Карантин! Инфицируем .NET-сборки как настоящий APT

Дата публікації:
01/08/2024 09:00

Постійна адреса новини:
http://www.vsinovyny.com/11178484

Карантин! Инфицируем .NET-сборки как настоящий APT

01/08/2024 09:00 // Хабрахабр:

Привет, Хабр! Меня зовут Миша, я работаю ведущим экспертом по тестированию на проникновение в команде CICADA8 Центра инноваций МТС Future Crew. Недавно я занимался исследованием ранее неизвестных и просто любопытных способов закрепления в системах Windows. Я обратил внимание на одну особенность — в Windows очень много .NET-сборок. Как атакующие могут использовать их в своих целях против вас? Давайте разбираться.

Я сделал небольшой экскурс в прекрасный мир C#. Вы увидите, как злоумышленники прямо инфицируют сборки, принудительно добавляют в них импорты, внедряются с помощью AppDomain Manager, делают бэкдор через .NET-компилятор и Module Initializer.

Attention! Я рассказываю это все не для того, чтобы вы пошли взламывать чужие системы, а даю возможность увидеть, где и как злоумышленники могут закрепиться. Понимание принципов атаки позволяет быстро находить ее источник и реагировать на угрозу. Предупрежден — значит вооружен.

» Читати повністю

«	Наступна новина з архіву Женская сборная Канады вышла в плей-офф ОИ, несмотря на снятие шести очков	Попередня новина з архіву Программисту легко оторваться от реальной бизнес-задачи	»