Вектор атаки FileFix позволяет обойти MoTW и запускать скрипты в Windows

Вектор атаки FileFix позволяет обойти MoTW и запускать скрипты в Windows

Вектор атаки FileFix позволяет обойти MoTW и запускать скрипты в Windows

Исследователь mr.d0x рассказал новые подробности вектора атаки под названием FileFix, который позволяет запускать вредоносные скрипты в Windows, обходя стандартную защиту Mark of the Web (MoTW). Всё строится на том, как браузеры сохраняют HTML-страницы.

Неделей ранее mr.d0x уже показал, как можно обмануть пользователя, заставив его вставить специальную PowerShell-команду в адресную строку Проводника Windows. Новый вариант FileFix чуть сложнее, но не менее изобретателен.

Сценарий такой: злоумышленник подсовывает жертве фишинговую страницу с инструкцией сохранить её через Ctrl+S как "Webpage, Complete", а потом переименовать файл в .hta. Почему это опасно? Потому что HTA — это устаревший, но всё ещё рабочий формат HTML-приложений, которые запускаются через встроенный в Windows mshta.exe. А главное — при сохранении страницы в этом режиме файл не получает метку MoTW, то есть Windows не покажет никаких предупреждений при запуске.

В результате — как только пользователь откроет такой файл, встроенный в него скрипт сразу выполнится. Без лишних вопросов и диалогов.

Да, такой трюк требует, чтобы человек сам сохранил файл и сменил расширение — и это, пожалуй, единственная проблема. Но если сайт сделан убедительно (например, подделка под страницу бэкапа MFA-кодов), то даже технически грамотный пользователь может повестись.

 

Что можно сделать, чтобы защититься?

  • Удалить или заблокировать mshta.exe на всех машинах (он находится в C:\Windows\System32 и C:\Windows\SysWOW64).
  • Включить отображение расширений файлов в Windows — чтобы нельзя было легко замаскировать .hta под что-то безобидное.
  • И по возможности — блокировать вложения с HTML-файлами в почте.

Казалось бы, устаревшие технологии вроде HTA уже никому не нужны. Но, как видим, старое зло ещё может выстрелить — особенно если добавить щепотку социальной инженерии.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Positive Technologies показала решение для защиты открытой АСУ ТП

Компания Positive Technologies представила кросс-платформенное решение по кибербезопасности для национальной открытой платформы промышленной автоматизации. Демонстрация прошла в Нижнем Новгороде на втором всероссийском форуме «Промышленная автоматизация: переход на открытую АСУ ТП».

Работа над проектом велась более трёх лет в рамках межотраслевой рабочей группы при Минпромторге России, в которую вошли представители энергетики, металлургии, нефтегаза, химической промышленности, поставщики оборудования и интеграторы.

Прототип открытой платформы АСУ ТП впервые показали на форуме ЦИПР летом 2025 года. Сейчас представлена её первая действующая версия, дополненная новыми программными и аппаратными компонентами российских разработчиков. Это позволило расширить число поддерживаемых технологических процессов и продемонстрировать возможности применения открытых стандартов в разных отраслях.

Заместитель министра промышленности и торговли РФ Василий Шпак отметил, что рынок систем промышленной автоматизации в России активно развивается, а сотрудничество компаний помогает вырабатывать единые подходы и стандарты. По его словам, отечественные технологии уже позволяют создавать конкурентоспособные решения, обеспечивающие независимость и безопасность предприятий.

На совместном стенде форума участники показали, как современные технологии позволяют строить гибкие и защищённые системы управления, сочетающие новые и уже существующие решения. В состав платформы входят программные контроллеры, SCADA-системы, шлюзы-конвертеры и встроенные средства кибербезопасности. Все элементы соответствуют принципам открытых АСУ ТП — совместимости, взаимозаменяемости и защищённости данных.

Руководитель практики промышленной кибербезопасности Positive Technologies Дмитрий Даренский отметил, что представленная версия платформы уже готова к внедрению и включает поддержку цифровых двойников и имитационных моделей. Разработанное решение по кибербезопасности можно применять в кросс-платформенных системах автоматизации, использующих открытые протоколы и компоненты разных производителей.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru