Фи­шинг лидиру­ет сре­ди спо­собов получе­ния пер­воначаль­ного дос­тупа. При­чина прос­та: если у ком­пании зре­лая ИБ и гра­мот­но защищен внеш­ний периметр, ата­кующим оста­ется соци­аль­ная инже­нерия. К тому же одну и ту же фишин­говую кам­панию мож­но исполь­зовать про­тив раз­ных целей, слег­ка меняя текст, поэто­му такие кам­пании лег­ко мас­шта­биро­вать.

Мы взгля­нем на фишин­говую кам­панию гла­зами ред­тимера и пен­тесте­ра и сос­редото­чим­ся на тех­ничес­кой сто­роне таких атак. Раз­берем нес­коль­ко популяр­ных типов злов­редных вло­жений, которые час­то встре­чают­ся в пись­мах во вре­мя кам­паний APT-групп и опе­раций red team.

По­чему имен­но вло­жения? Сегод­ня уже нель­зя прос­то отпра­вить исполня­емый файл с инте­рес­ным име­нем и написать в пись­ме: «Кру­тая шту­ка, поп­робуй». Ско­рее все­го, такое пись­мо не дой­дет до адре­сата: его оста­новит пер­вый же филь­тр.

Да­же если пись­мо прой­дет поч­товые филь­тры и файл попадет на компь­ютер поль­зовате­ля, Microsoft Defender SmartScreen про­верит его репута­цию и покажет пре­дуп­режде­ние, а UAC зап­росит пра­ва адми­нис­тра­тора. Каж­дый такой барь­ер допол­нитель­но сни­жает веро­ятность запус­ка.

Вто­рой воп­рос: зачем вооб­ще отправ­лять файл? Раз­ве это не подоз­ритель­но? Да, подоз­ритель­но, но соци­аль­ная инже­нерия все еще оста­ется популяр­ным спо­собом получить initial access, даже если о ней зна­ют все.

Та­кой файл работа­ет как дроп­пер — пер­вая сту­пень в цепоч­ке дос­тавки вре­доно­са. Он мас­киру­ется под популяр­ное при­ложе­ние или документ: поль­зователь запус­кает файл, рас­счи­тывая открыть отчет, но вмес­то это­го тот обра­щает­ся к уда­лен­ному сер­веру, ска­чива­ет и запус­кает основной вре­донос.

Ча­ще все­го встре­чают­ся фай­лы с рас­ширени­ями .scr, .lnk и .hta, а так­же уста­нов­щики NSIS. Их мы и рас­смот­рим в этой статье.

Файл .scr — это скрин­сей­вер Windows с изоб­ражени­ем, ани­маци­ей, видео или слайд‑шоу. Файл с рас­ширени­ем .scr — это обыч­ный PE, который ничем не отли­чает­ся от дру­гого исполня­емо­го фай­ла. Мож­но прос­то ском­пилиро­вать .exe и сме­нить рас­ширение с .exe на .scr.

В этом сце­нарии мы исполь­зуем впол­не стан­дар­тную прось­бу озна­комить­ся с докумен­том: отче­том, сче­том‑фак­турой, новым поряд­ком допус­ка на объ­екты и так далее.

От­кры­ваем Visual Studio и выбира­ем шаб­лон «Кон­соль­ное при­ложе­ние» для C++.

Пи­шем прос­тень­кий MessageBox: