1
• Еще один хороший отчет от экспертов компании Сyfirma. На этот раз был продемонстрирован новый способ заражения устройств на ОС Windows. Речь идет о новом классе атак - RenderShock. В отличие от традиционных схем заражения, RenderShock не требует от пользователя открытия файла, перехода по ссылке или запуска вложения. Активация вредоносного кода происходит пассивно, когда операционная система или служебные компоненты просто обрабатывают файл в фоновом режиме.
• Вектор атаки основан на использовании стандартных функций Windows, таких как панели предпросмотра, службы индексирования, антивирусные сканеры и облачные синхронизаторы. Это именно те инструменты, которые обеспечивают удобство работы с файлами: быстрый поиск, предварительный просмотр, автоматическое сканирование и отображение метаданных.
• Суть RenderShock заключается в следующем: злоумышленник подготавливает файл с внедрённым вредоносным кодом — это может быть PDF-документ с внешней ссылкой, Word-файл с макросом, LNK-ярлык или специально созданный многоформатный объект. Затем файл размещается в ZIP-архиве или другом носителе. Как только он попадает в поле обработки системы — например, при наведении курсора в проводнике, сканировании антивирусом или индексации системой поиска — запускается выполнение вредоносной логики.
• Сценарий RenderShock включает пять фаз — от доставки файла до активации удалённого кода. Среди возможных последствий:
➡Незаметный сбор системной информации через DNS-запросы;
➡Утечка учётных данных через механизмы SMB-аутентификации (включая NTLM-хеши);
➡Удалённое выполнение кода с использованием встроенных функций предпросмотра или системных ярлыков;
➡Передача конфиденциальных данных на внешние ресурсы без уведомления пользователя.
➡Пример, приведённый экспертами: файл с расширением .LNK, помещённый в ZIP-архив, может инициировать обращение Windows Explorer к внешнему серверу за иконкой, что уже приводит к передаче авторизационных данных, даже если пользователь не открыл файл.
• Особая опасность заключается в том, что RenderShock задействует легитимные системные процессы — explorer.exe, searchindexer.exe, preview-handlers Office — которые не вызывают подозрений у антивирусных решений. Такие процессы часто входят в белые списки и считаются безопасными, что позволяет вредоносной активности оставаться незамеченной.
➡️ https://www.cyfirma.com/research/rendershock
#Отчет #Новости