Вектор атаки FileFix позволяет обойти MoTW и запускать скрипты в Windows

Вектор атаки FileFix позволяет обойти MoTW и запускать скрипты в Windows

Вектор атаки FileFix позволяет обойти MoTW и запускать скрипты в Windows

Исследователь mr.d0x рассказал новые подробности вектора атаки под названием FileFix, который позволяет запускать вредоносные скрипты в Windows, обходя стандартную защиту Mark of the Web (MoTW). Всё строится на том, как браузеры сохраняют HTML-страницы.

Неделей ранее mr.d0x уже показал, как можно обмануть пользователя, заставив его вставить специальную PowerShell-команду в адресную строку Проводника Windows. Новый вариант FileFix чуть сложнее, но не менее изобретателен.

Сценарий такой: злоумышленник подсовывает жертве фишинговую страницу с инструкцией сохранить её через Ctrl+S как "Webpage, Complete", а потом переименовать файл в .hta. Почему это опасно? Потому что HTA — это устаревший, но всё ещё рабочий формат HTML-приложений, которые запускаются через встроенный в Windows mshta.exe. А главное — при сохранении страницы в этом режиме файл не получает метку MoTW, то есть Windows не покажет никаких предупреждений при запуске.

В результате — как только пользователь откроет такой файл, встроенный в него скрипт сразу выполнится. Без лишних вопросов и диалогов.

Да, такой трюк требует, чтобы человек сам сохранил файл и сменил расширение — и это, пожалуй, единственная проблема. Но если сайт сделан убедительно (например, подделка под страницу бэкапа MFA-кодов), то даже технически грамотный пользователь может повестись.

 

Что можно сделать, чтобы защититься?

  • Удалить или заблокировать mshta.exe на всех машинах (он находится в C:\Windows\System32 и C:\Windows\SysWOW64).
  • Включить отображение расширений файлов в Windows — чтобы нельзя было легко замаскировать .hta под что-то безобидное.
  • И по возможности — блокировать вложения с HTML-файлами в почте.

Казалось бы, устаревшие технологии вроде HTA уже никому не нужны. Но, как видим, старое зло ещё может выстрелить — особенно если добавить щепотку социальной инженерии.

МВД: данные 15 тысяч россиян из Глаза Бога позже использовали мошенники

После закрытия Telegram-бота «Глаз Бога» правоохранители получили доступ к его последним данным и обнаружили закономерность. Как рассказал на ПМЭФ заместитель главы МВД Андрей Храпов, только за один месяц через сервис собирали информацию о 15 тысячах человек, которые впоследствии стали жертвами мошенников.

Общий ущерб по этим эпизодам составил около 13 млрд рублей. По словам Храпова, после ликвидации бота в январе 2025 года удалось проанализировать массив данных, которым пользовались клиенты сервиса.

Выяснилось, что всего за один месяц через «Глаз Бога» была продана информация примерно о миллионе человек.

Причём речь шла не просто о номере телефона или адресе электронной почты. Покупатели получали целые цифровые досье: сведения о банковских картах, используемых маркетплейсах, пунктах выдачи заказов, поездках, авиаперелётах, номерах телефонов и других аспектах повседневной жизни.

Как отметил представитель МВД, для мошенников такая информация становится идеальной подготовкой к атаке.

«Люди, готовясь к атаке, недорого покупают все данные о человеке: в каких банках у него открыты счета, какие у него есть телефоны, с кем и куда он летал, когда перемещался, какими маркетплейсами пользуется, где ближайший пункт выдачи», — пояснил Храпов.

По сути, злоумышленникам больше не нужно долго собирать информацию по крупицам. Достаточно купить готовую подборку данных и использовать её для убедительных звонков, сообщений и других схем социальной инженерии.

История с «Глазом Бога» в очередной раз показывает, почему утечки данных остаются одной из главных проблем цифровой безопасности. Когда мошенник знает, где вы заказываете товары, какими банками пользуетесь и куда недавно летали, придумать правдоподобную легенду для обмана становится гораздо проще.

А судя по цифрам МВД, спрос на такие сведения был более чем серьёзным: за месяц через сервис прошли данные около миллиона человек.

RSS: Новости на портале Anti-Malware.ru