Мне в руки попался обычный файл с расширением .vbs. Ничего необычного. Открываю посмотреть, что там внутри, и сначала даже немного разочаровался. Какой-то VBScript, временные файлы, cmd.exe, PowerShell. Ну, думаю, очередной скрипт-загрузчик. Но потом заметил одну деталь. Скрипт читал сам себя. И вот тут стало уже интереснее.
Мне в руки попался файл с расширением .sh и, конечно же, его пришлось изучить. Открываю файл — первая половина более-менее читаемая, а дальше начинается классика: Base64, ROT13 и еще немного Base64. Вроде ничего страшного. Декодируем, смотрим результат, радуемся жизни. Но не тут-то было. Автор скрипта решил сделать небольшой квест в стиле: А что если положить один скрипт внутрь другого скрипта, а потом еще один внутрь него?
Наверное, многие уже видели или хотя бы слышали про цепочки атак, где пользователю показывают красивую фейковую Cloudflare CAPTCHA, а дальше предлагают выполнить несколько действий «для проверки».
Схема далеко не новая. Более того, я вообще не удивлюсь, если кто-то скажет: «Да мы это уже видели». И будет прав. Но, как обычно, старые идеи периодически достают из шкафа, немного перекрашивают и снова пускают в ход.
Вся эта история опять упирается в одну простую вещь — внимательность пользователя. Если человек сам выполнит то, что ему подсунули, дальше защита компьютера уже может не сильно помочь.
Недавно я наткнулся на довольно интересный случай. На первый взгляд — обычное VPN-расширение для браузера: список стран, кнопка подключения, бесплатный сервер, платные серверы и подписка. Но мне стало интересно, что именно происходит после нажатия кнопки Connect. Я решил не ограничиваться интерфейсом и полез непосредственно в код расширения. И вот там уже стало интереснее.
При анализе очередной цепочки PowerShell мне попался файл vcapcha.ps1. Само имя ничего особо интересного не говорит, поэтому сначала я посмотрел, что происходит непосредственно при запуске. Внутри оказался не какой-то сложный загрузчик с обфускацией, а достаточно прямолинейная цепочка: скрипт сообщает удалённому серверу о своём запуске, минимизирует окно PowerShell, скачивает следующий .ps1, сохраняет его во временный каталог и запускает. Дальше цепочка становится интереснее.
Недавно мне попался файл svchost.pyc. Сначала название не вызвало особого интереса — мало ли файлов с похожими именами встречается в системе. Но при ближайшем рассмотрении стало понятно, что к обычному svchost.exe этот файл отношения не имеет.
Передо мной оказался скомпилированный Python-код, внутри которого было довольно много интересного: работа с реестром, COM Hijacking, изменение настроек Windows Defender, отключение AMSI и ETW, внедрение кода в другие процессы и даже попытка сделать собственный процесс критическим для системы. В общем, обычным Python-скриптом это уже не выглядело.
Я решил разобрать файл подробнее и посмотреть, что именно он делает после запуска и зачем ему понадобилось столько способов закрепиться в системе.
Большинство современных вредоносных рассылок уже давно не используют классические макросы Microsoft Office. Вместо этого злоумышленники строят многоступенчатые цепочки заражения, где каждый компонент выполняет только одну небольшую задачу: первоначальный документ лишь инициирует загрузку следующего этапа, тот скачивает новый компонент, который в свою очередь запускает основной вредоносный модуль.
В ходе анализа одного из подобных образцов была исследована полная цепочка заражения — от письма с вложением Excel до запуска LuaJIT-загрузчика и последующего инфостилера. Интересной особенностью является использование файлов с нестандартными расширениями (.PIF и .TTF), которые на самом деле не являются ни ярлыком, ни шрифтом.
Давайте рассмотрим каждый этап работы вредоносной цепочки.
Недавно наткнулся на расширение Page Locker в Chrome Web Store. По описанию — всё безобидно: блокировка страниц, размытие контента, защита по PIN/таймеру. Типичный productivity/security тул.
Но при разборе кода оказалось, что внутри есть поведение, которое с заявленным функционалом вообще не связано.
Разберёмся.
Это разбор браузерного расширения Greenwich, которое заявлено как инструмент для обмена связанными ссылками между пользователями. На практике его техническая реализация вызывает вопросы с точки зрения приватности и безопасности.
В статье мы кратко и по делу рассмотрим, какие разрешения запрашивает расширение, какие данные оно обрабатывает и какие риски это может создавать для обычных пользователей и корпоративной среды.
В ходе анализа стало понятно, что расширение «vksaver - music saver vk», которое заявлено как обычный инструмент для скачивания музыки из ВКонтакте, на деле работает значительно глубже и агрессивнее, чем может показаться сначала. Оно не ограничивается функцией загрузки аудио, а вмешивается во внутренние механизмы VK, включая работу с HLS-потоками и Webpack-модулями, изменяет структуру страницы через манипуляции с DOM, перехватывает контекст, внедряет стороннюю рекламу (в том числе через YaDirect), а также способно автоматически публиковать записи от имени пользователя. Кроме того, расширение предпринимает попытки обхода защиты audio_api_unavailable. Всё это указывает на то, что его поведение выходит далеко за рамки заявленного функционала и может представлять потенциальные риски для безопасности и конфиденциальности пользователя.
Urban VPN Proxy — популярное браузерное расширение, позиционируемое как бесплатный VPN-сервис без логирования. Однако анализ JavaScript-кода, выполняемого расширением непосредственно в контексте страниц пользователя, показывает, что реальная функциональность продукта значительно шире и не ограничивается сетевым проксированием.
Push-уведомления сами по себе — полезный инструмент для легальной коммуникации с пользователями: новости, события, обновления сервисов.
Однако существуют вредоносные SDK, которые используют Push API для скрытого спама, трекинга и монетизации через сторонние рекламные серверы. Они используют легальные браузерные API, но наносят серьёзный вред пользователю и репутации сайтов.
В этой статье разберём реальный вредоносный скрипт https://kidecyg.com/13850.js, покажем как он работает, зачем каждый элемент кода нужен и как его выявить.
В данной статье разбирается JavaScript‑файл, предназначенный для выполнения в Windows Script Host (WSH). Представленный код является вредоносным фреймворком, маскирующимся под вспомогательную библиотеку.
В этой статье — разбор примитивного, но показательного USB-червя, полностью реализованного на VBScript. Несмотря на простоту языка, код демонстрирует полный набор классических техник: закрепление в системе, маскировку, контроль процессов и автоматическое заражение флешек.
Современные вредоносные расширения для браузеров всё реже выглядят как откровенно опасный код. Вместо эксплуатации уязвимостей они маскируются под легитимные AI‑инструменты, «умные чаты» и помощники для повышения продуктивности. Используя стандартные API Chrome, такие расширения получают доступ к пользовательской активности и незаметно собирают телеметрию.
В этой статье разбирается Chrome‑расширение, позиционируемое как AI‑чат, но фактически реализующее механизм скрытого мониторинга активности пользователя с последующей передачей данных на удалённый сервер.
Расширения браузера давно перестали быть просто вспомогательными инструментами. Благодаря широким правам и постоянному фоновому выполнению они стали удобной средой для скрытой реализации сложной логики, в том числе вредоносной. Под видом полезных утилит такие расширения могут получать удалённое управление, динамически изменять своё поведение и выполнять код, не представленный при установке. Ниже приведён разбор одного из подобных случаев.
За последние годы ландшафт вредоносного ПО заметно изменился. Всё реже атакующие пишут «классические» трояны с самописными протоколами и агрессивной обфускацией. Всё чаще они используют легитимные инструменты, написанные на современных языках и предназначенные для DevOps-задач, удалённого администрирования и проброса портов.
Один из таких примеров — бинарник open.exe, написанный на Go и формально являющийся клиентом сервиса Openport. В рамках расследования инцидента этот файл был обнаружен в роли постоянного агента удалённого доступа, что делает его типичным представителем класса dual-use malware.
В статье — подробный технический разбор бинарника, его архитектуры, сетевого взаимодействия и причин, по которым подобные инструменты становятся всё более популярными у злоумышленников.