Проблема, связанная с тем, как Google Chrome и Windows обрабатывает определенные типы файлов, может привести к компрометации учетных данных даже на современных системах, утверждает исследователь DefenseCode.
Предыдущее исследование утечки учетных данных с использованием протокола Windows Server Message Block (SMB) было ориентировано только на атаки с использованием Internet Explorer и Edge, однако Боско Станкович (Bosco Stankovic) из DefenseCode обнаружил, что даже самый популярный браузер может использоваться как вектор атаки.
В своей Станкович объясняет, что атака использует конфигурацию Google Chrome по умолчанию, когда браузер автоматически загружает файлы, которые он считает безопасными. Более того, он даже не запрашивает у пользователя место для загрузки, а использует текущее.
Это значит, что браузер может загрузить вредоносные файлы, которые он считает безопасными, и сохранять их на диск без ведома пользователя. Несмотря на то, что большинство вредоносных файлов для выполнения своих действий требуют взаимодействия с пользователем, есть их определенные типы, которым это не нужно. Такие типы вредоносных файлов злоумышленник может использовать для вторжения в системы даже с последними установленными обновлениями.
По словам исследователя, одним из таких опасных форматов файлов является SCF (.scf) - командный файл оболочки Windows Explorer. Об этом формате известно не очень много, в основном он использовался в качестве ярлыка Show Desktop в Windows 98/ME/NT/2000/XP.
«Это по существу текстовый файл с разделами, определяющими выполняемую команду, ограничивается запуском Проводника и переключением рабочего стола» - объясняет исследователь.
Как и в случае с файлами LNK, злоумышленники используют функцию файлов SCF, расположив ярлык, на который ссылается файл, на удаленном SMB-сервере.
После атак печально известного Stuxnet, Chrome начал менять расширение скачанных LNK-файлов на .download, однако не делает того же в случае с файлами SCF. Из-за этого файлы SCF можно использовать для атаки, где необходимы только две строки кода.
«Вредоносная команда выполнится в момент, когда будет открыт каталог загрузки (что рано или поздно неизбежно произойдет). Нет необходимости щелкать или открывать загруженный файл» - отмечает Станкович.
«Стоит отметить, что файлы SCF будут отображаться без расширения в проводнике Windows независимо от настроек файлов и папок. Поэтому файл с именем picture.jpg.scf будет отображаться в проводнике Windows как picture.jpg. Это добавляет атакам с использованием файлов SCF еще большую опасность» - объясняет исследователь.
Для того, чтобы использовать этот вектор, злоумышленнику нужно всего лишь заманить пользователя на специальный сайт. Атака сработает даже на полностью обновленных Google Chrome и Windows.
