Зловредов прячут в надстройках Office, созданных с помощью Visual Studio

Зловредов прячут в надстройках Office, созданных с помощью Visual Studio

Зловредов прячут в надстройках Office, созданных с помощью Visual Studio

Эксперты Deep Instinct зафиксировали несколько атак, авторы которых используют надстройки VSTO (Microsoft Visual Studio Tools for Office) для доставки NET-зловредов в обход защиты Windows.

Вредоносная сборка чаще всего упакована вместе с документом, реже — загружается со стороннего сервера. Исполнение кода происходит при открытии файла в соответствующем офисном приложении (Word, Excel и проч.).

Согласно блог-записи Deep Instinct, присутствие VSTO-надстройки в файле можно определить по наличию пользовательских данных XML (custom.xml), по которым приложение находит и устанавливает целевую сборку.

 

Зависимости полезной нагрузки (скомпилированной в NET динамической библиотеки) хранятся вместе с документом, обычно внутри контейнера ISO. Злоумышленники задают этим файлам свойство «скрытый», чтобы создать видимость, будто архив содержит только документ Office.

При его запуске на экране появляется предложение включить режим редактирования — как в случае с макросом, только здесь еще требуется разрешение на установку надстройки для просмотра документа. Если пользователь даст согласие, система выведет предупреждение с кнопками выбора:

 

Образец пейлоада, обнаруженный в ходе одной из атак, исполнял закодированный и сжатый PowerShell-код, загружающий дополнительный скрипт с C2. Другой семпл хранился отдельно от документа на удаленном сервере; в его задачи входила доставка запароленного ZIP-архива с вшитого URL, распаковка содержимого в папку %\AppData\Local\ и запуск высвобожденного conhost.exe.

Финальную полезную нагрузку в обоих случаях определить не удалось: на момент анализа C2-серверы были недоступны.

Для демонстрации VSTO как вектора атаки аналитики создали PoC-код, умышленно выбрав пейлоад с высоким уровнем детектирования. Остальные компоненты с успехом обошли Microsoft Defender.

Атаки с использованием VSTO пока редки, однако исследователи не исключают, что этот вектор возьмут на вооружение APT-группы и другие хорошо обеспеченные хакеры. Это еще одна альтернатива макросам VBA, для которых Microsoft ввела дефолтную блокировку. Злоумышленники теперь опробуют другие методы доставки вредоносов, отдавая предпочтение форматам файлов, не вызывающим подозрение у защиты — таким как ISO, VHD, RAR, XLL.

Инициатива Минцифры по помощи вузам рискует снизить инвестиции ИТ-компаний

По оценкам участников отрасли, требование Минцифры направлять вузам 3% от средств, сэкономленных за счёт налоговых льгот, может привести к сокращению инвестиций ИТ-компаний в образование и науку на 30–50%. Представители рынка считают, что предложенный министерством механизм сужает круг возможных направлений для поддержки и тем самым снижает вклад бизнеса в формирование кадрового резерва отрасли.

Это требование Минцифры появилось в декабре 2025 года. К июню компании со штатом более 100 человек и выручкой свыше 1 млрд рублей должны будут заключить соглашения с профильными вузами о финансовой поддержке и содействии в подготовке кадров.

В феврале 2026 года был опубликован проект приказа Минцифры, определяющий порядок взаимодействия ИТ-компаний и вузов. В частности, как пишет «Коммерсантъ», участникам рынка предлагается разрабатывать проекты основных образовательных программ, привлекать сотрудников компаний к преподаванию, а также финансировать стажировки, создание контента для школ, программы повышения квалификации и мероприятия в рамках федеральных проектов.

В марте на проект поступили отзывы от ИТ-компаний и профильных объединений. Так, Ассоциация разработчиков программных продуктов (АРПП) «Отечественный софт» и Российский союз промышленников и предпринимателей заявили, что документ «существенно ограничивает виды поддержки и не в полной мере учитывает интересы сторон». В числе возможных последствий они назвали сокращение текущих расходов компаний на образование и науку на 30–50%, а также сужение перечня образовательных инициатив, которые сможет поддерживать бизнес.

Отраслевые объединения предлагают расширить список допустимых мер поддержки. Среди возможных вариантов — именные стипендии и гранты, организация и проведение хакатонов, передача лицензий на программное обеспечение и оборудования, а также освобождение от НДС всех операций по передаче средств от ИТ-компаний образовательным учреждениям.

Как отметил источник издания на ИТ-рынке, вопрос поддержки образования остаётся для отрасли крайне важным, особенно для крупных компаний. Это связано в том числе с действующими налоговыми и неналоговыми льготами, однако у бизнеса по-прежнему остаётся немало вопросов о том, как учитывать такие расходы.

В Минцифры, в свою очередь, заявили, что включили в проект приказа те меры, которые, по оценке ведомства, дают наибольший эффект. При этом в министерстве добавили, что «вопрос расширения перечня видов мероприятий может быть рассмотрен в дальнейшем».

«Эксперты АРПП проанализировали опыт реализации пилотного проекта, посвящённого взаимодействию ИТ-компаний и образовательных организаций, и сформулировали предложения по доработке инициативы. На рабочей встрече в Минцифры эти предложения были рассмотрены. Сейчас мы ведём совместную работу по совершенствованию проекта», — рассказал исполнительный директор АРПП «Отечественный софт» Ренат Лашин.

RSS: Новости на портале Anti-Malware.ru