Всё новые вариации ClickFix
)
ClickFix настолько хорош, что по нему можно изучать методы доставки малвари и обхода обнаружения — скоро вариации соберут их все. В свежем варианте запуск через скрипт Microsoft Application Virtualization в Win Enterprise — редкая диковинка.
App-V скрипты в таком контексте часто не встретишь: Enterprise мало где найдёшь, и нормальный SOC шум от него всё равно словит. Абьюз App-V светился у китайских умельцев — они любят всё обскурное в винде. Но ClickFix теперь вместо учебника: есть и крутая социнженерия, и нишевые вещи на любой вкус.
Бонусом в этом варианте стеганография и подтягивание конфигурации из Google Calendar — а почему бы и нет? В сухом остатке ещё один подписанный скрипт, который надо порезать. И напоминание о том, что если Майкрософт что-то релизит, это кто-нибудь обязательно заабьюзит.
)
)
)