

W kontrolowanym środowisku Windows, gdzie zaimplementowana jest funkcjonalność AppLocker dział IT może zabronić użytkownikom uruchamiania określonych plików i komend np. Powershell.exe, certutil.exe i innych, za pomocą których mogliby oni lub złośliwi aktorzy uruchamiać złośliwy kod.
Znaleźliśmy sposób jak takie obejście mogłoby wyglądać. Poniżej przykład.


Scenariusz obejścia blokady AppLocker

W naszym scenariuszu wykorzystamy plik WordPada (rtf), w którym osadzimy aplikację systemową ftp.exe. Następnie z tej aplikacji postaramy się uruchomić polecenie „powershell.exe”


Krok 1 – tworzymy dokument RTF i osadzamy w nim zewnętrzny plik

Krok 2 – jako zewnętrzny plik wybieramy „ftp.exe”

Krok 3 – Klikamy dwukrotnie na obiekt „ftp.exe”

Krok 4 – wpisujemy komendę „!powershell”

W ten sposób możemy uruchamiać dowolne polecenie z systemu Windows.

Wynik od strony procesów wygląda następująco (prawe okno ProcessHacker’a).

Popularne

Masowy wyciek danych PayPal – 15,8 miliona haseł w rękach cyberprzestępców

Masowy wyciek danych PayPal – 15,8 miliona haseł w rękach cyberprzestępców

16 sierpnia br. na forum cyberprzestępczym pojawiła się oferta sprzedaży ogromnej bazy danych, zawierającej ponad 15,8 miliona par adresów e-mail i haseł w formacie jawnego tekstu powiązanych z konta...
Groźna dziura w Microsoft IIS. Deserializacja usług może prowadzić do zdalnego wykonania kodu

Groźna dziura w Microsoft IIS. Deserializacja usług może prowadzić do zdalnego wykonania kodu

W połowie sierpnia 2025 roku ujawniono poważną lukę bezpieczeństwa w narzędziu Microsoft Web Deploy 4.0, używanym do publikacji aplikacji webowych na serwerach IIS. Luka – oznaczona jako CVE-2025-53772 – pozwal...
Wyciek kodu źródłowego trojana bankowego ERMAC V3.0

Wyciek kodu źródłowego trojana bankowego ERMAC V3.0

Świat cyberbezpieczeństwa odnotował kolejne znaczące wydarzenie – ujawniono pełny kod źródłowy zaawansowanego trojana bankowego ERMAC V3.0, stworzonego z myślą o urządzeniach z systemem Android i działające...
Co sprawia, że Deep Web jest cennym źródłem threat intelligence?

Co sprawia, że Deep Web jest cennym źródłem threat intelligence?

Deep Web, czyli warstwa Internetu niedostępna dla standardowych wyszukiwarek, często bywa pomijana w analizach bezpieczeństwa, mimo że stanowi niezwykle wartościowe źródło informacji o zagrożeniach. Jej tre...
Miliony laptopów Dell narażone na kompromitację

Miliony laptopów Dell narażone na kompromitację

Niedawno pisaliśmy o kłopotach Lenovo, dzisiaj czas na Dell. Okazuje się, że pięć luk w oprogramowaniu ControlVault3 i powiązanych interfejsach API systemu Windows naraża miliony laptopów na trwałe w...