win10系统SettingContent-ms文件类型被滥用于运行恶意应用程序

win10系统SettingContent-ms文件类型被滥用于运行恶意应用程序

发布时间:2018-07-04 09:56发布者:番茄花园-liumei浏览数:359

Windows10中引入的新文件类型可能被滥用于运行恶意应用程序,风险在于黑客可能利用文件格式绕过操作系统防御并运行任意和恶意代码。“SettingContent-ms”文件主要用于创建Windows设置页面的快捷方式。微软的动机是创建一个控制面板选项的替代品。

如何恶意使用它?

SettingContent-ms只是一个XML文件,其中包含指向不同Windows设置页面的路径。架构中的一个元素是DeepLink元素。它包含双击文件时执行的完整二进制路径。最初它本来是Windows 10设置页面的位置。但是,可以编辑DeepLink值并将其替换为要运行的其他任意二进制文件。例如,cmd.exe,Powershell.exe等。

问题是,一旦打开了SettingContent-ms文件,就会执行DeepLink标记中指定的二进制文件,而不会向用户发出任何通知或警告。从Internet下载文件时会出现相同的行为。

此外,该文件可以使用OLE(对象链接和嵌入)嵌入Microsoft Office文档中。此方法绕过Microsoft对文件嵌入的限制。

SentinelOne如何处理此场景?

SentinelOne Behavioral AI Engine可检测滥用此文件格式的攻击,并根据有效负载本身对其进行分类。引擎从打开此类文件开始跟踪执行流程,并检测由此产生的任何恶意行为。然而,不会检测到也不会阻止SettingContent-ms格式的合法用法。

以下是精心设计的SettingContent-ms文件示例,该文件导致运行恶意PowerUp脚本。

win10系统SettingContent-ms文件类型被滥用于运行恶意应用程序

在SentinelOne管理控制台,攻击被检测为无文件攻击,因为PowerUp本身在内存中执行,文件系统上没有任何痕迹。

win10系统SettingContent-ms文件类型被滥用于运行恶意应用程序

新的Windows10文件类型可能会被滥用以运行恶意应用程序首先出现在SentinelOne上。

win10系统

网友评论

Win10系统下载 | Win11系统下载 | 软件合集

本站发布的系统与软件仅为个人学习测试使用,请在下载后24小时内删除,不得用于任何商业用途,否则后果自负,请支持购买微软正版软件!

如侵犯到您的权益,请及时通知我们,我们会及时处理。

Copyright @ 2023 番茄花园 版权声明 网站导航

赣公网安备 36112202000171号 赣ICP备20009800号-2