ΠŸΡ€ΠΈΠΊΠ»ΡŽΡ‡Π΅Π½ΠΈΡ Π½Π΅ΡƒΠ»ΠΎΠ²ΠΈΠΌΠΎΠΉ ΠΌΠ°Π»Π²Π°Ρ€ΠΈ, Ρ‡Π°ΡΡ‚ΡŒ I

ΠŸΡ€ΠΈΠΊΠ»ΡŽΡ‡Π΅Π½ΠΈΡ Π½Π΅ΡƒΠ»ΠΎΠ²ΠΈΠΌΠΎΠΉ ΠΌΠ°Π»Π²Π°Ρ€ΠΈ, Ρ‡Π°ΡΡ‚ΡŒ I

Π­Ρ‚ΠΎΠΉ ΡΡ‚Π°Ρ‚ΡŒΠ΅ΠΉ ΠΌΡ‹ Π½Π°Ρ‡ΠΈΠ½Π°Π΅ΠΌ ΡΠ΅Ρ€ΠΈΡŽ ΠΏΡƒΠ±Π»ΠΈΠΊΠ°Ρ†ΠΈΠΉ ΠΎ Π½Π΅ΡƒΠ»ΠΎΠ²ΠΈΠΌΡ‹Ρ… ΠΌΠ°Π»Π²Π°Ρ€ΠΈ. ΠŸΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌΡ‹ для Π²Π·Π»ΠΎΠΌΠ°, Π½Π΅ ΠΎΡΡ‚Π°Π²Π»ΡΡŽΡ‰ΠΈΠ΅ слСдов Π°Ρ‚Π°ΠΊΠΈ, извСстныС Ρ‚Π°ΠΊΠΆΠ΅ ΠΊΠ°ΠΊ fileless («бСстСлСсныС», Π½Π΅Π²ΠΈΠ΄ΠΈΠΌΡ‹Π΅, Π±Π΅Π·Ρ„Π°ΠΉΠ»ΠΎΠ²Ρ‹Π΅), ΠΊΠ°ΠΊ ΠΏΡ€Π°Π²ΠΈΠ»ΠΎ, ΠΈΡΠΏΠΎΠ»ΡŒΠ·ΡƒΡŽΡ‚ PowerShell Π½Π° систСмах Windows, Ρ‡Ρ‚ΠΎΠ±Ρ‹ скрытно Π²Ρ‹ΠΏΠΎΠ»Π½ΡΡ‚ΡŒ ΠΊΠΎΠΌΠ°Π½Π΄Ρ‹ для поиска ΠΈ извлСчСния Ρ†Π΅Π½Π½ΠΎΠ³ΠΎ ΠΊΠΎΠ½Ρ‚Π΅Π½Ρ‚Π°. ΠžΠ±Π½Π°Ρ€ΡƒΠΆΠΈΡ‚ΡŒ Ρ…Π°ΠΊΠ΅Ρ€ΡΠΊΡƒΡŽ Π΄Π΅ΡΡ‚Π΅Π»ΡŒΠ½ΠΎΡΡ‚ΡŒ Π±Π΅Π· врСдоносных Ρ„Π°ΠΉΠ»ΠΎΠ² β€” слоТно выполнимая Π·Π°Π΄Π°Ρ‡Π°, Ρ‚.ΠΊ. антивирусы ΠΈ ΠΌΠ½ΠΎΠ³ΠΈΠ΅ Π΄Ρ€ΡƒΠ³ΠΈΠ΅ систСмы обнаруТСния Ρ€Π°Π±ΠΎΡ‚Π°ΡŽΡ‚ Π½Π° основС сигнатурного Π°Π½Π°Π»ΠΈΠ·Π°. Но Ρ…ΠΎΡ€ΠΎΡˆΠ°Ρ Π½ΠΎΠ²ΠΎΡΡ‚ΡŒ состоит Π² Ρ‚ΠΎΠΌ, Ρ‡Ρ‚ΠΎ Ρ‚Π°ΠΊΠΎΠ΅ ПО всС ΠΆΠ΅ сущСствуСт. НапримСр, UBA-систСмы, способныС ΠΎΠ±Π½Π°Ρ€ΡƒΠΆΠΈΡ‚ΡŒ Π²Ρ€Π΅Π΄ΠΎΠ½ΠΎΡΠ½ΡƒΡŽ Π°ΠΊΡ‚ΠΈΠ²Π½ΠΎΡΡ‚ΡŒ Π² Ρ„Π°ΠΉΠ»ΠΎΠ²Ρ‹Ρ… систСмах.

Когда я Π²ΠΏΠ΅Ρ€Π²Ρ‹Π΅ Π½Π°Ρ‡Π°Π» ΠΈΠ·ΡƒΡ‡Π°Ρ‚ΡŒ Ρ‚Π΅ΠΌΡƒ ΠΊΡ€ΡƒΡ‚Ρ‹Ρ… Ρ…Π°ΠΊΠ΅Ρ€ΠΎΠ², Π½Π΅ ΠΈΡΠΏΠΎΠ»ΡŒΠ·ΡƒΡŽΡ‰ΠΈΡ… Ρ‚Ρ€Π°Π΄ΠΈΡ†ΠΈΠΎΠ½Π½Ρ‹Π΅ способы зараТСния, Π° лишь доступныС Π½Π° ΠΊΠΎΠΌΠΏΡŒΡŽΡ‚Π΅Ρ€Π΅ ΠΆΠ΅Ρ€Ρ‚Π²Ρ‹ инструмСнты ΠΈ ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌΠ½ΠΎΠ΅ обСспСчСниС, я ΠΈ Π½Π΅ ΠΏΠΎΠ΄ΠΎΠ·Ρ€Π΅Π²Π°Π», Ρ‡Ρ‚ΠΎ вскорС это станСт популярным способом Π°Ρ‚Π°ΠΊΠΈ. ΠŸΡ€ΠΎΡ„Π΅ΡΡΠΈΠΎΠ½Π°Π»Ρ‹ Π² области бСзопасности говорят, Ρ‡Ρ‚ΠΎ это становится Ρ‚Ρ€Π΅Π½Π΄ΠΎΠΌ, Π° ΠΏΡƒΠ³Π°ΡŽΡ‰ΠΈΠ΅ Π·Π°Π³ΠΎΠ»ΠΎΠ²ΠΊΠΈ статСй – Ρ‚ΠΎΠΌΡƒ ΠΏΠΎΠ΄Ρ‚Π²Π΅Ρ€ΠΆΠ΄Π΅Π½ΠΈΠ΅. ΠŸΠΎΡΡ‚ΠΎΠΌΡƒ я Ρ€Π΅ΡˆΠΈΠ» ΡΠ΄Π΅Π»Π°Ρ‚ΡŒ ΡΠ΅Ρ€ΠΈΡŽ ΠΏΡƒΠ±Π»ΠΈΠΊΠ°Ρ†ΠΈΠΉ Π½Π° эту Ρ‚Π΅ΠΌΡƒ.

Π’Π΅Π»ΠΈΠΊΠΈΠΉ ΠΈ уТасный PowerShell

Π― писал ΠΎ Π½Π΅ΠΊΠΎΡ‚ΠΎΡ€Ρ‹Ρ… ΠΈΠ· этих ΠΈΠ΄Π΅ΠΉ Ρ€Π°Π½ΡŒΡˆΠ΅ Π² сСрии обфускации PowerShell, Π½ΠΎ большС исходя ΠΈΠ· тСорСтичСского прСдставлСния. ПозТС я наткнулся Π½Π° сайт для Π³ΠΈΠ±Ρ€ΠΈΠ΄Π½ΠΎΠ³ΠΎ Π°Π½Π°Π»ΠΈΠ·Π°, Π³Π΄Π΅ ΠΌΠΎΠΆΠ½ΠΎ Π½Π°ΠΉΡ‚ΠΈ ΠΎΠ±Ρ€Π°Π·Ρ†Ρ‹ ΠΌΠ°Π»Π²Π°Ρ€ΠΈ, Β«ΠΎΡ‚Π»ΠΎΠ²Π»Π΅Π½Π½ΠΎΠΉΒ» Π² Π΄ΠΈΠΊΠΎΠΉ ΠΏΡ€ΠΈΡ€ΠΎΠ΄Π΅. Π― Ρ€Π΅ΡˆΠΈΠ» ΠΏΠΎΠΏΡ€ΠΎΠ±ΠΎΠ²Π°Ρ‚ΡŒ ΠΈΡΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Ρ‚ΡŒ этот сайт для поиска ΠΎΠ±Ρ€Π°Π·Ρ†ΠΎΠ² fileless-врСдоносов. И ΠΌΠ½Π΅ это ΡƒΠ΄Π°Π»ΠΎΡΡŒ. ΠšΡΡ‚Π°Ρ‚ΠΈ, Ссли Π²Ρ‹ Π·Π°Ρ…ΠΎΡ‚ΠΈΡ‚Π΅ ΠΎΡ‚ΠΏΡ€Π°Π²ΠΈΡ‚ΡŒΡΡ Π² свою ΡΠΎΠ±ΡΡ‚Π²Π΅Π½Π½ΡƒΡŽ ΡΠΊΡΠΏΠ΅Π΄ΠΈΡ†ΠΈΡŽ ΠΏΠΎ поиску врСдоносных ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌ, Π²Π°ΠΌ придСтся ΠΏΡ€ΠΎΠΉΡ‚ΠΈ ΠΏΡ€ΠΎΠ²Π΅Ρ€ΠΊΡƒ Π½Π° этом сайтС, Ρ‡Ρ‚ΠΎΠ±Ρ‹ ΠΎΠ½ΠΈ Π·Π½Π°Π»ΠΈ, Ρ‡Ρ‚ΠΎ Π²Ρ‹ Π΄Π΅Π»Π°Π΅Ρ‚Π΅ Ρ€Π°Π±ΠΎΡ‚Ρƒ ΠΊΠ°ΠΊ white hat спСциалист. Как Π±Π»ΠΎΠ³Π΅Ρ€, ΠΊΠΎΡ‚ΠΎΡ€Ρ‹ΠΉ ΠΏΠΈΡˆΠ΅Ρ‚ ΠΎ бСзопасности, я ΠΏΡ€ΠΎΡˆΠ΅Π» Π΅Π΅ Π±Π΅Π· вопросов. Π― ΡƒΠ²Π΅Ρ€Π΅Π½, Π²Ρ‹ Ρ‚ΠΎΠΆΠ΅ смоТСтС.

Помимо самих ΠΎΠ±Ρ€Π°Π·Ρ†ΠΎΠ² Π½Π° сайтС ΠΌΠΎΠΆΠ½ΠΎ ΡƒΠ²ΠΈΠ΄Π΅Ρ‚ΡŒ, Ρ‡Ρ‚ΠΎ ΠΆΠ΅ Π΄Π΅Π»Π°ΡŽΡ‚ эти ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌΡ‹. Π“ΠΈΠ±Ρ€ΠΈΠ΄Π½Ρ‹ΠΉ Π°Π½Π°Π»ΠΈΠ· запускаСт врСдоносноС ПО Π² собствСнной пСсочницС ΠΈ отслСТиваСт систСмныС Π²Ρ‹Π·ΠΎΠ²Ρ‹, Π·Π°ΠΏΡƒΡ‰Π΅Π½Π½Ρ‹Π΅ процСссы ΠΈ дСйствия Π² сСти, Π° Ρ‚Π°ΠΊΠΆΠ΅ ΠΈΠ·Π²Π»Π΅ΠΊΠ°Π΅Ρ‚ ΠΏΠΎΠ΄ΠΎΠ·Ρ€ΠΈΡ‚Π΅Π»ΡŒΠ½Ρ‹Π΅ тСкстовыС строки. Для Π΄Π²ΠΎΠΈΡ‡Π½Ρ‹Ρ… Ρ„Π°ΠΉΠ»ΠΎΠ² ΠΈ Π΄Ρ€ΡƒΠ³ΠΈΡ… исполняСмых Ρ„Π°ΠΉΠ»ΠΎΠ², Ρ‚.Π΅. Ρ‚Π°ΠΌ, Π³Π΄Π΅ Π²Ρ‹ Π΄Π°ΠΆΠ΅ Π½Π΅ ΠΌΠΎΠΆΠ΅Ρ‚Π΅ ΠΏΠΎΡΠΌΠΎΡ‚Ρ€Π΅Ρ‚ΡŒ Π½Π° фактичСский ΠΊΠΎΠ΄ высокого уровня, Π³ΠΈΠ±Ρ€ΠΈΠ΄Π½Ρ‹ΠΉ Π°Π½Π°Π»ΠΈΠ· Ρ€Π΅ΡˆΠ°Π΅Ρ‚, являСтся Π»ΠΈ ПО врСдоносным ΠΈΠ»ΠΈ просто ΠΏΠΎΠ΄ΠΎΠ·Ρ€ΠΈΡ‚Π΅Π»ΡŒΠ½Ρ‹ΠΌ Π½Π° основС Π΅Π³ΠΎ активности Π²ΠΎ врСмя выполнСния. И послС этого ΡƒΠΆΠ΅ оцСниваСтся ΠΎΠ±Ρ€Π°Π·Π΅Ρ†.

Π’ случаС с PowerShell ΠΈ Π΄Ρ€ΡƒΠ³ΠΈΠΌΠΈ ΠΎΠ±Ρ€Π°Π·Ρ†Π°ΠΌΠΈ сцСнариСв (Visual Basic, JavaScript ΠΈ Ρ‚. Π΄.), я смог ΡƒΠ²ΠΈΠ΄Π΅Ρ‚ΡŒ ΠΈ сам ΠΊΠΎΠ΄. НапримСр, я наткнулся Π½Π° Ρ‚Π°ΠΊΠΎΠΉ PowerShell экзСмпляр:

ΠŸΡ€ΠΈΠΊΠ»ΡŽΡ‡Π΅Π½ΠΈΡ Π½Π΅ΡƒΠ»ΠΎΠ²ΠΈΠΌΠΎΠΉ ΠΌΠ°Π»Π²Π°Ρ€ΠΈ, Ρ‡Π°ΡΡ‚ΡŒ I

Π’Ρ‹ Ρ‚Π°ΠΊΠΆΠ΅ ΠΌΠΎΠΆΠ΅Ρ‚Π΅ Π·Π°ΠΏΡƒΡΡ‚ΠΈΡ‚ΡŒ PowerShell Π² ΠΊΠΎΠ΄ΠΈΡ€ΠΎΠ²ΠΊΠ΅ base64, Ρ‡Ρ‚ΠΎΠ±Ρ‹ ΠΈΠ·Π±Π΅ΠΆΠ°Ρ‚ΡŒ обнаруТСния. ΠžΠ±Ρ€Π°Ρ‚ΠΈΡ‚Π΅ Π²Π½ΠΈΠΌΠ°Π½ΠΈΠ΅ Π½Π° использованиС Noninteractive ΠΈ Hidden ΠΏΠ°Ρ€Π°ΠΌΠ΅Ρ‚Ρ€ΠΎΠ².

Если Π²Ρ‹ ΠΏΡ€ΠΎΡ‡ΠΈΡ‚Π°Π»ΠΈ ΠΌΠΎΠΈ записи ΠΏΠΎ обфускации, Ρ‚ΠΎ Π²Ρ‹ Π·Π½Π°Π΅Ρ‚Π΅, Ρ‡Ρ‚ΠΎ ΠΏΠ°Ρ€Π°ΠΌΠ΅Ρ‚Ρ€ -e ΡƒΠΊΠ°Π·Ρ‹Π²Π°Π΅Ρ‚ Π½Π° Ρ‚ΠΎ, Ρ‡Ρ‚ΠΎ содСрТимоС кодируСтся Π² base64. ΠšΡΡ‚Π°Ρ‚ΠΈ, Π³ΠΈΠ±Ρ€ΠΈΠ΄Π½Ρ‹ΠΉ Π°Π½Π°Π»ΠΈΠ· ΠΏΠΎΠΌΠΎΠ³Π°Π΅Ρ‚ Ρ‚Π°ΠΊΠΆΠ΅ ΠΈ с этим, дСкодируя всС ΠΎΠ±Ρ€Π°Ρ‚Π½ΠΎ. Π•cΠ»ΠΈ Π²Ρ‹ Π·Π°Ρ…ΠΎΡ‚ΠΈΡ‚Π΅ ΠΏΠΎΠΏΡ€ΠΎΠ±ΠΎΠ²Π°Ρ‚ΡŒ Π΄Π΅ΠΊΠΎΠ΄ΠΈΡ€ΠΎΠ²Π°Ρ‚ΡŒ base64 PowerShell (Π΄Π°Π»Π΅Π΅ – PS) ΡΠ°ΠΌΠΎΡΡ‚ΠΎΡΡ‚Π΅Π»ΡŒΠ½ΠΎ, Π½ΡƒΠΆΠ½ΠΎ Π²Ρ‹ΠΏΠΎΠ»Π½ΠΈΡ‚ΡŒ эту ΠΊΠΎΠΌΠ°Π½Π΄Ρƒ:

 [System.Text.Encoding]::Unicode.GetString([System.Convert]::FromBase64String($EncodedText))

Π’Π½ΠΈΠΊΠ°ΠΉ Π³Π»ΡƒΠ±ΠΆΠ΅

Π― Π΄Π΅ΠΊΠΎΠ΄ΠΈΡ€ΠΎΠ²Π°Π» наш PS-сцСнарий с ΠΏΠΎΠΌΠΎΡ‰ΡŒΡŽ этого ΠΌΠ΅Ρ‚ΠΎΠ΄Π°, Π½ΠΈΠΆΠ΅ прСдставлСн тСкст ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌΡ‹, ΠΏΡ€Π°Π²Π΄Π° слСгка ΠΌΠ½ΠΎΠΉ ΠΌΠΎΠ΄ΠΈΡ„ΠΈΡ†ΠΈΡ€ΠΎΠ²Π°Π½Π½Ρ‹ΠΉ:

ΠŸΡ€ΠΈΠΊΠ»ΡŽΡ‡Π΅Π½ΠΈΡ Π½Π΅ΡƒΠ»ΠΎΠ²ΠΈΠΌΠΎΠΉ ΠΌΠ°Π»Π²Π°Ρ€ΠΈ, Ρ‡Π°ΡΡ‚ΡŒ I

Π—Π°ΠΌΠ΅Ρ‚ΡŒΡ‚Π΅, Ρ‡Ρ‚ΠΎ скрип Π±Ρ‹Π» привязан ΠΊ Π΄Π°Ρ‚Π΅ 4 сСнтября 2017 ΠΈ ΠΏΠ΅Ρ€Π΅Π΄Π°Π²Π°Π» сСссионныС cookies.

Π― писал ΠΎΠ± этом стилС Π°Ρ‚Π°ΠΊΠΈ Π² сСрии ΠΏΠΎ обфускации PS, Π² ΠΊΠΎΡ‚ΠΎΡ€ΠΎΠΉ ΠΊΠΎΠ΄ΠΈΡ€ΠΎΠ²Π°Π½Π½Ρ‹ΠΉ Π² base64 скрипт сам Π·Π°Π³Ρ€ΡƒΠΆΠ°Π΅Ρ‚ Π½Π΅Π΄ΠΎΡΡ‚Π°ΡŽΡ‰ΠΈΠ΅ врСдоносныС ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌΡ‹ с Π΄Ρ€ΡƒΠ³ΠΎΠ³ΠΎ сайта, задСйствуя ΠΈΠ· Π±ΠΈΠ±Π»ΠΈΠΎΡ‚Π΅ΠΊΠΈ .Net Framework ΠΎΠ±ΡŠΠ΅ΠΊΡ‚ WebClient, Ρ‡Ρ‚ΠΎΠ±Ρ‹ ΡΠ΄Π΅Π»Π°Ρ‚ΡŒ всю Ρ‚ΡΠΆΠ΅Π»ΡƒΡŽ Ρ€Π°Π±ΠΎΡ‚Ρƒ.

Для Ρ‡Π΅Π³ΠΎ это Π½ΡƒΠΆΠ½ΠΎ?

Для ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌΠ½ΠΎΠ³ΠΎ обСспСчСния бСзопасности, ΡΠΊΠ°Π½ΠΈΡ€ΡƒΡŽΡ‰Π΅Π³ΠΎ ΠΆΡƒΡ€Π½Π°Π»Ρ‹ событий Windows ΠΈΠ»ΠΈ Ρ„Π°ΠΉΠ΅Ρ€Π²ΠΎΠ»Π»Π°, ΠΊΠΎΠ΄ΠΈΡ€ΠΎΠ²ΠΊΠ° base64 ΠΏΡ€Π΅Π΄ΠΎΡ‚Π²Ρ€Π°Ρ‰Π°Π΅Ρ‚ ΠΎΠ±Π½Π°Ρ€ΡƒΠΆΠ΅Π½ΠΈΠ΅ строки Β«WebClientΒ» ΠΏΠΎ простому тСкстовому ΡˆΠ°Π±Π»ΠΎΠ½Ρƒ Π² цСлях Π·Π°Ρ‰ΠΈΡ‚Ρ‹ ΠΎΡ‚ выполнСния Ρ‚Π°ΠΊΠΎΠ³ΠΎ Π²Π΅Π±-запроса. И Ρ‚Π°ΠΊ ΠΊΠ°ΠΊ всС Β«Π·Π»ΠΎΒ» врСдоносного ПО Π·Π°Ρ‚Π΅ΠΌ загруТаСтся ΠΈ пСрСдаСтся Π² наш PowerShell, этот ΠΏΠΎΠ΄Ρ…ΠΎΠ΄ Ρ‚Π°ΠΊΠΈΠΌ ΠΎΠ±Ρ€Π°Π·ΠΎΠΌ позволяСт ΠΏΠΎΠ»Π½ΠΎΡΡ‚ΡŒΡŽ ΡƒΠΊΠ»ΠΎΠ½ΡΡ‚ΡŒΡΡ ΠΎΡ‚ обнаруТСния. Π’Π΅Ρ€Π½Π΅Π΅, это я Ρ‚Π°ΠΊ Π΄ΡƒΠΌΠ°Π» сначала.

ΠžΠΊΠ°Π·Ρ‹Π²Π°Π΅Ρ‚ΡΡ, с Π²ΠΊΠ»ΡŽΡ‡Π΅Π½ΠΈΠ΅ΠΌ ΠΏΡ€ΠΎΠ΄Π²ΠΈΠ½ΡƒΡ‚ΠΎΠ³ΠΎ логирования ΠΆΡƒΡ€Π½Π°Π»Π° Windows PowerShell (см. мою ΡΡ‚Π°Ρ‚ΡŒΡŽ ) Π²Ρ‹ смоТСтС ΡƒΠ²ΠΈΠ΄Π΅Ρ‚ΡŒ Π·Π°Π³Ρ€ΡƒΠΆΠ΅Π½Π½ΡƒΡŽ строку Π² ΠΆΡƒΡ€Π½Π°Π»Π΅ событий. Π― (ΠΊΠ°ΠΊ ΠΈ Π΄Ρ€ΡƒΠ³ΠΈΠ΅ ) ΡΡ‡ΠΈΡ‚Π°ΡŽ, Ρ‡Ρ‚ΠΎ Microsoft слСдуСт Π²ΠΊΠ»ΡŽΡ‡ΠΈΡ‚ΡŒ Π΄Π°Π½Π½Ρ‹ΠΉ ΡƒΡ€ΠΎΠ²Π΅Π½ΡŒ вСдСния ΠΆΡƒΡ€Π½Π°Π»Π° ΠΏΠΎ ΡƒΠΌΠΎΠ»Ρ‡Π°Π½ΠΈΡŽ. ΠŸΠΎΡΡ‚ΠΎΠΌΡƒ ΠΏΡ€ΠΈ Π²ΠΊΠ»ΡŽΡ‡Π΅Π½Π½ΠΎΠΌ Ρ€Π°ΡΡˆΠΈΡ€Π΅Π½Π½ΠΎΠΌ Π»ΠΎΠ³ΠΈΡ€ΠΎΠ²Π°Π½ΠΈΠΈ ΠΌΡ‹ ΡƒΠ²ΠΈΠ΄ΠΈΠΌ Π² ΠΆΡƒΡ€Π½Π°Π»Π΅ событий Windows Π²Ρ‹ΠΏΠΎΠ»Π½Π΅Π½Π½Ρ‹ΠΉ запрос Π·Π°Π³Ρ€ΡƒΠ·ΠΊΠΈ ΠΈΠ· PS скрипта ΠΏΠΎ ΠΏΡ€ΠΈΠΌΠ΅Ρ€Ρƒ, ΠΊΠΎΡ‚ΠΎΡ€Ρ‹ΠΉ ΠΌΡ‹ Ρ€Π°Π·ΠΎΠ±Ρ€Π°Π»ΠΈ Π²Ρ‹ΡˆΠ΅. ΠŸΠΎΡΡ‚ΠΎΠΌΡƒ ΠΈΠΌΠ΅Π΅Ρ‚ смысл Π΅Π³ΠΎ Π°ΠΊΡ‚ΠΈΠ²ΠΈΡ€ΠΎΠ²Π°Ρ‚ΡŒ, согласны?

Π”ΠΎΠ±Π°Π²ΠΈΠΌ Π΄ΠΎΠΏΠΎΠ»Π½ΠΈΡ‚Π΅Π»ΡŒΠ½Ρ‹Π΅ сцСнарии

Π₯Π°ΠΊΠ΅Ρ€Ρ‹ Π»ΠΎΠ²ΠΊΠΎ ΡΠΊΡ€Ρ‹Π²Π°ΡŽΡ‚ Π°Ρ‚Π°ΠΊΡƒ PowerShell Π² макросах Microsoft Office, написанных Π½Π° Visual Basic ΠΈ Π½Π° Π΄Ρ€ΡƒΠ³ΠΈΡ… скриптовых языках. ИдСя Π·Π°ΠΊΠ»ΡŽΡ‡Π°Π΅Ρ‚ΡΡ Π² Ρ‚ΠΎΠΌ, Ρ‡Ρ‚ΠΎ ΠΆΠ΅Ρ€Ρ‚Π²Π° ΠΏΠΎΠ»ΡƒΡ‡Π°Π΅Ρ‚ сообщСниС, Π½Π°ΠΏΡ€ΠΈΠΌΠ΅Ρ€, ΠΎΡ‚ слуТбы доставки, с Π²Π»ΠΎΠΆΠ΅Π½Π½Ρ‹ΠΌ ΠΎΡ‚Ρ‡Π΅Ρ‚ΠΎΠΌ Π² Ρ„ΠΎΡ€ΠΌΠ°Ρ‚Π΅ .doc. Π’Ρ‹ ΠΎΡ‚ΠΊΡ€Ρ‹Π²Π°Π΅Ρ‚Π΅ этот Π΄ΠΎΠΊΡƒΠΌΠ΅Π½Ρ‚, ΠΊΠΎΡ‚ΠΎΡ€Ρ‹ΠΉ содСрТит макрос, ΠΈ Π² ΠΊΠΎΠ½Π΅Ρ‡Π½ΠΎΠΌ ΠΈΡ‚ΠΎΠ³Π΅ ΠΎΠ½ сам запускаСт врСдоносный PowerShell.

Часто сам сцСнарий Visual Basic обфусцируСтся Ρ‚Π°ΠΊ, Ρ‡Ρ‚ΠΎ ΠΎΠ½ свободно уклоняСтся ΠΎΡ‚ антивирусов ΠΈ Π΄Ρ€ΡƒΠ³ΠΈΡ… сканСров врСдоносных ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌ. Π’ Π΄ΡƒΡ…Π΅ ΡƒΠΆΠ΅ ΠΈΠ·Π»ΠΎΠΆΠ΅Π½Π½ΠΎΠ³ΠΎ, я Ρ€Π΅ΡˆΠΈΠ» Π² качСствС упраТнСния Π·Π°ΠΊΠΎΠ΄ΠΈΡ€ΠΎΠ²Π°Ρ‚ΡŒ ΠΏΡ€ΠΈΠ²Π΅Π΄Π΅Π½Π½Ρ‹ΠΉ Π²Ρ‹ΡˆΠ΅ PowerShell Π² JavaScript. НиТС Ρ€Π΅Π·ΡƒΠ»ΡŒΡ‚Π°Ρ‚Ρ‹ ΠΌΠΎΠ΅ΠΉ Ρ€Π°Π±ΠΎΡ‚Ρ‹:

ΠŸΡ€ΠΈΠΊΠ»ΡŽΡ‡Π΅Π½ΠΈΡ Π½Π΅ΡƒΠ»ΠΎΠ²ΠΈΠΌΠΎΠΉ ΠΌΠ°Π»Π²Π°Ρ€ΠΈ, Ρ‡Π°ΡΡ‚ΡŒ I

ΠžΠ±Ρ„ΡƒΡΡ†ΠΈΡ€ΠΎΠ²Π°Π½Π½Ρ‹ΠΉ JavaScript, прячущий наш PowerShell. Π Π΅Π°Π»ΡŒΠ½Ρ‹Π΅ Ρ…Π°ΠΊΠ΅Ρ€Ρ‹ Π΄Π΅Π»Π°ΡŽΡ‚ это Π½Π° Ρ€Π°Π·-Π΄Π²Π°.

Π­Ρ‚ΠΎ Π΅Ρ‰Π΅ ΠΎΠ΄Π½Π° ΠΈΠ· Ρ‚Π΅Ρ…Π½ΠΈΠΊ, ΠΊΠΎΡ‚ΠΎΡ€ΡƒΡŽ я встрСтил Π½Π° просторах сСти: использованиС ΠΎΠ±ΠΎΠ»ΠΎΡ‡ΠΊΠΈ Wscript.Shell для запуска ΠΊΠΎΠ΄ΠΈΡ€ΠΎΠ²Π°Π½Π½ΠΎΠ³ΠΎ PowerShell. ΠšΡΡ‚Π°Ρ‚ΠΈ, JavaScript сам ΠΏΠΎ сСбС являСтся срСдством доставки врСдоносных ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌ. МногиС вСрсии Windows ΠΈΠΌΠ΅ΡŽΡ‚ встроСнный Windows Script Host, ΠΊΠΎΡ‚ΠΎΡ€Ρ‹ΠΉ сам ΡƒΠΌΠ΅Π΅Ρ‚ Π·Π°ΠΏΡƒΡΠΊΠ°Ρ‚ΡŒ JS.
Π’ нашСм случаС, врСдоносный скрипт JS Π²Π»ΠΎΠΆΠ΅Π½ ΠΊΠ°ΠΊ Ρ„Π°ΠΉΠ» c .doc.js Ρ€Π°ΡΡˆΠΈΡ€Π΅Π½ΠΈΠ΅ΠΌ. Windows, ΠΊΠ°ΠΊ ΠΏΡ€Π°Π²ΠΈΠ»ΠΎ, ΠΏΠΎΠΊΠ°Π·Ρ‹Π²Π°Π΅Ρ‚ Ρ‚ΠΎΠ»ΡŒΠΊΠΎ ΠΏΠ΅Ρ€Π²Ρ‹ΠΉ суффикс, поэтому ΠΎΠ½ Π±ΡƒΠ΄Π΅Ρ‚ ΠΎΡ‚ΠΎΠ±Ρ€Π°ΠΆΠ°Ρ‚ΡŒΡΡ ΠΆΠ΅Ρ€Ρ‚Π²Π΅ ΠΊΠ°ΠΊ Π΄ΠΎΠΊΡƒΠΌΠ΅Π½Ρ‚ Word.

ΠŸΡ€ΠΈΠΊΠ»ΡŽΡ‡Π΅Π½ΠΈΡ Π½Π΅ΡƒΠ»ΠΎΠ²ΠΈΠΌΠΎΠΉ ΠΌΠ°Π»Π²Π°Ρ€ΠΈ, Ρ‡Π°ΡΡ‚ΡŒ I

Π—Π½Π°Ρ‡ΠΎΠΊ JS отобраТаСтся Ρ‚ΠΎΠ»ΡŒΠΊΠΎ Π² ΠΈΠΊΠΎΠ½ΠΊΠ΅ Π² Π²ΠΈΠ΄Π΅ свитка. ΠΠ΅ΡƒΠ΄ΠΈΠ²ΠΈΡ‚Π΅Π»ΡŒΠ½ΠΎ, Ρ‡Ρ‚ΠΎ ΠΌΠ½ΠΎΠ³ΠΈΠ΅ люди Π±ΡƒΠ΄ΡƒΡ‚ ΠΎΡ‚ΠΊΡ€Ρ‹Π²Π°Ρ‚ΡŒ это Π²Π»ΠΎΠΆΠ΅Π½ΠΈΠ΅, думая, Ρ‡Ρ‚ΠΎ это Word-Π΄ΠΎΠΊΡƒΠΌΠ΅Π½Ρ‚.

Π’ ΠΌΠΎΠ΅ΠΌ ΠΏΡ€ΠΈΠΌΠ΅Ρ€Π΅ я ΠΈΠ·ΠΌΠ΅Π½ΠΈΠ» ΠΏΡ€ΠΈΠ²Π΅Π΄Π΅Π½Π½Ρ‹ΠΉ Π²Ρ‹ΡˆΠ΅ PowerShell, Ρ‡Ρ‚ΠΎΠ±Ρ‹ Π·Π°Π³Ρ€ΡƒΠ·ΠΈΡ‚ΡŒ сцСнарий с ΠΌΠΎΠ΅Π³ΠΎ Π²Π΅Π±-сайта. Π£Π΄Π°Π»Π΅Π½Π½Ρ‹ΠΉ сцСнарий PS просто ΠΏΠ΅Ρ‡Π°Ρ‚Π°Π΅Ρ‚ Β«Evil MalwareΒ». Как Π²ΠΈΠ΄ΠΈΡ‚Π΅, ΠΎΠ½ совсСм Π½Π΅ Π·Π»ΠΎΠΉ. ΠšΠΎΠ½Π΅Ρ‡Π½ΠΎ, Ρ€Π΅Π°Π»ΡŒΠ½Ρ‹Π΅ Ρ…Π°ΠΊΠ΅Ρ€Ρ‹ заинтСрСсованы Π² ΠΏΠΎΠ»ΡƒΡ‡Π΅Π½ΠΈΠΈ доступа ΠΊ Π½ΠΎΡƒΡ‚Π±ΡƒΠΊΡƒ ΠΈΠ»ΠΈ сСрвСру, скаТСм, Ρ‡Π΅Ρ€Π΅Π· ΠΊΠΎΠΌΠ°Π½Π΄ΡƒΡŽ ΠΎΠ±ΠΎΠ»ΠΎΡ‡ΠΊΡƒ. Π’ ΡΠ»Π΅Π΄ΡƒΡŽΡ‰Π΅ΠΉ ΡΡ‚Π°Ρ‚ΡŒΠ΅ я ΠΏΠΎΠΊΠ°ΠΆΡƒ, ΠΊΠ°ΠΊ это ΡΠ΄Π΅Π»Π°Ρ‚ΡŒ, ΠΈΡΠΏΠΎΠ»ΡŒΠ·ΡƒΡ PowerShell Empire.

НадСюсь, Ρ‡Ρ‚ΠΎ для ΠΏΠ΅Ρ€Π²ΠΎΠΉ ΠΎΠ·Π½Π°ΠΊΠΎΠΌΠΈΡ‚Π΅Π»ΡŒΠ½ΠΎΠΉ ΡΡ‚Π°Ρ‚ΡŒΠΈ ΠΌΡ‹ Π½Π΅ слишком Π³Π»ΡƒΠ±ΠΎΠΊΠΎ ΠΏΠΎΠ³Ρ€ΡƒΠ·ΠΈΠ»ΠΈΡΡŒ Π² Ρ‚Π΅ΠΌΡƒ. Π’Π΅ΠΏΠ΅Ρ€ΡŒ я позволю Π²Π°ΠΌ пСрСвСсти Π΄ΡƒΡ…, ΠΈ Π² ΡΠ»Π΅Π΄ΡƒΡŽΡ‰ΠΈΠΉ Ρ€Π°Π· ΠΌΡ‹ Π½Π°Ρ‡Π½Π΅ΠΌ Ρ€Π°Π·Π±ΠΈΡ€Π°Ρ‚ΡŒ Ρ€Π΅Π°Π»ΡŒΠ½Ρ‹Π΅ ΠΏΡ€ΠΈΠΌΠ΅Ρ€Ρ‹ Π°Ρ‚Π°ΠΊ с использованиСм fileless-ΠΌΠ°Π»Π²Π°Ρ€ΠΈ Π±Π΅Π· Π»ΠΈΡˆΠ½ΠΈΡ… Π²Π²ΠΎΠ΄Π½Ρ‹Ρ… слов ΠΈ ΠΏΠΎΠ΄Π³ΠΎΡ‚ΠΎΠ²ΠΊΠΈ.

Π˜ΡΡ‚ΠΎΡ‡Π½ΠΈΠΊ: habr.com