Карантин! Инфицируем .NET-сборки как настоящий APT
Привет, Хабр! Меня зовут Миша, я работаю ведущим экспертом по тестированию на проникновение в команде CICADA8 Центра инноваций МТС Future Crew. Недавно я занимался исследованием ранее неизвестных и просто любопытных способов закрепления в системах Windows. Я обратил внимание на одну особенность — в Windows очень много .NET-сборок. Как атакующие могут использовать их в своих целях против вас? Давайте разбираться.
Я сделал небольшой экскурс в прекрасный мир C#. Вы увидите, как злоумышленники прямо инфицируют сборки, принудительно добавляют в них импорты, внедряются с помощью AppDomain Manager, делают бэкдор через .NET-компилятор и Module Initializer.
Attention! Я рассказываю это все не для того, чтобы вы пошли взламывать чужие системы, а даю возможность увидеть, где и как злоумышленники могут закрепиться. Понимание принципов атаки позволяет быстро находить ее источник и реагировать на угрозу. Предупрежден — значит вооружен.
Читать далееИсточник: Хабрахабр
Похожие новости
- Редакция Spark.ru: Всемирная история торговли в стиле Сатирикона: часть 14. «Русская Аляска»
- Под другим углом: 3 сентября в Москве состоится Hybrid Conf'25
- Spark_news: В России готовится к выходу серия конструкторов, созданных по мотивам популярного мультфильма «Смешарики»
- Appbooster: «В ASO нет точных формул»: можно ли заранее просчитать результат оптимизации?
- SIEM. Часть 2. Технический разбор KUMA, Радар, UserGate и других
- Как правильно обезличить ПДн
- Как мы делаем SOC as a service: привлекаем большие данные и собственный SIEM на помощь клиентам
- Хроники целевых атак в 1 полугодии 2025: аналитика, факты и рекомендации
- Августовский «В тренде VM»: уязвимости в Microsoft Windows и SharePoint
- Пентест на автопилоте: что доверить роботам, а что — нет?