T1036.007 - Двойное расширение файла

Техники:  T1036 , T1036.001 , T1036.002 , T1036.003 , T1036.004 , T1036.005 , T1036.006 , T1036.007 , T1036.008 , T1036.009 , T1036.010

Злоумышленники могут использовать двойное расширение в имени файла как средство маскировки истинного типа файла. Имя файла может включать вторичное расширение типа файла, которое может привести к отображению только первого расширения (например: File.txt.exe может отображаться в некоторых представлениях как File.txt). Однако второе расширение - это истинный тип файла, определяющий способ его открытия и выполнения.Настоящее расширение файла может быть скрыто операционной системой в браузере файлов (например, explorer.exe), а также в любом программном обеспечении, настроенном с использованием политик системы или аналогичных им.(Цитата: PCMag DoubleExtension)(Цитата: SOCPrime DoubleExtension)

Злоумышленники могут использовать двойные расширения для сокрытия опасных типов файлов и полезной нагрузки. Очень распространенный способ - обманом заставить пользователя открыть файл, который, по его мнению, является безопасным типом, но на самом деле представляет собой исполняемый код. Такие файлы часто выдаются за вложения электронной почты и позволяют злоумышленникам получить Первоначальный доступ в систему пользователя через Спирфишинговое вложение, а затем Выполнение пользователем. Например, вложение исполняемого файла с именем Evil.txt.exe может отобразиться для пользователя как Evil.txt.Пользователь может принять его за доброкачественный текстовый файл и открыть его, нечаянно запустив скрытую вредоносную программу.(Цитата: SOCPrime DoubleExtension)

Обычные типы файлов, такие как текстовые файлы (.txt, .doc и т. д.) и файлы изображений (.jpg, .gif и т. д.), обычно используются в качестве первого расширения, чтобы казаться доброкачественными.Расширения исполняемых файлов, которые обычно считаются опасными, такие как .exe, .lnk, .hta и .scr, часто отображаются как второе расширение и истинный тип файла.

https://attack.mitre.org/techniques/T1036/007

← Назад

Визуализация смежных техник для T1036.007