LNK Stomping: ярлыки .lnk обходят MoTW и защиту Windows

LNK Stomping: ярлыки .lnk обходят MoTW и защиту Windows

LNK Stomping: ярлыки .lnk обходят MoTW и защиту Windows

Исследователи рассказали о новом приёме киберпреступников под названием LNK Stomping, который позволяет обходить защитные механизмы Windows (Mark of the Web) и запускать вредоносные ярлыки без предупреждений системы. Речь идёт о файлах ярлыков (.lnk), которые давно стали популярным инструментом для атак.

Особенно характерна эта тенденция после того как Microsoft в 2022 году ужесточила правила блокировки макросов.

Обычно такие ярлыки распространяют через вложения в письмах или архивы, маскируя их под документы. При запуске они вызывают «доверенные» системные утилиты вроде PowerShell или cmd.exe, что затрудняет выявление угрозы.

Чтобы бороться с этим, в Windows работает защита Mark of the Web (MoTW), которая отмечает скачанные из интернета файлы специальным метаданными. Именно на основе этих меток SmartScreen и Smart App Control проверяют репутацию файла и предупреждают пользователя.

Но приём LNK Stomping, описанный Elastic Security Labs, ломает эту логику. Он эксплуатирует ошибку в процессе обработки ярлыков Проводником Windows: система «нормализует» пути внутри ярлыка и пересохраняет его заново, при этом метка MoTW пропадает. В результате файл выглядит безопасным, и защита его больше не блокирует.

 

Исследователи выделяют три основных способа внедрения ошибок в структуру ярлыка:

  • PathSegment — весь путь указывается как один элемент массива,
  • Dot — добавляются точки или пробелы в путь,
  • Relative — используется только имя файла без полного пути.

В тестах Elastic Security Labs заражённые ярлыки без этой техники блокировались Smart App Control, а с LNK Stomping запускались без предупреждений.

Уязвимость получила номер CVE-2024-38217 и была закрыта патчем в сентябре 2024 года. Но интересен факт: на VirusTotal нашли образцы с LNK Stomping, загруженные ещё шесть лет назад, что говорит о долгой подпольной эксплуатации.

CISA включила уязвимость в список активно эксплуатируемых, что подтверждает её использование в реальных атаках. Хотя конкретным группам эта техника пока не приписана, угрозу называют «постоянной, а не теоретической».

Эксперты советуют организациям убедиться, что обновления от сентября 2024 года установлены, и внедрять поведенческие правила для обнаружения подозрительных ярлыков, ведь простые сигнатурные методы тут уже не помогут.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Северокорейские Android-смартфоны оказались инструментом тотальной слежки

Ютубер Арун Майни, автор канала MrWhosetheboss, получил в руки редкость — два настоящих северокорейских смартфона — и показал, насколько глубоко государство контролирует устройства своих граждан. Эти аппараты, по задумке властей, не должны были попасть за пределы страны, но теперь можно увидеть, как устроена цифровая жизнь в одном из самых закрытых режимов мира.

В ролике под названием «Testing North Korea’s illegal smartphones» Майни разбирает два телефона: простой бюджетный аппарат и модель покруче — «Samtaesung 8».

Оба работают на Android 10 и 11, но это лишь видимость нормальной ОС. Фактически это полностью переработанные версии ОС, где каждый элемент подчинён цензуре, пропаганде и тотальному наблюдению.

Первое, что бросается в глаза, — невозможность писать «неправильные» слова. Попытка ввести «Южная Корея» автоматически превращается в «марионеточное государство», а упоминание современного сленга или популярных корейских шоу вызывает предупреждения или замену текста на разрешённые формулировки. Некоторые слова система просто блокирует.

 

Интернета на телефонах в привычном смысле нет. Вместо него — закрытая интрасеть с государственными сайтами. Даже время нельзя поменять: часовой пояс, дата и синхронизация полностью контролируются режимом.

Большинство приложений — муляжи. Есть браузер, камера, календарь и музыкальный плеер, но это кастомные версии, вшитые в информационный пузырь. Некоторые программы не открываются, другие показывают только пропаганду. Развлечения тоже под контролем: на телефонах обнаружены разрешённые игры, российские и индийские фильмы, а также биографические материалы о лидерах КНДР.

Установить новые приложения самостоятельно невозможно. Для этого нужно прийти в официальный магазин, где сотрудник поставит программу вручную, причём её работа будет ограничена по времени. Файлы и фото автоматически подписываются цифровой меткой, а любое «чужое» содержимое удаляется.

Самое тревожное — система скрытого наблюдения. Телефон делает скриншот каждый раз, когда пользователь открывает приложение. В итоге на устройстве хранится полная визуальная история действий владельца. Передать фото или файлы нельзя, Bluetooth заблокирован, а менеджер файлов почти никуда не пускает.

Всё это превращает смартфон из личного устройства в инструмент контроля. Как подытоживает Майни, в Северной Корее сама идея персонального гаджета попросту отсутствует — телефоны созданы не для пользователя, а для государства.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru