Windows AppLocker Forensics

Définition

AppLocker est une fonctionnalité Windows (Windows 7 Enterprise+, Windows 10/11 Enterprise/Education) permettant de définir des politiques d'exécution basées sur des règles (par nom de fichier, chemin, hash SHA256, ou signature de l'éditeur) pour les exécutables, DLLs, scripts, et packages Windows Store. Forensiquement, AppLocker est une source d'information sur les tentatives d'exécution bloquées et sur les binaires autorisés ou interdits dans l'environnement. AppLocker génère des événements dans le journal 'Microsoft-Windows-AppLocker/EXE and DLL', 'Microsoft-Windows-AppLocker/MSI and Script', et 'Microsoft-Windows-AppLocker/Packaged app-Execution'. Les EventIDs clés sont : 8003 (Application blocked from running — audit mode), 8004 (Application has been blocked, enforce mode), 8002 (Application allowed to run), et 8005/8006 pour les scripts. Ces événements incluent le chemin complet de l'application bloquée/autorisée, l'utilisateur, et le hash SHA256. Pour les investigations forensiques, AppLocker est précieux à double titre. D'un côté, les EventIDs 8004 révèlent les tentatives d'exécution de binaires non autorisés — y compris les tentatives d'exécution de malwares que AppLocker a bloquées (précieux pour identifier des tentatives d'attaque que les autres logs n'auraient pas capturées). D'un autre côté, les EventIDs 8002 (audit des exécutions autorisées) documentent quels binaires ont été exécutés sur le système, complétant Prefetch et ShimCache pour la timeline des exécutions. Les politiques AppLocker elles-mêmes, stockées dans les GPO et dans HKLM\SOFTWARE\Policies\Microsoft\Windows\SrpV2\ (Software Restriction Policies version 2), peuvent être analysées forensiquement pour comprendre quelles règles étaient actives pendant l'incident. Un attaquant peut contourner AppLocker en exploitant des chemins autorisés par défaut (C:\Windows\Tasks\, C:\Windows\Temp\ selon la configuration) — connaître les politiques permet d'identifier les méthodes de contournement possibles.