DLL Sideloading через version.dll в WinSCP: порядок поиска DLL, прокси на Rust и перехват payload

05.08.2026 14:29:06 | Хабр

Хабы: Информационная безопасность, Rust, Windows, Антивирусная защита

DLL sideloading - это когда в каталог программы подсовывают библиотеку с тем же именем, что и нужная ей DLL. В результате Windows сначала цепляется именно за неё и загружает её вместо системного файла. Этот приём по-прежнему работает, даже если включён SafeDllSearchMode, и недавно его использовали в атаках против FileZilla и CPU-Z.

В статье я разбираю этот метод на примере WinSCP. Сначала делаю статический анализ: проверяю зависимости в Import Table и сверяю их со списком Known DLLs, чтобы сразу отсеять те варианты, которые загрузчик всё равно берёт только из системной папки. Затем провожу динамическую проверку в Procmon и смотрю, где именно загрузчик действительно ищет DLL. В финале - прокси-библиотека на Rust.

Подробнее

Читайте также

Гант для РП, канбан для команды: как мы связываем OpenProject и PLANKA
05.08.2026 14:28:54 | Хабр

Я попросил ИИ самостоятельно опубликовать мое приложение в App Store и ушел сочинять лампу
05.08.2026 14:20:14 | Хабр

В WhatsApp* вышло большое обновление групповых чатов
05.08.2026 14:12:10 | ferra.ru

Вторая половина мира
05.08.2026 14:08:05 | Хабр

«У облака же есть корзина» — есть. Тридцать дней, десять гигабайт, и то не всегда
05.08.2026 14:04:52 | Хабр

Как я бросила карьеру в международной фармкомпании и вложила миллион долларов в коз
05.08.2026 13:45:22 | Хабр

Мои сотрудницы не работают четыре месяца в году, а я зарабатываю 11,6 млн
05.08.2026 13:45:22 | Хабр

Как PVS-Studio улучшает качество embedded-проектов
05.08.2026 13:44:11 | Хабр

Одна из ступеней ракеты SpaceX предположительно врезалась в Луну на скорости около 2,4 км/с
05.08.2026 13:39:09 | vc.ru

Парк юрского периода: самые харизматичные устройства в истории видеоконференцсвязи
05.08.2026 13:38:17 | Хабр

Как мы отдали искусственный интеллект в «рабство» бухгалтерии и что из этого вышло
05.08.2026 13:38:16 | Хабр

[Перевод] Кто на самом деле лидирует в агентной разработке (и это не тот, о ком вы подумали)
05.08.2026 13:34:42 | Хабр

Экраны для современных ноутбуков — не все так просто. Как не промахнуться при замене дисплея
05.08.2026 13:32:10 | Хабр

Изделие «ЗАМ—3П»
05.08.2026 13:28:25 | Хабр

Почему MCP-вызов разрывал сквозной трейс GenAI-приложения в OpenTelemetry Demo 3.0 и как мы это исправили
05.08.2026 13:25:49 | Хабр

Как выбрать первый сценарий внедрения ИИ в бизнес
05.08.2026 13:23:39 | Хабр

Когда контент ничего не стоит: как маркетологу сохранить работу в эпоху ИИ
05.08.2026 12:56:46 | Хабр

Я научил Obsidian искать по смыслу. Как устроен локальный семантический индекс без отдельной векторной БД
05.08.2026 12:54:27 | Хабр

Как древнегреческим астрономам удалось измерить расстояние до Луны
05.08.2026 12:52:04 | Хабр

Когда мои старые способы учиться перестали успевать за миром
05.08.2026 12:49:16 | Хабр

«Второй мозг» в Obsidian: как я полтора года собирала базу знаний, которая не разваливается
05.08.2026 12:48:24 | Хабр

Аналитика без готовых инструкций: какие кейсы ищут для A&PM EVENT 2026
05.08.2026 12:40:51 | Хабр

В Сеть слили рекламные материалы Google Pixel 11 Pro
05.08.2026 12:35:31 | ferra.ru

[Перевод] Как мигрировать 1 млн строк кода с одного языка на другой за 2 недели
05.08.2026 12:14:21 | Хабр

Почему для Telegram-квестов мне пришлось написать свою виртуальную машину: История Questogram
05.08.2026 12:03:34 | Хабр

Ubuntu Touch 24.04-2.0: что в свежем релизе мобильной Linux-системы
05.08.2026 12:01:48 | Хабр

Как подключить механизм «Статусы проверки документов» к произвольному документу в 1С:ERP
05.08.2026 11:56:54 | Хабр

VK Security Gate: наша платформа для разработчиков
05.08.2026 11:55:49 | Хабр

Нейросетевая архитектура формирования автоматических навыков. Часть 1
05.08.2026 11:54:20 | Хабр

Шиномонтаж методом Симпсона: как красивая статистика чуть не убила премиум-сервис
05.08.2026 11:50:33 | Хабр

Двигаем PostgreSQL в сторону OLAP: оптимизация параллельного вычисления агрегатов
05.08.2026 11:45:17 | Хабр

Как я перебрал 2377 вакансий за неделю и исследовал рынок труда под мои уникальные хотелки
05.08.2026 11:35:31 | Хабр

Книга: «The Ultimate Kali Linux Book: Использование Nmap, Metasploit, Aircrack-ng и Empire для пентестинга. 3-е изд.»
05.08.2026 11:34:15 | Хабр

Менторство по пентесту после курсов: что делать, если работы нет?
05.08.2026 11:32:59 | Хабр

Лень, Modbus и ИИ: как я сделал инструмент, которого мне не хватало на пусконаладке
05.08.2026 11:26:54 | Хабр

Смотреть все

НОВОСТИ

Набирающий популярность в РФ кроссовер получит полный привод: новая модификация
20.12.2026 06:40:00 | За рулем

Российский рынок акций перешел к снижению
19.10.2026 18:32:55 | ТАСС

Показавшая гостье пневматическую винтовку россиянка попала под уголовное дело
19.10.2026 18:32:47 | Lenta.ru

КНДР намерена расширять сотрудничество с Россией в сфере образования
19.10.2026 18:32:27 | ТАСС

В Северной Осетии разработают законопроект о работе ночных заведений
19.10.2026 18:31:50 | ТАСС

Подготовка пятиборцев РФ к сезону после отмены этапа в Литве не изменится
19.10.2026 18:31:39 | ТАСС

"Звериная желчь". Мирошник об ударе по похоронной процессии в ЛНР
19.10.2026 18:30:01 | ТАСС

На блогера Ивана Золо составили протокол за демонстрацию запрещённой символики
19.10.2026 18:30:01 | Life.ru

Рубль в рамке и война с соседями: 6 фактов о цирке на Цветном бульваре, которому исполнилось 146 лет
19.10.2026 18:30:00 | Life.ru

Минфин не ждет допдоходов от учета продаж газа населению через посредников в НДПИ
19.10.2026 18:29:45 | ТАСС

ЦБ понизил курс доллара на 20 октября до 82,85 рубля
19.10.2026 18:29:16 | ТАСС

АТОР: аннуляций туров во Францию на новогодние даты нет
19.10.2026 18:28:14 | ТАСС

Дворцовый мост в Петербурге внепланово разведут вечером 20 октября
19.10.2026 18:28:13 | ТАСС

Минфин опроверг подготовку акциза на конфеты в России
19.10.2026 18:27:39 | Life.ru

«Новые люди» поддержат кандидатов на посты вице-премьеров и главы Минтранса
19.10.2026 18:27:27 | Life.ru

Москвичам дали совет при выборе района для покупки квартиры
19.10.2026 18:26:07 | Lenta.ru

Остров «отжали» за сутки: звезда сборной Бразилии обрушился с обвинениями на кандидата в президенты
19.10.2026 18:26:02 | Life.ru

Барометры зашкалят: Москвичей предупредили об аномально высоком давлении во вторник
19.10.2026 18:25:58 | Life.ru

В Минфине прокомментировали новости о пополнении бюджета за счет сладкоежек
19.10.2026 18:25:26 | Lenta.ru

В ДНР за неделю при атаках ВСУ пострадали 12 человек
19.10.2026 18:24:49 | ТАСС

У известного препарата обнаружили способность ускорять восстановление мышц
19.10.2026 18:24:44 | Lenta.ru

ТАСС: в Кременчуге в подвале ТЦК умер мобилизованный
19.10.2026 18:23:51 | ТАСС

ФСБ задержала 51-летнего иностранца при попытке сбежать в Польшу через границу
19.10.2026 18:22:51 | Life.ru

Упавшему с высоты солисту Мариинки Бородулину предстоит операция
19.10.2026 18:21:25 | Life.ru

Узбекистан и США подписали соглашения на $12 млрд
19.10.2026 18:21:17 | ТАСС

Памятник Екатерине II открыли в российском городе без запятой
19.10.2026 18:21:09 | Lenta.ru

RT: Трамп тратит на поддержку Украины в 50 раз меньше Байдена
19.10.2026 18:21:00 | Российская Газета

Украинке сохранили срок за акцию с флагом и шарами в Москве
19.10.2026 18:20:57 | Lenta.ru

Малышева высказалась о «здоровом» ожирении
19.10.2026 18:20:02 | Lenta.ru

Автор хита «Moskau» группы «Чингисхан» впал в кому
19.10.2026 18:19:44 | Lenta.ru

Ямпольская заявила, что конкурс «Родная игрушка» оживил отрасль в России
19.10.2026 18:19:39 | Life.ru

Ковид ударил по памяти 90% переболевших, заявили в Минздраве
19.10.2026 18:19:03 | Life.ru

В Пхеньяне открылся центр обучения русскому языку
19.10.2026 18:18:45 | ТАСС

Тим Бертон начал работу над новым фильмом по сценарию Кадзуо Исигуро
19.10.2026 18:18:25 | Lenta.ru

18,5 млн зрителей и рекордная доля: Сериал «Спецы» о работе ФСБ возглавил телеэфир
19.10.2026 18:18:21 | Life.ru

Все новости

ВСЕ НОВОСТИ

ПИШИТЕ

Техническая поддержка проекта ВсеТут

info@vsetut.pro