Как злоумышленники используют ISO-образы: распространенные схемы атак и способы защиты

ISO-образы — это дисковые изображения, которые точно воспроизводят содержимое оптического диска. Они широко используются для распространения программного обеспечения, установки операционных систем и резервного копирования данных. Однако эта универсальность делает ISO-формат привлекательным и для злоумышленников. Вместо физических дисков они упаковывают вредоносные программы в ISO-образы, чтобы доставить их на целевую систему, обойти защиту и сохранить постоянный доступ.

Почему ISO-образы популярны среди злоумышленников

ISO-образы часто проходят проверку антивирусными программами и системами веб-фильтрации, потому что они обычно ассоциируются с легитимным программным обеспечением. Многие организации разрешают загрузку ISO-образов из доверенных источников, что создает возможность для злоумышленников спрятать вредоносный код внутри «безопасного» файла. Основные преимущества для атакующих:

• Передача исполняемого файла в сжатом виде — один файл ISO может содержать несколько программ, скрипты автозагрузки и конфигурации.
• Возможность обхода сканирования — некоторые антивирусные продукты не проверяют содержимое ISO-образов по умолчанию.
• Кроссплатформенность — ISO-образы можно использовать для Windows, Linux и даже macOS.
• Постоянный доступ — содержимое ISO-образа может быть смонтировано как виртуальный диск, что позволяет сохранять вредоносные программы даже после удаления файла-источника.
• Легитимность внешнего вида — файл может претендовать на то, что является официальным дистрибутивом, патчем или утилитой, что повышает вероятность того, что пользователь запустит его.

Основные схемы злоупотребления ISO-образами

Злоумышленники используют ISO-образы в нескольких распространенных сценариях. Понимание этих схем помогает пользователям и системным администраторам распознать угрозу.

1. ISO как контейнер для вредоносных программ

В ISO-образ часто упаковывается исполняемый файл вредоносной программы вместе с необходимыми библиотеками и конфигурационными файлами. Когда пользователь монтирует ISO-образ и запускает установщик, вредоносная программа запускается автоматически.

2. Обход антивирусной защиты

Некоторые антивирусные решения сканируют только файлы с расширением .exe, .dll или .scr, пропуская исполняемые файлы внутри ISO-образов. Если ISO-образ не смонтирован, вредоносный код может остаться незамеченным.

3. Обеспечение постоянного доступа

Содержимое ISO-образа можно смонтировать как виртуальный диск, и вредоносная программа может быть настроена на автозапуск при каждом монтировании. Даже если файл ISO удален, вредоносная программа может остаться в системе благодаря триггеру, активирующемуся при повторном монтировании.

4. Фишинговые кампании

Злоумышленники отправляют электронные письма с вложениями ISO-образов, выдавая их за счета-фактуры, обновления программного обеспечения или отчеты. Когда жертва монтирует ISO-образ и открывает вложенный файл, запускается цепочка загрузки вредоносных программ.

5. Атаки на облачные среды

В облачных рабочих нагрузках, где загрузка ISO-образов является обычным способом развертывания виртуальных машин, вредоносный ISO-образ может быть загружен через API или консоль управления. После монтирования он может установить криптовалютный майнер или создать канал для утечки данных.

6. Drive-by-загрузки с вредоносными ISO-образами

Некоторые веб-сайты позволяют пользователям скачивать ISO-образы для «быстрой установки». Вредоносный ISO-образ может быть размещен на похожем на легитимный сайт, и при посещении страницы вредоносный код может быть автоматически загружен и запущен через уязвимость в браузере или в программном обеспечении для монтирования дисков.

7. Использование ISO-образов для майнинга криптовалюты

ISO-образ может содержать скрипт, который, после монтирования, загружает и запускает вредоносный майнер в фоновом режиме. Поскольку майнинг требует больших вычислительных ресурсов, вредоносный ISO-образ может быть использован для создания сети ботов для майнинга.

Как обнаружить вредоносный ISO-образ

Обнаружение вредоносного ISO-образа начинается с проверки его источника и содержимого. Ниже приведен контрольный список, который можно использовать при подозрении на ISO-образ.

• Проверьте цифровую подпись ISO-образа. Легитимные дистрибутивы обычно подписаны доверенным издателем.
• Сверьте хэш-сумму файла с хэш-суммой, опубликованной официальным источником.
• Проверьте размер и количество файлов в ISO-образе. Необычно большое количество исполняемых файлов без واضحой документации должно вызвать подозрения.
• Запустите ISO-образ в изолированной среде (виртуальная машина, контейнер) и проанализируйте его содержимое с помощью инструментов статического анализа.
• Обратите внимание на файлы автозапуска (например, autorun.inf, taskschd.dll), которые могут быть скрыты в ISO-образе.
• Проверьте, есть ли в ISO-образе скрытые файлы с расширением .exe, .scr, .bat или .cmd, которые не были указаны в списке.

Как проверить легитимность ISO-образа

Проверка ISO-образа перед его использованием — это практический процесс, который может быть выполнен без специального оборудования.

1. Получите исходный ISO-образ из доверенного источника (официальный веб-сайт, репозиторий с проверенной репутацией).
2. Нажмите на ссылку для скачивания правой кнопкой мыши и выберите «Копировать адрес ссылки», чтобы убедиться, что загрузка идет с HTTPS-соединения.
3. После завершения загрузки откройте терминал (Linux/macOS) или PowerShell (Windows) и рассчитайте хэш-сумму с помощью командного инструмента, соответствующего алгоритму (например, sha256sum).
4. Сверьте рассчитанную хэш-сумму с хэш-суммой, опубликованной источником. Если они не совпадают, ISO-образ был изменен.
5. Если источник публикует цифровую подпись, используйте соответствующий инструмент (например, sigcheck, OpenSSL), чтобы проверить подпись.
6. Визуально проверьте список файлов в ISO-образе с помощью инструментов, таких как 7-Zip или ISO Buster. Ищите неожиданные исполняемые файлы или скрипты.
7. Если ISO-образ предназначен для установки программного обеспечения, проверьте, есть ли официальный релиз на сайте издателя, и сравните версии.

Защита от атак с использованием ISO-образов

Защита от злоумышленников, использующих ISO-образы, требует сочетания политических, технических и практических мер.

Политика и обучение

• Запретите монтирование ISO-образов из ненадежных источников без одобрения ИТ-отдела.
• Обучите сотрудников проверять цифровые подписи и хэш-суммы перед монтированием любого ISO-образа.
• Запретите автоматический автозапуск содержимого смонтированных дисков.

Технические меры

• Настройте антивирусные решения для сканирования содержимого смонтированных ISO-образов.
• Используйте sandboxed окружение для предварительного просмотра и установки программного обеспечения из ISO-образов.
• Блокируйте загрузку ISO-образов с нежелательных веб-сайтов с помощью веб-фильтрации.
• Ведите журналы монтирования и загрузки ISO-образов для обнаружения необычной активности.

Практические рекомендации

• Используйте инструменты виртуализации (VMware, VirtualBox, Hyper-V), чтобы смонтировать ISO-образы в изолированной среде.
• Храните исходные ISO-образы в защищенных местах с ограниченным доступом.
• Регулярно обновляйте программное обеспечение для монтирования и операционные системы для устранения уязвимостей.

Пример анализа вредоносного ISO-образа

Представьте, что ИТ-администратор подозревает, что ISO-образ, используемый для развертывания операционной системы, содержит вредоносный код. Ниже приведен условный пример анализа:

1. Администратор загружает ISO-образ в безопасную виртуальную машину.
2. С помощью инструмента «7-Zip» он извлекает содержимое и проверяет список файлов.
3. Он обнаруживает файл «setup.exe» размером 15 МБ, который не был указан в официальной документации.
4. Запуская статический анализ с помощью «VirusTotal», администратор видит совпадения с известными вредоносными программами.
5. Дополнительная проверка показывает, что файл «setup.exe» подключается к удаленному серверу и загружает скрипт PowerShell для криптовалютного майнинга.
6. Администратор удаляет вредоносный ISO-образ, обновляет сигнатуры антивирусного программного обеспечения и переиздает легитимный ISO-образ с новой хэш-суммой.

Этот пример показывает, как комбинация визуальной проверки, хэш-суммы и сканирования с помощью сторонних инструментов может выявить вредоносный ISO-образ.

Итоговый вывод

ISO-образы — это удобный формат для распространения программного обеспечения, но они также стали популярным инструментом для злоумышленников. Понимание того, как злоумышленники используют ISO-образы — для доставки вредоносных программ, обхода защиты и обеспечения постоянного доступа — помогает пользователям и организациям распознать и предотвратить эти атаки.

Регулярная проверка источников ISO-образов, контроль цифровых подписей и хэш-сумм, монтирование в изолированной среде и поддержание актуальности антивирусных систем — это основные меры, которые значительно снижают риск compromise через вредоносные ISO-образы.

Это статья носит информационный характер и не является юридической или технической консультацией. Для защиты вашей организации от атак с использованием ISO-образов проконсультируйтесь с ИТ-специалистами или профессиональными консультантами по кибербезопасности.