궁극의 WDAC 우회 목록

이전에 문서화된 WDAC/Device Guard/UMCI 우회 기법과 WDAC 정책의 구축/관리/테스트를 위한 중앙 집중식 리소스

• 참고: WDAC(Windows Defender Application Control)는 Microsoft에 의해 "Application Control" 또는 "Application Control for Business"로 리브랜딩되었습니다.

*많은 LOLBIN이 이전에 "Microsoft 권장 차단 규칙 목록"이라고 불렸던 WDAC를 우회할 수 있는 애플리케이션 목록에 포함되어 있습니다.

• Pro Tip: 차단 규칙 정책을 적용할 때, 처음 두 파일 규칙인 ID_ALLOW_A_1과 ID_ALLOW_A_2를 제거하는 것을 잊지 마세요.

*이 저장소는 Oddvar Moe의 궁극의 AppLocker 우회 목록에서 영감을 받았습니다.

*언제나 그렇듯이, 이 문서는 작업 진행 중입니다...

---

WDAC를 우회할 수 있는 애플리케이션 - "LOLBIN" 분석 글

addinprocess.exe

• 작성자: James Forshaw (@tiraniddo)
• Windows 10 S에서의 DG: 임의 코드 실행
  • https://www.tiraniddo.dev/2017/07/dg-on-windows-10-s-executing-arbitrary.html

addinprocess32.exe

• 작성자: James Forshaw (@tiraniddo)
• Windows 10 S에서의 DG: 임의 코드 실행
  • https://www.tiraniddo.dev/2017/07/dg-on-windows-10-s-executing-arbitrary.html

addinutil.exe

• 작성자: 미상 (@McKinleyMike와 @TheLatteri에 의해 문서화됨)
• AddinUtil.exe의 안전하지 않은 역직렬화
  • https://www.blue-prints.blog/content/blog/posts/lolbin/addinutil-lolbas.html

aspnet_compiler.exe

• 작성자: cpl (@cpl3h)
• Aspnet_Compiler.exe의 흥미로운 사례
  • https://ijustwannared.team/2020/08/01/the-curious-case-of-aspnet_compiler-exe/

bginfo.exe

• 작성자: Oddvar Moe (@Oddvarmoe)
• BGInfo를 이용한 애플리케이션 화이트리스트 우회
  • https://msitpros.com/?p=3831

cdb.exe

• 작성자: Matt Graeber (@mattifestation)
• WinDbg/CDB를 셸코드 실행기로 사용하여 애플리케이션 화이트리스트 우회
  • http://www.exploit-monday.com/2016/08/windbg-cdb-shellcode-runner.html

csi.exe

• 작성자: Casey Smith (@subTee)
• 애플리케이션 화이트리스트 우회 - CSI.EXE C# 스크립팅
  • https://web.archive.org/web/20161008143428/http://subt0x10.blogspot.com/2016/09/application-whitelisting-bypass-csiexe.html

dbghost.exe

• 작성자: Casey Smith (@subTee)
• dbghost.exe - 유령과 어둠
  • https://web.archive.org/web/20170926164017/http://subt0x10.blogspot.com/2017/09/dbghostexe-ghost-in-darkness.html

dbgsrv.exe

• 작성자: Casey Smith (@subTee), Ross Wolf (@rw_access)
• dbgsrv.exe로 WDAC를 우회하는 방법
  • https://fortynorthsecurity.com/blog/how-to-bypass-wdac-with-dbgsrv-exe/
• 환상적인 레드팀 공격과 이를 찾는 방법
  • https://i.blackhat.com/USA-19/Thursday/us-19-Smith-Fantastic-Red-Team-Attacks-And-How-To-Find-Them.pdf

dnx.exe

• 작성자: Matt Nelson (@enigma0x3)
• DNX.EXE를 사용한 애플리케이션 화이트리스트 우회
  • https://enigma0x3.net/2016/11/17/bypassing-application-whitelisting-by-using-dnx-exe/

dotnet.exe

• 작성자: Jimmy Bayne (@bohops)
• DotNet Core: AWL 우회 및 방어 회피를 위한 벡터
  • https://bohops.com/2019/08/19/dotnet-core-a-vector-for-awl-bypass-defense-evasion/

fsi.exe

• 작성자: Nick Tyrer (@NickTyrer) [분석 글: Jimmy Bayne (@bohops)]
• GitHub Gist: fsi.exe 인라인 실행
  • https://gist.github.com/NickTyrer/51eb8c774a909634fa69b4d06fc79ae1
  • https://twitter.com/NickTyrer/status/904273264385589248
• WDAC Microsoft 권장 차단 규칙 탐구 (Part II): Wfc.exe, Fsi.exe, FsiAnyCpu.exe
  • https://bohops.com/2020/11/02/exploring-the-wdac-microsoft-recommended-block-rules-part-ii-wfc-fsi/

fsiAnyCpu.exe

• 작성자: Nick Tyrer (@NickTyrer), fsi.exe 인라인 실행을 통해 [분석 글: Jimmy Bayne (@bohops)]
• GitHub Gist: fsi.exe 인라인 실행
  • https://gist.github.com/NickTyrer/51eb8c774a909634fa69b4d06fc79ae1
  • https://twitter.com/bohops/status/1319096336441090050
• WDAC Microsoft 권장 차단 규칙 탐구 (Part II): Wfc.exe, Fsi.exe, FsiAnyCpu.exe
  • https://bohops.com/2020/11/02/exploring-the-wdac-microsoft-recommended-block-rules-part-ii-wfc-fsi/

infdefaultinstall.exe

• 작성자: Kyle Hanslovan (@KyleHanslovan), Chris Bisnett (@chrisbisnett)
• Evading Autoruns - DerbyCon 7.0
  • https://github.com/huntresslabs/evading-autoruns
• RE: Windows 10에서의 Evading Autoruns PoC
  • https://medium.com/@KyleHanslovan/re-evading-autoruns-pocs-on-windows-10-dd810d7e8a3f

InstallUtil.exe

• 작성자: James Forshaw (@tiraniddo)
• Windows 10 S에서의 DG: InstallUtil 악용
  • https://www.tiraniddo.dev/2017/08/dg-on-windows-10-s-abusing-installutil.html

IntuneWindowsAgent.exe (Microsoft.Management.Services.IntuneWindowsAgent.exe)

• 작성자: Kim Oppalfens (@TheWMIGuy)
• Intune Windows Agent 우회 설명
  • https://github.com/bohops/UltimateWDACBypassList/issues/1

kill.exe

• 작성자: @hyp3rlinx
• Microsoft 프로세스 종료 유틸리티 "kill.exe" - SEH 버퍼 오버플로
  • http://hyp3rlinx.altervista.org/advisories/MS-KILL-UTILITY-BUFFER-OVERFLOW.txt
  • https://twitter.com/bohops/status/1324563760967753730

microsoft.Workflow.Compiler.exe

• 작성자: Matt Graeber (@mattifestation)
• Microsoft.Workflow.Compiler.exe의 임의의 서명되지 않은 코드 실행 벡터
  • https://posts.specterops.io/arbitrary-unsigned-code-execution-vector-in-microsoft-workflow-compiler-exe-3d9294bc5efb

msbuild.exe

• 작성자: Casey Smith (@subTee)
• MSBuild.exe를 사용한 애플리케이션 화이트리스트 우회 - Device Guard 예시 및 완화 방안
  • https://web.archive.org/web/20160920161634/http://subt0x10.blogspot.com/2016/09/bypassing-application-whitelisting.html

mshta.exe

• 작성자: 미상 (@conscioushacker에 의해 문서화됨)
• 애플리케이션 화이트리스트 우회: mshta.exe
  • https://web.archive.org/web/20171118145940/http://blog.conscioushacker.io/index.php/2017/11/17/application-whitelisting-bypass-mshta-exe/

powershellcustomhost.exe

• 작성자: Lasse Trolle Borup (@TrolleBorup)
• 간단한 Device Guard 우회
  • https://danishcyberdefence.dk/blog/device-guard-powershellcustomhost

rcsi.exe

• 작성자: Matt Nelson (@enigma0x3)
• RCSI.EXE를 사용한 애플리케이션 화이트리스트 우회
  • https://enigma0x3.net/2016/11/21/bypassing-application-whitelisting-by-using-rcsi-exe/

runscripthelper.exe

• 작성자: Matt Graeber (@mattifestation)
• runscripthelper.exe를 사용한 애플리케이션 화이트리스트 우회
  • https://posts.specterops.io/bypassing-application-whitelisting-with-runscripthelper-exe-1906923658fc

texttransform.exe

• 작성자: 미상
• TextTransformer - 도구 사용 사례 [Casey Smith (@_subTee)에 의해 문서화됨]
  • https://github.com/secdev02/TextTransformer
• TextTransform 셸코드 주입 템플릿 [Chris Sphen (@ConsciousHacker)에 의해 문서화됨]
  • https://gist.github.com/ConsciousHacker/40dfd14b9ecefec49803c509712346a9
• 자리 표시자 참조 (곧 공개)

visualuiaverifynative.exe

• 작성자: Lee Christensen (@tifkin_) [분석 글: Jimmy Bayne (@bohops)]
• WDAC Microsoft 권장 차단 규칙 탐구: VisualUiaVerifyNative
  • https://bohops.com/2020/10/15/exploring-the-wdac-microsoft-recommended-block-rules-visualuiaverifynative/

wfc.exe

• MSRC와 Matt Graeber (@mattifestation)의 제보 [분석 글: Jimmy Bayne (@bohops)]
• WDAC Microsoft 권장 차단 규칙 탐구 (Part II): Wfc.exe, Fsi.exe, FsiAnyCpu.exe
• https://bohops.com/2020/11/02/exploring-the-wdac-microsoft-recommended-block-rules-part-ii-wfc-fsi/

windbg.exe

• 작성자: Matt Graeber (@mattifestation)
• WinDbg/CDB를 셸코드 실행기로 사용하여 애플리케이션 화이트리스트 우회
  • http://www.exploit-monday.com/2016/08/windbg-cdb-shellcode-runner.html

wmic.exe

• 작성자: Casey Smith (@subTee)
• WMIC.EXE 화이트리스트 우회 - 스타일리시한 해킹, 스타일시트
  • https://web.archive.org/web/20190814201250/https://subt0x11.blogspot.com/2018/04/wmicexe-whitelisting-bypass-hacking.html

WSL 제품군 - bash.exe, lxrun.exe, wsl.exe, wslconfig.exe, wslhost.exe

• 작성자: Alex Ionescu (@aionescu)
• Linux용 Windows 하위 시스템과의 즐거움
  • https://github.com/ionescu007/lxss

차단 목록에 있음 - 아직 문서화되지 않음...

• dbgsvc.exe
• kd.exe
• ntkd.exe
• ntsd.exe
• HVCIScan.exe

목록에 있는 라이브러리 (독립적 사용이 흥미로울 수도/아닐 수도 있음)

• Microsoft.Build.dll
• Microsoft.Build.Framework.dll
• msbuild.dll
• lxssmanager.dll
• system.management.automation.dll
• webclnt.dll/davsvc.dll
• mfc40.dll

---

기타 "서명되지 않은 코드 실행" LOLBIN/PowerShell (목록에 없음)

texttransformcore.exe

• https://github.com/LOLBAS-Project/LOLBAS/pull/496 (곧 공개)

microsoft.xsldebugger.host.exe

• https://github.com/LOLBAS-Project/LOLBAS/pull/496 (곧 공개)