Внутренний поиск видео оказался потенциальным инструментом для заражения компьютеров троянами

Исследователи безопасности из компании Trellix обнаружили новый способ атаки на ОС семейства Windows, использующий внутренний поиск системы для загрузки вредоносных пейлоадов — полезной нагрузки — с удалённых серверов. Этот «груз» позволяет устанавливать трояны AsyncRAT, Remcos RAT и подобыне.

Атака основана на обработчике протокола URI «search-ms», который позволяет злоумышленникам манипулировать поиском в Windows. Обработчик позволяет приложениям и HTML-ссылкам запускать кастомный поиск, для чего испоьзуется протокол «search:», который отвечает за вызов поиска на рабочем столе Windows.

Благдаря уязвимсоти хакеры могут создавать вредоносные электронные письма с встроенными гиперссылками или HTML-вложениями. При переходе по таким ссылкам пользователи попадают на вредоносный сайт с уже работающим JavaScript, инициирующим поиск на сервере злоумышленников.

«Представим: атакующие направляют пользователей на определённые веб-сайты, которые эксплуатируют "search-ms" с помощью JavaScript. Эту технику даже можно переложить на вложения в формате HTML, что ещё больше расширяет поверхность атаки», — рассказали исследователи безопасности Матханрадж Тангараджу и Сиджо Джейкоб.