Один файл, два расширения, ноль доверия
Один файл, два расширения, ноль доверия Файл, который одновременно является и картинкой, и архивом, и документом, и исполняемым кодом — звучит как странный подход, но на практике это вполне себе рабочий инструмент для обхода почти любой защиты. «Лаборатория Касперского» разобрала технику polyglot-файлов, которая в последние годы встречается во все большем числе кибератак, от массовых фишинговых рассылок до точечных шпионских кампаний. Суть в том, что злоумышленник конструирует файл так, чтобы разные программы интерпретировали его по-разному. Сменили расширение — и вот уже PNG превратился в ZIP. Виноваты структурные особенности форматов. ZIP-архив, например, можно читать с конца — все нужные заголовки сидят в хвосте файла. Это позволяет просто склеить два файла: начало будет валидной картинкой, конец — валидным архивом. Современные офисные документы (DOCX, XLSX, PPTX), APK и JAR внутри вообще являются ZIP-архивами с переименованным расширением. А некоторые форматы настолько лояльны к структуре, что приложение найдет нужный фрагмент где угодно, даже если он не в начале или в конце. Под классификацией MITRE это проходит как T1036.008 — Masquerade File Type. Примеров из реальных атак масса. Группа Head Mare доставляла PhantomPyramid в виде ZIP-вложения. Внутри был EXE-файл с приклеенным ZIP-архивом, а жертва запускала его через ярлык с двойным расширением PDF.LNK. В кампаниях со StrRAT и Ratty использовали полиглот из подписанного MSI-пакета с вредоносным JAR-кодом на конце — один файл, который Windows видит как инсталлятор, а Java — как архив. StrelaStealer шел в виде HTML-файла, внутри которого сидела DLL: ярлык в архиве запускал файл дважды — один раз как HTML в браузере, второй как DLL через rundll32. А IcedID вообще упаковали в матрешку из ZIP → ISO → CHM, где CHM-файл был собран так, что стандартная справка Windows видела документ, а mshta — исполняемый скрипт. Самое забавное, как с этим борются средства защиты. Большинство решений не доверяют расширению, а смотрят на начало файла. И если файл начинается с безобидной картинки или PDF, глубокий анализ часто не применяется. Злоумышленники этим пользуются и инструктируют жертву переименовать файл, но система ведет себя уже не как с картинкой, а как с тем, что скрыто внутри. В прошлом году Proofpoint зафиксировала кампанию UNK_CraftyCamel против авиационной и спутниковой отрасли ОАЭ. Там использовали два PDF-полиглота: один с HTA-скриптом, второй со скрытым ZIP-архивом, который в итоге ставил бэкдор Sosano (все так, не мы придумали). Защита, как ни странно, не требует сложных технологий. Закрытые списки разрешенных приложений, продвинутые почтовые фильтры с CDR (технологией пересборки вложений) и детонацией в изолированной среде. EDR стоит настраивать на глубокий анализ подозрительных файлов — всех архивов, офисных документов и файлов с нестандартными расширениями. И да, стоит объяснить сотрудникам, что если их просят переименовать файл или открыть его в конкретной программе — это повод насторожиться.Один файл, два расширения, ноль доверия Файл, который одновременно является и картинкой, и архивом, и документом, и исполняемым кодом — звучит как странный подход, но на практике это вполне себе рабочий инструмент для обхода почти любой защиты. «Лаборатория Касперского» разобрала технику polyglot-файлов, которая в последние годы встречается во все большем числе кибератак, от массовых фишинговых рассылок до точечных шпионских кампаний. Суть в том, что злоумышленник конструирует файл так, чтобы разные программы интерпретировали его по-разному. Сменили расширение — и вот уже PNG превратился в ZIP.