Wat is er zo bijzonder aan deze map? Staat er nog iets in (als je geen iis hebt)?
Hoe kan de aanwezigheid van een map en de naam ervan de veiligheid in het geding brengen?

Waarom zou je een systeemmap van Microsoft willen verwijderen waarvan je niet weet waar deze voor dient?

Het devies dat ik hanteer bij al mijn apparaten: if it ain't broke, don't fix it.

Het gaat om een kwetsbaarheid in het update-systeem van Windows. Dat checkt niet altijd of een map wel echt een map is, en niet een symlink naar iets anders. Kennelijk is het mogelijk om met een inetpub-map die een symlink naar iets anders is bereiken dat het update-mechanisme van Windows zelf een ingang is om rottigheid uit te halen op een systeem. En dat blokkeert men door die map aan te maken, zelfs als IIS niet op het systeem staat om die map werkelijk te gebruiken.

Dit is dus geen oplossing maar een workaround voor het echte probleem: dat het update-systeem een belangrijke controle overslaat. Dit speelde twee maanden geleden al, en mensen verwijderden de inetpub-map omdat ze wisten dat die bij IIS hoort en ze dat niet op hun systeem hadden staan, en Microsoft had in de eerste instantie niet gedocumenteerd waarom ze die map eigenlijk aanmaakten, dat hebben ze pas toegevoegd toen het al volop gedaan werd.

Ik vind het opmerkelijk dat Microsoft kennelijk in twee maanden niet het werkelijke probleem heeft weten aan te pakken, namelijk door hun update-systeem die controle wel te laten uitvoeren, en ook dat ze er twee maanden voor nodig hebben gehad om een scriptje te produceren waarmee mensen die die map verwijderd hadden hem weer kunnen herstellen. Gaat het wel goed bij Microsoft?

Alleen weten veel mensen precies waar die systeemmap voor dient: het is de map waar als je IIS draait je websites in staan. Als IIS niet op een systeem staat heeft die map daar ook niets te zoeken — behalve dan sinds kort als workaround voor een kwetsbaarheid in iets heel anders dan IIS zelf. If it ain't broke don't fix it? Het is juist een teken dat er iets niet klopt. Bij systemen die goed zijn dichtgetimmerd met monitoring op alles wat niet klopt kunnen makkelijk de alarmen zijn afgegaan door het opeens overal verschijnen van een systeemmap die er niet hoort te zijn. Er was, en is, dus wel degelijk iets "broke".

Omdat malware deze directory anders kan aanmaken als normale user
En dan misbruik kan maken van de functionaliteit die Windows heeft ingebouwd voor IIS
Nu maakt men de directory aan zoals deze ook voor IIS wordt aangemaakt, met o.a. SYSTEM als owner en alleen lezen voor Users
De directory is ook wel op exact dezelfde manier zelf aan te maken, maar niet met standaard Windows tools.
Het kan wel middels SetACL middels de restore functie en de juiste SDDL (owner, primary group, DACL, SACL)