Как злоумышленники используют ISO-образы для доставки вредоносного ПО

ISO-образ — это файл-контейнер, который содержит точную копию содержимого оптического диска: файлы, папки и структуру файловой системы. Windows умеет монтировать такой файл как виртуальный диск двойным щелчком, и именно эта удобная функция сделала формат популярным у злоумышленников. Вредоносные кампании последних лет регулярно используют ISO-образы для доставки троянов, краж учетных данных и загрузчиков программ-вымогателей. Понимание механики этих атак помогает распознать их до запуска и выстроить защиту, которая не зависит от бдительности конкретного сотрудника.

Главный ориентир этой статьи: сам по себе ISO-файл не опасен — опасен сценарий его использования. Если письмо или сообщение с неожиданным вложением предлагает «открыть документ», а внутри оказывается смонтированный диск с исполняемым файлом, это классический признак фишинговой атаки. Ниже разберем, зачем атакующим нужен именно этот формат, как выглядит типовая цепочка заражения, какие ограничения у этого метода и что делать организации и обычному пользователю.

Почему злоумышленники выбрали ISO-образы

Долгие годы основным способом доставки вредоносных файлов по почте были архивы и документы с макросами. Однако защитные механизмы Microsoft и почтовых сервисов постепенно закрыли эти пути: макросы из интернета по умолчанию блокируются, а вложения помечаются специальной меткой происхождения. ISO-образы позволили обойти сразу несколько барьеров одновременно.

Обход метки Mark of the Web

Когда файл скачивается из интернета, Windows добавляет к нему скрытую метку зоны (Mark of the Web) — признак того, что файл пришел из внешнего источника. Именно по этой метке система блокирует макросы в документах Office и показывает предупреждения при запуске исполняемых файлов. Файлы внутри смонтированного ISO-образа эту метку не наследуют: с точки зрения системы они выглядят как локальные данные с виртуального диска. Для злоумышленника это означает, что вредоносный макрос или скрипт запустится без привычных предупреждений.

Отсутствие необходимости в уязвимостях

Атака через ISO-образ не требует эксплойтов или ошибок в системе. Пользователь сам монтирует образ двойным щелчком — это штатная функция Windows начиная с версии 8. Дальше достаточно социальной инженерии: убедить человека открыть файл внутри «диска». Такой подход дешевле и надежнее эксплуатации уязвимостей, поэтому им охотно пользуются даже технически несложные группы.

Сокрытие содержимого от автоматических проверок

Почтовые фильтры и песочницы часто проверяют вложения на наличие подозрительных файлов. ISO-образ — это контейнер, и его внутренности могут быть дополнительно упакованы: внутри нередко лежит еще один архив, защищенный паролем, либо образ зашифрован целиком. Пароль при этом сообщается в тексте письма — фильтр не может распаковать вложение, а жертва легко это делает. Кроме того, некоторые антивирусные механизмы хуже анализируют содержимое образов, чем обычные исполняемые файлы.

Типовая цепочка атаки через ISO-образ

Схемы варьируются, но общая логика повторяется в большинстве известных кампаний. Последовательность обычно выглядит так:

1. Доставка. Жертва получает письмо, сообщение в мессенджере или ссылку на «документ» — счет, резюме, договор, уведомление о доставке, голосовое сообщение. Вложение имеет расширение .iso, .img или выглядит как архив, внутри которого лежит образ.
2. Монтирование. Двойной щелчок по файлу — и в системе появляется новый виртуальный привод с буквой диска. Пользователь видит окно проводника с несколькими файлами.
3. Маскировка. Среди файлов обычно есть один-два ярких элемента: ярлык с иконкой документа PDF или Word, файл с длинным именем вроде «Инструкция_к_оплате.pdf» (на самом деле исполняемый), либо LNK-ярлык, запускающий скрытый скрипт.
4. Запуск полезной нагрузки. Щелчок по «документу» выполняет вредоносный код: DLL, загруженную через rundll32, PowerShell-скрипт, MSI-установщик или исполняемый файл. Часто параллельно открывается настоящий документ-приманка, чтобы пользователь не заподозрил ничего.
5. Закрепление и действие. Вредонос копирует себя в скрытые папки, прописывается в автозагрузке или планировщике, затем начинает основную работу: крадет пароли и cookies браузера, перехватывает переписку, разворачивает программу-вымогатель или предоставляет злоумышленнику удаленный доступ.

Важная деталь: между монтированием образа и заражением всегда есть действие пользователя. Именно поэтому такие атаки почти всегда сопровождаются давлением на срочность — «счет будет аннулирован сегодня», «доступ заблокируют через 24 часа». Спешка снижает вероятность того, что человек присмотрится к странному «диску» вместо привычного PDF.

Кто и как использует этот метод

Использование ISO-образов фиксировалось в кампаниях разных по уровню групп — от массовых рассылок банковских троянов до целевых атак на компании. Типичные сценарии:

• Фишинговые рассылки под видом деловой переписки. Самый массовый вариант: счета, накладные, судебные повестки, резюме соискателей. Цель — широкий охват и кража учетных данных или денег.
• Целевые атаки на организации. Образ доставляется после предварительной разведки: письмо имитирует переписку с реальным партнером или ответ на существующую цепочку писем. Нагрузка может включать инструменты удаленного доступа для дальнейшего продвижения по сети.
• Поддельные установщики программ. На сайтах, имитирующих загрузку популярного ПО, вместо инсталлятора предлагается ISO-образ с модифицированным файлом. Жертва сама ищет программу и меньше сомневается в легитимности файла.
• Распространение через мессенджеры и облачные ссылки. Вместо вложения приходит ссылка на файлообменник — так письмо проходит фильтры, а файл скачивается уже напрямую.

Стоит понимать, что конкретные приемы постоянно меняются: атакующие реагируют на обновления защиты. Например, когда производители ПО усилили проверки образов, часть групп перешла на другие контейнеры — VHD/VHDX-диски, зашифрованные архивы, файлы OneNote. Поэтому ориентироваться нужно не на конкретное расширение, а на общий паттерн: «неожиданный файл, который надо открыть, чтобы увидеть документ».

Признаки, по которым можно распознать подозрительный ISO-образ

Большинство таких атак можно остановить вниманием на этапе до запуска. Насторожить должны следующие признаки:

• Вложение с расширением .iso или .img пришло по почте или в мессенджере, хотя вы не запрашивали дистрибутив программы или образ диска.
• Файл называется как документ («акт_сверки.iso», «резюме.img») — документы так не распространяют.
• После открытия файла появился новый диск в проводнике, хотя вы ничего не подключали.
• Внутри «диска» лежит ярлык с иконкой PDF/Word, исполняемый файл или предложение извлечь архив с паролем, указанным в письме.
• Имя файла внутри образа очень длинное — это классический прием, чтобы расширение .exe не помещалось в окне и оставалось невидимым.
• Отправитель неизвестен либо известен, но стиль письма, адрес или ссылка немного отличаются от привычных.
• Письмо создает срочность и требует немедленно открыть вложение.

Если сомневаетесь, безопаснее всего проверить файл на специализированном онлайн-сервисе анализа (например, через песочницу, которая покажет содержимое контейнера и поведение файлов) или передать его ИТ-специалистам, не открывая на рабочей машине.

Ограничения метода и почему он все же работает

У атак через ISO-образы есть заметные слабости, но на практике они компенсируются человеческим фактором.

• Нужен запуск от пользователя. Без двойного щелчка цепочка не стартует. Однако социальная инженерия решает эту задачу чаще, чем кажется: убедительное письмо и срочность делают свое дело.
• Необычный формат вызывает вопросы. Подготовленный сотрудник знает, что документы не приходят в виде образов дисков. Проблема в том, что большинство людей этого не знают, а атакующие выбирают жертв массово — достаточно небольшого процента «сработавших».
• Современные средства защиты научились распаковывать образы. Почтовые шлюзы и EDR-решения все чаще анализируют содержимое контейнеров, поэтому атакующие усложняют упаковку: шифрование, пароли, многослойные архивы. Это гонка вооружений, в которой ни одна сторона не имеет постоянного преимущества.
• Метка зоны все же может появиться. Если файл скачан через браузер, а не получен вложением, поведение защиты зависит от версии системы и настроек. Полагаться на то, что «метки точно не будет», нельзя ни атакующему, ни защитнику.

Вывод практичный: метод работает не потому, что он технологически совершенен, а потому, что эксплуатирует доверие и привычку открывать вложения. Поэтому и защита должна быть многослойной, а не рассчитанной на один механизм.

Как защититься: меры для организаций

Для компании одной рассылки о бдительности недостаточно. Эффективная защита сочетает технические барьеры и подготовку людей.

Технический уровень

• Блокировка вложений .iso и .img на почтовом шлюзе. Легитимная деловая переписка практически никогда не требует передачи образов дисков. Если такой файл действительно нужен, его можно передать согласованным каналом после проверки.
• Проверка содержимого контейнеров. Современные почтовые фильтры и песочницы умеют распаковывать ISO и анализировать файлы внутри. Убедитесь, что эта функция включена, а не только сигнатурная проверка внешнего файла.
• Групповые политики против автоматического монтирования. Администратор может ограничить монтирование образов для обычных пользователей — тогда двойной щелчок по ISO не приведет к появлению «диска». Решение подходит не всем организациям (некоторым сотрудникам образы нужны для работы), но для большинства офисов оправдано.
• Контроль запуска скриптов и инструментов. Ограничение выполнения PowerShell для рядовых пользователей, блокировка rundll32 с аргументами из пользовательских папок, правила контроля приложений — все это ломает типовые цепочки на этапе запуска нагрузки.
• EDR-защита с поведенческим анализом. Сигнатуры могут пропустить новую вредоносную программу, но аномальное поведение (офисный процесс, порождающий скрипт, обращение к командным серверам) современные агенты фиксируют.
• Многофакторная аутентификация. Даже если учетные данные будут украдены, второй фактор существенно затруднит злоумышленнику вход в корпоративные системы.

Человеческий уровень

• Регулярные тренировки по фишингу с разбором реальных примеров, включая свежие форматы доставки — не только «классические» письма с ссылкой.
• Простой и быстрый канал сообщения о подозрительном письме: одна кнопка «пожаловаться», после которой письмо уходит на проверку без наказания отправителя отчета.
• Правило по умолчанию: любой неожиданный файл — повод уточнить у отправителя другим каналом (позвонить по известному номеру, а не по контакту из письма).

Как защититься обычному пользователю

Дома достаточно нескольких простых привычек:

1. Не открывайте вложения .iso, .img и другие контейнеры, если вы не ожидали дистрибутив. Документы так не присылают.
2. Прежде чем открыть файл из письма, посмотрите полное имя и расширение: включите отображение расширений в проводнике, чтобы видеть «документ.pdf.exe», а не «документ.pdf».
3. Если случайно смонтировали образ и увидели там ярлык или исполняемый файл — не запускайте ничего, отключите виртуальный диск и проверьте систему антивирусом.
4. Держите включенным антивирус и обновления системы: часть нагрузок, используемых в таких цепочках, детектируется штатными средствами.
5. Проверяйте незнакомые файлы на онлайн-песочницах перед запуском — это бесплатно и занимает пару минут.
6. Используйте разные пароли и двухфакторную аутентификацию: если заражение все же произойдет, ущерб будет ограничен.

Что делать, если заражение уже произошло

Быстрые действия снижают ущерб заметно сильнее, чем последующий анализ. Ориентировочный порядок:

1. Отключите компьютер от сети (выдерните кабель, выключите Wi-Fi), но не выключайте питание, если планируете разбор инцидента: в оперативной памяти могут остаться следы.
2. Сообщите в ИТ-отдел или ответственному за безопасность — при корпоративном инциденте время реакции критично.
3. Смените пароли с другого, заведомо чистого устройства, начиная с почты и рабочих сервисов. Завершите активные сеансы во всех важных аккаунтах.
4. Проверьте банковские операции и правила автоплатежей.
5. Не пытайтесь «полечить» рабочую машину самостоятельно переустановкой поверх — при целевой атаке злоумышленники могли закрепиться глубже. Надежный вариант — переустановка с нуля из проверенного носителя.

Сравнение ISO-образов с другими способами доставки

Чтобы лучше понять место этого метода среди других, полезно сопоставить основные варианты доставки вредоносного ПО по почте и ссылкам.

Способ доставки	Главное преимущество для атакующего	Слабое место
ISO-образ / IMG	Файлы внутри теряют метку интернет-происхождения; контейнер затрудняет автоанализ	Необычный формат; современные фильтры учатся распаковывать образы
Документ Office с макросами	Выглядит как обычная деловая переписка	Макросы из интернета по умолчанию блокируются современными версиями Office
Защищенный архив (ZIP/RAR с паролем)	Фильтр не может заглянуть внутрь	Требует лишнего действия от жертвы; многие шлюзы помечают такие вложения
Ссылка на поддельный сайт	Нет вложения — письмо легче проходит фильтры	Работает, только пока домен не заблокирован; нужна правдоподобная страница
VHD/VHDX, OneNote и новые контейнеры	Свежий формат, к которому защита еще не привыкла	Жизнь приема коротка: после освещения его быстро закрывают

Из таблицы видно главное: атакующие используют не один инструмент, а набор сменяемых приемов. Защита, построенная вокруг блокировки одного расширения, даст лишь временную отсрочку — нужны слои, которые ловят сам паттерн поведения.

Типичные ошибки при защите от таких атак

• Ставка только на обучение сотрудников. Осведомленность важна, но даже обученные люди ошибаются под давлением срочности. Технические барьеры должны страховать человеческий фактор, а не наоборот.
• Блокировка одного расширения без анализа содержимого. Атакующие переименуют контейнер, заархивируют его или перейдут на другой формат. Фильтр должен уметь заглядывать внутрь вложений.
• Игнорирование мессенджеров и личной почты. Часть атак приходит не через корпоративную почту, а через Telegram, WhatsApp или личные ящики, открытые на рабочем компьютере.
• Отсутствие плана реагирования. Когда заражение уже случилось, improvised-решения стоят дороже заранее продуманного порядка действий: кто отключает машину, кто меняет пароли, кто связывается с банком.
• Ложное чувство безопасности от антивируса. Сигнатурная защита важна, но новые образцы вредоносного ПО могут неделями обходить базы. Поведенческий анализ и ограничение привилегий дают более устойчивый результат.

Перспективы: куда смещается угроза

Формат ISO-образов прошел пик «свежести»: производители средств защиты адаптировались, а вендоры операционных систем ужесточили проверки. Атакующие закономерно мигрируют к новым контейнерам и форматам — от виртуальных дисков VHD до редко используемых типов файлов, которые почтовые фильтры еще не научились глубоко анализировать. Это не значит, что тема ISO потеряла актуальность: старые приемы продолжают работать против неподготовленных жертв, а базовый паттерн — «контейнер, скрывающий исполняемый файл от метки происхождения и автоанализа» — остается неизменным. Поэтому знания о механике этих атак применимы и к будущим вариациям.

Практические выводы

ISO-образы стали популярным инструментом злоумышленников по трем причинам: они снимают метку интернет-происхождения с внутренних файлов, затрудняют автоматический анализ и используют штатную функцию Windows, не требуя уязвимостей. Успех атаки почти всегда зависит от одного действия жертвы — запуска файла внутри смонтированного диска.

Наиболее значимые условия защиты: фильтрация и глубокий анализ вложений на границе сети, ограничение возможности монтировать образы и запускать скрипты для обычных пользователей, многофакторная аутентификация и обученные сотрудники с простым каналом сообщения о подозрениях. Для частного лица достаточно трех привычек: не открывать неожиданные контейнеры, видеть полные имена файлов и проверять сомнительные файлы в песочнице.

Конкретный следующий шаг: прямо сейчас проверьте настройки своего почтового шлюза или антивируса — блокируются ли вложения .iso/.img и анализируется ли содержимое архивов. Это пятнадцать минут работы, которые закрывают самый массовый сценарий атаки.

Материал носит информационный характер и описывает общие принципы атак и защиты. Конкретные настройки безопасности, выбор средств защиты и действия при инциденте зависят от вашей инфраструктуры и требований законодательства; при существенном риске привлекайте профильных специалистов по информационной безопасности.