✔Ликбез по LNK. Какие опасности скрывают ярлыки Windows - «Новости»

www

Ин­форма­ция о сэм­пле на VirusTotal

Хо­тя этот при­мер выпол­няет вре­донос­ный PowerShell-скрипт, метод с findstr будет работать и с дру­гим вре­донос­ным содер­жимым, нап­ример, с VBS или коман­дным скрип­том. Этот метод сра­бота­ет и с вре­донос­ным бинар­ным кодом, закоди­рован­ным в Base64 и записан­ным в овер­лей.

Пе­рехо­дим ко вто­рому спо­собу наложе­ния кон­тента. Зло­умыш­ленни­ки час­то исполь­зуют вре­донос­ные фай­лы HTML Application (HTA) для рас­простра­нения мал­вари, и в слу­чае с LNK-вре­доно­сами при­емы с HTA тоже час­то идут в ход. Windows довер­чиво запус­кает такие фай­лы через mshta.exe, при­чем mshta.exe нас­толь­ко тер­пелив, что про­пус­тит любое содер­жимое, пока не нат­кнет­ся на иско­мый про­лог hta:application.

Ког­да злов­редный HTA прик­реплен к LNK как нак­ладное содер­жимое, не нуж­но ломать голову, с какого мес­та начина­ется HTA. Дос­таточ­но одной прос­той коман­ды: mshta [название малвари].lnk.

www

Ин­форма­ция о сэм­пле на VirusTotal

Струк­тура здесь прос­тая:

Ни­же — COMMAND_LINE_ARGUMENTS это­го при­мера.

Он прос­то запус­кает mshta, переда­вая самого себя в качес­тве аргу­мен­та для mshta.

Ко­ман­ды PowerShell и встро­енные воз­можнос­ти вро­де Select-String, Get-Content и .Substring отлично под­ходят для поис­ка или извле­чения кон­тента. При­чем эти коман­ды мож­но закоди­ровать так, что­бы их было слож­нее засечь.

Да­вай рас­смот­рим при­мер мал­вари в фор­мате LNK, которая исполь­зует трюк с PE-фай­лом, закоди­рован­ным в Base64 и встав­ленным в качес­тве овер­лея.

www

Ин­форма­ция о сэм­пле на VirusTotal

Струк­тура:

По­ле COMMAND_LINE_ARGUMENTS содер­жит скрипт PowerShell с кон­тентом, закоди­рован­ным в Base64.

Со­дер­жимое перево­дит­ся из Base64 в текст.

Вот что дела­ет эта коман­да:

1. Ищет файл, закан­чива­ющий­ся на .lnk.
   


2. Ищет в тек­сте пат­терн BS:D с помощью коман­ды Select-String.
   


3. Рас­кодиру­ет из Base64 все, что идет пос­ле пат­терна BS:D.
   


4. Сох­раня­ет рас­кодиро­ван­ный текст в файл в дирек­тории TEMP и запус­кает его с помощью коман­ды Start-Process.
   

Ни­же — единс­твен­ный пат­терн BS:D в фай­ле LNK.

Пос­ле BS:D идет тек­сто­вый шаб­лон в кодиров­ке Base64, который очень час­то сос­тавля­ет пер­вые три бай­та исполня­емо­го (PE) фай­ла (4d 5a 90). Содер­жимое, начина­ющееся с TVqQ, — это P2-овер­лей, не явля­ющий­ся частью содер­жания LNK. Декоди­руешь эту стро­ку из Base64 — получа­ешь вре­донос­ный PE-файл.

У каж­дой из этих трех тех­ник выпол­нения наложен­ного кон­тента свои плю­сы. Кон­крет­нее:

• 
  find/findstr — уни­вер­саль­ная и прос­тая в осво­ении тех­ника. Под­держи­вает раз­ные шаб­лоны‑раз­делите­ли и раз­нооб­разные полез­ные наг­рузки. Плюс ко все­му, коман­ду find мож­но шиф­ровать стан­дар­тны­ми метода­ми обфуска­ции скрип­тов.
  


• 
  mshta — реали­зовать про­ще прос­того, ведь mshta.exe нас­толь­ко все­яден, что про­игно­риру­ет любой не-HTA кон­тент. Дос­таточ­но запус­тить mshta, что­бы выпол­нить файл LNK. Минус — полез­ная наг­рузка дол­жна быть HTA-скрип­том.
  


• 
  PowerShell (коман­ды/встро­енные воз­можнос­ти) — реали­зация пос­ложнее, зато мож­но исполь­зовать хар­дкор­ную обфуска­цию, что­бы скрыть или замас­кировать вре­донос­ное содер­жание в нак­ладке.
  

Эти три методи­ки сос­тавля­ют при­мер­но 95% от всех, которые спе­циалис­ты Unit 42 видели при наборе дан­ных. На диаг­рамме ниже все наг­лядно раз­ложено.

Ос­таль­ные 5,6% — это раз­нооб­разные тех­ники для поис­ка и исполне­ния овер­лей‑кон­тента. Тут тебе и фик­сирован­ные сме­щения, и запуск прог­рамм‑заг­рузчи­ков. Мощь PowerShell поз­воля­ет хакерам при­менять целый арсе­нал методов для выпол­нения вре­донос­ного кода в овер­лее — гра­ницы тут толь­ко в фан­тазии самого зло­умыш­ленни­ка.

Выводы

Итак, мы разоб­рали четыре типа мал­вари LNK. Эти зна­ния при­годят­ся не толь­ко спе­циалис­там по безопас­ности, но и ана­лити­кам дан­ных. Если ты исполь­зуешь Windows, про­веряй любой подоз­ритель­ный .lnk, преж­де чем клик­нуть два раза. Не дай мал­вари тебя про­вес­ти!