LNK Stomping: ярлыки .lnk обходят MoTW и защиту Windows

LNK Stomping: ярлыки .lnk обходят MoTW и защиту Windows

LNK Stomping: ярлыки .lnk обходят MoTW и защиту Windows

Исследователи рассказали о новом приёме киберпреступников под названием LNK Stomping, который позволяет обходить защитные механизмы Windows (Mark of the Web) и запускать вредоносные ярлыки без предупреждений системы. Речь идёт о файлах ярлыков (.lnk), которые давно стали популярным инструментом для атак.

Особенно характерна эта тенденция после того как Microsoft в 2022 году ужесточила правила блокировки макросов.

Обычно такие ярлыки распространяют через вложения в письмах или архивы, маскируя их под документы. При запуске они вызывают «доверенные» системные утилиты вроде PowerShell или cmd.exe, что затрудняет выявление угрозы.

Чтобы бороться с этим, в Windows работает защита Mark of the Web (MoTW), которая отмечает скачанные из интернета файлы специальным метаданными. Именно на основе этих меток SmartScreen и Smart App Control проверяют репутацию файла и предупреждают пользователя.

Но приём LNK Stomping, описанный Elastic Security Labs, ломает эту логику. Он эксплуатирует ошибку в процессе обработки ярлыков Проводником Windows: система «нормализует» пути внутри ярлыка и пересохраняет его заново, при этом метка MoTW пропадает. В результате файл выглядит безопасным, и защита его больше не блокирует.

 

Исследователи выделяют три основных способа внедрения ошибок в структуру ярлыка:

  • PathSegment — весь путь указывается как один элемент массива,
  • Dot — добавляются точки или пробелы в путь,
  • Relative — используется только имя файла без полного пути.

В тестах Elastic Security Labs заражённые ярлыки без этой техники блокировались Smart App Control, а с LNK Stomping запускались без предупреждений.

Уязвимость получила номер CVE-2024-38217 и была закрыта патчем в сентябре 2024 года. Но интересен факт: на VirusTotal нашли образцы с LNK Stomping, загруженные ещё шесть лет назад, что говорит о долгой подпольной эксплуатации.

CISA включила уязвимость в список активно эксплуатируемых, что подтверждает её использование в реальных атаках. Хотя конкретным группам эта техника пока не приписана, угрозу называют «постоянной, а не теоретической».

Эксперты советуют организациям убедиться, что обновления от сентября 2024 года установлены, и внедрять поведенческие правила для обнаружения подозрительных ярлыков, ведь простые сигнатурные методы тут уже не помогут.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Совершать покупки в магазинах 18+ можно будет по QR-коду Госуслуг

В сервисе «ГосДоки» мобильного приложения Госуслуг появится возможность создания QR-кодов, которые по желанию можно будет предъявлять вместо бумажного паспорта. При проверке будут отображаться только требуемые данные.

Постановление правительства, приравнивающее QR-код Госуслуг к паспорту гражданина, уже подписано и опубликовано.

Возможности применения новой формы удостоверения личности, по словам Минцифры РФ, будут расширяться поэтапно — в соответствии с установленными сроками и по мере подключения организаций к «ГосДокам».

Вначале QR-код Госуслуг разрешат использовать в следующих ситуациях:

  • при покупке в магазинах товаров 18+;
  • при отправке / получении посылок и писем;
  • при посещении музеев и кинотеатров;
  • в офисных центрах с пропускной системой.

В дальнейшем планируется распространить практику на ряд других организаций:

  • финансовые институты;
  • МФЦ (не в полном объеме, только некоторые услуги);
  • салоны операторов сотовой связи;
  • частных медучреждения;
  • гостиницы.

Возраст и социальный статус теперь можно подтвердить также с помощью цифрового ID в MAX. Однако его применение регулируется законом о национальном мессенджере, а QR-кодов Госуслуг — новым постановлением правительства и указом Президента № 695 от 18.09.2023 о цифровом паспорте.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru