T1027.006 - HTML Smuggling

Примеры обнаружения с помощью продуктов "Кода Безопасности":
Континент 4

Техники:  T1027 , T1027.001 , T1027.002 , T1027.003 , T1027.004 , T1027.005 , T1027.006 , T1027.007 , T1027.008 , T1027.009 , T1027.010 , T1027.011 , T1027.012 , T1027.013 , T1027.014

Злоумышленники могут проносить данные и файлы мимо контент-фильтров, пряча вредоносную полезную нагрузку внутри, казалось бы, доброкачественных HTML-файлов. В HTML-документах могут храниться большие двоичные объекты, известные как JavaScript Blobs (неизменяемые данные, представляющие собой необработанные байты), которые впоследствии могут быть сконструированы в файлоподобные объекты. Данные также могут храниться в URL Data, которые позволяют встраивать медиатипы или MIME-файлы в HTML-документы.HTML5 также появился атрибут загрузки, который может использоваться для инициирования загрузки файлов.(Цитата: HTML Smuggling Menlo Security 2020)(Цитата: Outlflank HTML Smuggling 2018)

Злоумышленники могут доставлять полезную нагрузку жертвам, которые обходят средства контроля безопасности, с помощью HTML Smuggling, используя JavaScript Blobs и/или атрибуты загрузки HTML5. Средства контроля безопасности, такие как фильтры веб-контента, могут не выявить контрабандные вредоносные файлы внутри HTML/JS-файлов, поскольку содержимое может быть основано на обычно безопасных MIME-типах, таких как text/plain и/или text/html. Вредоносные файлы или данные могут быть обфусцированы и скрыты внутри HTML-файлов с помощью URL-адресов данных и/или JavaScript Blobs и могут быть деобфусцированы, когда они достигают жертвы (т. е. Deobfuscate/Decode Files or Information), потенциально обходя контент-фильтры.

Например, JavaScript-блоки могут использоваться для динамического создания вредоносных файлов на машине жертвы и могут быть сброшены на диск с помощью таких функций JavaScript, как msSaveBlob.(Цитата: HTML Smuggling Menlo Security 2020)(Цитата: MSTIC NOBELIUM May 2021)(Цитата: Outlflank HTML Smuggling 2018)(Цитата: nccgroup Smuggling HTA 2017)

https://attack.mitre.org/techniques/T1027/006

← Назад

Визуализация смежных техник для T1027.006