https://cyberveille.ch/tags/ntfs-extended-attributes/ Recent content in NTFS Extended Attributes on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Mon, 10 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-10-contournement-d-application-control-for-business-via-les-extended-attributes-ntfs-kernel/ Mon, 10 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-10-contournement-d-application-control-for-business-via-les-extended-attributes-ntfs-kernel/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 5 août 2026 sur shells.systems par Ian, cet article de recherche offensive présente une technique de contournement pratique d&rsquo;<strong>Application Control for Business</strong> (anciennement Windows Defender Application Control / WDAC) exploitant les <strong>Kernel Extended Attributes (Kernel EAs)</strong> du système de fichiers NTFS.</p> <h2 id="-mécanisme-technique">⚙️ Mécanisme technique</h2> <p>Les <strong>Kernel EAs</strong> sont une classe spéciale d&rsquo;attributs étendus introduite dans <strong>Windows 8</strong>, utilisée par le noyau comme cache haute performance pour éviter des opérations coûteuses comme la vérification répétée de signatures binaires. L&rsquo;attribut clé abusé est <strong><code>$Kernel.Smartlocker.OriginClaim</code></strong>.</p>