Ultimate WDAC バイパスリスト

これまでに文書化された WDAC/Device Guard/UMCI バイパス手法の集約リソースであり、また WDAC ポリシーの構築・管理・テストにも役立つ

• 注: WDAC (Windows Defender Application Control) は Microsoft により「Application Control」または「Application Control for Business」に改名されました

*多くの LOLBIN は、以前は「Microsoft Recommended Block Rules List」と呼ばれていた Applications that can bypass WDAC List に含まれています

• Pro Tip: Block Rules ポリシーを適用する場合、最初の 2 つのファイルルール ID_ALLOW_A_1 と ID_ALLOW_A_2 を削除するのを忘れないでください

*このリポジトリは Oddvar Moe 氏の Ultimate AppLocker Bypass List に触発されて作成されました

*いつも通り、これは進行中の作業です...

---

WDAC をバイパスできるアプリケーション - 「LOLBIN」解説記事

addinprocess.exe

• 著者: James Forshaw (@tiraniddo)
• DG on Windows 10 S: Executing Arbitrary Code
  • https://www.tiraniddo.dev/2017/07/dg-on-windows-10-s-executing-arbitrary.html

addinprocess32.exe

• 著者: James Forshaw (@tiraniddo)
• DG on Windows 10 S: Executing Arbitrary Code
  • https://www.tiraniddo.dev/2017/07/dg-on-windows-10-s-executing-arbitrary.html

addinutil.exe

• 著者不明 (@McKinleyMike と @TheLatteri により文書化)
• Insecure Deserialization in AddinUtil.exe
  • https://www.blue-prints.blog/content/blog/posts/lolbin/addinutil-lolbas.html

aspnet_compiler.exe

• 著者: cpl (@cpl3h)
• The Curious Case of Aspnet_Compiler.exe
  • https://ijustwannared.team/2020/08/01/the-curious-case-of-aspnet_compiler-exe/

bginfo.exe

• 著者: Oddvar Moe (@Oddvarmoe)
• Bypassing Application Whitelisting with BGInfo
  • https://msitpros.com/?p=3831

cdb.exe

• 著者: Matt Graeber (@mattifestation)
• Bypassing Application Whitelisting by using WinDbg/CDB as a Shellcode Runner
  • http://www.exploit-monday.com/2016/08/windbg-cdb-shellcode-runner.html

csi.exe

• 著者: Casey Smith (@subTee)
• Application Whitelisting Bypass - CSI.EXE C# Scripting
  • https://web.archive.org/web/20161008143428/http://subt0x10.blogspot.com/2016/09/application-whitelisting-bypass-csiexe.html

dbghost.exe

• 著者: Casey Smith (@subTee)
• dbghost.exe - Ghost And The Darkness
  • https://web.archive.org/web/20170926164017/http://subt0x10.blogspot.com/2017/09/dbghostexe-ghost-in-darkness.html

dbgsrv.exe

• 著者: Casey Smith (@subTee)、Ross Wolf (@rw_access)
• How to Bypass WDAC with dbgsrv.exe
  • https://fortynorthsecurity.com/blog/how-to-bypass-wdac-with-dbgsrv-exe/
• Fantastic Red-Team Attacks and How to Find Them
  • https://i.blackhat.com/USA-19/Thursday/us-19-Smith-Fantastic-Red-Team-Attacks-And-How-To-Find-Them.pdf

dnx.exe

• 著者: Matt Nelson (@enigma0x3)
• BYPASSING APPLICATION WHITELISTING BY USING DNX.EXE
  • https://enigma0x3.net/2016/11/17/bypassing-application-whitelisting-by-using-dnx-exe/

dotnet.exe

• 著者: Jimmy Bayne (@bohops)
• DotNet Core: A Vector For AWL Bypass & Defense Evasion
  • https://bohops.com/2019/08/19/dotnet-core-a-vector-for-awl-bypass-defense-evasion/

fsi.exe

• 著者: Nick Tyrer (@NickTyrer) [解説: Jimmy Bayne (@bohops)]
• GitHub Gist: fsi.exe inline execution
  • https://gist.github.com/NickTyrer/51eb8c774a909634fa69b4d06fc79ae1
  • https://twitter.com/NickTyrer/status/904273264385589248
• Exploring the WDAC Microsoft Recommended Block Rules (Part II): Wfc.exe, Fsi.exe, and FsiAnyCpu.exe
  • https://bohops.com/2020/11/02/exploring-the-wdac-microsoft-recommended-block-rules-part-ii-wfc-fsi/

fsiAnyCpu.exe

• Nick Tyrer (@NickTyrer) による、fsi.exe のインライン実行経由 [解説: Jimmy Bayne (@bohops)]
• GitHub Gist: fsi.exe のインライン実行
  • https://gist.github.com/NickTyrer/51eb8c774a909634fa69b4d06fc79ae1
  • https://twitter.com/bohops/status/1319096336441090050
• WDAC の Microsoft 推奨ブロックルールを探る (パート II): Wfc.exe、Fsi.exe、FsiAnyCpu.exe
  • https://bohops.com/2020/11/02/exploring-the-wdac-microsoft-recommended-block-rules-part-ii-wfc-fsi/

infdefaultinstall.exe

• Kyle Hanslovan (@KyleHanslovan)、Chris Bisnett (@chrisbisnett) による
• Evading Autoruns - DerbyCon 7.0
  • https://github.com/huntresslabs/evading-autoruns
• RE: Windows 10 における Evading Autoruns PoC について
  • https://medium.com/@KyleHanslovan/re-evading-autoruns-pocs-on-windows-10-dd810d7e8a3f

InstallUtil.exe

• James Forshaw (@tiraniddo) による
• Windows 10 S における DG: InstallUtil の悪用
  • https://www.tiraniddo.dev/2017/08/dg-on-windows-10-s-abusing-installutil.html

IntuneWindowsAgent.exe (Microsoft.Management.Services.IntuneWindowsAgent.exe)

• Kim Oppalfens (@TheWMIGuy) による
• Intune Windows Agent バイパスの解説
  • https://github.com/bohops/UltimateWDACBypassList/issues/1

kill.exe

• @hyp3rlinx による
• Microsoft プロセス終了ユーティリティ "kill.exe" - SEH バッファオーバーフロー
  • http://hyp3rlinx.altervista.org/advisories/MS-KILL-UTILITY-BUFFER-OVERFLOW.txt
  • https://twitter.com/bohops/status/1324563760967753730

microsoft.Workflow.Compiler.exe

• Matt Graeber (@mattifestation) による
• Microsoft.Workflow.Compiler.exe における任意の未署名コード実行ベクター
  • https://posts.specterops.io/arbitrary-unsigned-code-execution-vector-in-microsoft-workflow-compiler-exe-3d9294bc5efb

msbuild.exe

• Casey Smith (@subTee) による
• MSBuild.exe を使用したアプリケーション許可リストのバイパス - Device Guard の例と緩和策
  • https://web.archive.org/web/20160920161634/http://subt0x10.blogspot.com/2016/09/bypassing-application-whitelisting.html

mshta.exe

• 不明 (@conscioushacker による文書化)
• アプリケーション許可リストのバイパス: mshta.exe
  • https://web.archive.org/web/20171118145940/http://blog.conscioushacker.io/index.php/2017/11/17/application-whitelisting-bypass-mshta-exe/

powershellcustomhost.exe

• Lasse Trolle Borup (@TrolleBorup) による
• シンプルな Device Guard バイパス
  • https://danishcyberdefence.dk/blog/device-guard-powershellcustomhost

rcsi.exe

• 著者: Matt Nelson (@enigma0x3)
• RCSI.EXE を使用したアプリケーション ホワイトリストのバイパス
  • https://enigma0x3.net/2016/11/21/bypassing-application-whitelisting-by-using-rcsi-exe/

runscripthelper.exe

• Matt Graeber (@mattifestation) による
• runscripthelper.exe を使用したアプリケーション許可リストのバイパス
  • https://posts.specterops.io/bypassing-application-whitelisting-with-runscripthelper-exe-1906923658fc

texttransform.exe

• 不明
• TextTransformer - ツールのユースケース [Casey Smith (@_subTee) による文書化]
  • https://github.com/secdev02/TextTransformer
• TextTransform シェルコードインジェクションテンプレート [Chris Sphen (@ConsciousHacker) による文書化]
  • https://gist.github.com/ConsciousHacker/40dfd14b9ecefec49803c509712346a9
• プレースホルダー参照 (近日公開)

visualuiaverifynative.exe

• Lee Christensen (@tifkin_) による [解説: Jimmy Bayne (@bohops)]
• WDAC の Microsoft 推奨ブロックルールを探る: VisualUiaVerifyNative
  • https://bohops.com/2020/10/15/exploring-the-wdac-microsoft-recommended-block-rules-visualuiaverifynative/

wfc.exe

• MSRC および Matt Graeber (@mattifestation) からの情報提供 [解説: Jimmy Bayne (@bohops)]
• WDAC の Microsoft 推奨ブロックルールを探る (パート II): Wfc.exe、Fsi.exe、FsiAnyCpu.exe
• https://bohops.com/2020/11/02/exploring-the-wdac-microsoft-recommended-block-rules-part-ii-wfc-fsi/

windbg.exe

• Matt Graeber (@mattifestation) による
• WinDbg/CDB をシェルコードランナーとして使用したアプリケーション許可リストのバイパス
  • http://www.exploit-monday.com/2016/08/windbg-cdb-shellcode-runner.html

wmic.exe

• 著者: Casey Smith (@subTee)
• WMIC.EXE ホワイトリストバイパス - Hacking with Style, Stylesheets
  • https://web.archive.org/web/20190814201250/https://subt0x11.blogspot.com/2018/04/wmicexe-whitelisting-bypass-hacking.html

WSL ファミリー - bash.exe、lxrun.exe、wsl.exe、wslconfig.exe、wslhost.exe

• 著者: Alex Ionescu (@aionescu)
• Windows Subsystem for Linux で遊ぶ
  • https://github.com/ionescu007/lxss

ブロックリスト上 - まだ文書化されていない...

• dbgsvc.exe
• kd.exe
• ntkd.exe
• ntsd.exe
• HVCIScan.exe

リスト上のライブラリ (独立した使用法は興味深い場合とそうでない場合があります)

• Microsoft.Build.dll
• Microsoft.Build.Framework.dll
• msbuild.dll
• lxssmanager.dll
• system.management.automation.dll
• webclnt.dll/davsvc.dll
• mfc40.dll