Эксперт по кибербезопасности выявил четыре новые техники злоупотребления ярлыками Windows (.LNK). Исследователь Вьетце Бойкема продемонстрировал, как подделать назначение ярлыка, скрыть аргументы командной строки и запустить вредоносные программы под видом безобидных. — csoonline.com Способы злоупотребления ярлыками Windows (.LNK) продолжают множиться: специалист по кибербезопасности задокументировал четыре новые техники, позволяющие обманом заставить пользователей Windows выполнять вредоносные действия через безобидные на вид ярлыки...

В кампании, связанной с Kimsuky, для заражения применялся вредоносный файл LNK, замаскированный под корейский финансовый документ. Атака сочетала загрузку файлов из публичных репозиториев, использование системных утилит и распределение команд, отчетности, эксфильтрации данных и удаленного доступа по различным легитимным сервисам. Ярлык запускал conhost.exe в минимизированном окне. Иконка и метаданные файла имитировали документ. После запуска ярлык декодировал содержимое в формате Base64, создавал скрипты и загружал файлы последующих стадий из публичных репозиториев с помощью легитимных системных утилит...