Специалисты по кибербезопасности зафиксировали новую многоступенчатую атаку, в которой злоумышленники используют malicious LNK files, замаскированные под безобидные документы резюме. Такие файлы нередко получают названия, имитирующие реальные отклики на вакансии: с упоминанием компаний, должностей и формально «деловых» именований. При открытии они демонстрируют пользователю правдоподобный документ, одновременно запуская вредоносную цепочку в фоновом режиме. После взаимодействия с LNK-файлом в системе начинают создаваться дополнительные компоненты — пакетные файлы .bat, скрипты PowerShell (.ps1) и файлы VBScript (...

В кампании, связанной с Kimsuky, для заражения применялся вредоносный файл LNK, замаскированный под корейский финансовый документ. Атака сочетала загрузку файлов из публичных репозиториев, использование системных утилит и распределение команд, отчетности, эксфильтрации данных и удаленного доступа по различным легитимным сервисам. Ярлык запускал conhost.exe в минимизированном окне. Иконка и метаданные файла имитировали документ. После запуска ярлык декодировал содержимое в формате Base64, создавал скрипты и загружал файлы последующих стадий из публичных репозиториев с помощью легитимных системных утилит...