DLL Sideloading через version.dll в WinSCP: порядок поиска DLL, прокси на Rust и перехват payload

05.08.2026 14:29:06 | Хабр

Хабы: Информационная безопасность, Rust, Windows, Антивирусная защита

DLL sideloading - это когда в каталог программы подсовывают библиотеку с тем же именем, что и нужная ей DLL. В результате Windows сначала цепляется именно за неё и загружает её вместо системного файла. Этот приём по-прежнему работает, даже если включён SafeDllSearchMode, и недавно его использовали в атаках против FileZilla и CPU-Z.

В статье я разбираю этот метод на примере WinSCP. Сначала делаю статический анализ: проверяю зависимости в Import Table и сверяю их со списком Known DLLs, чтобы сразу отсеять те варианты, которые загрузчик всё равно берёт только из системной папки. Затем провожу динамическую проверку в Procmon и смотрю, где именно загрузчик действительно ищет DLL. В финале - прокси-библиотека на Rust.

Подробнее

Читайте также

Гант для РП, канбан для команды: как мы связываем OpenProject и PLANKA
05.08.2026 14:28:54 | Хабр

Я попросил ИИ самостоятельно опубликовать мое приложение в App Store и ушел сочинять лампу
05.08.2026 14:20:14 | Хабр

В WhatsApp* вышло большое обновление групповых чатов
05.08.2026 14:12:10 | ferra.ru

Вторая половина мира
05.08.2026 14:08:05 | Хабр

«У облака же есть корзина» — есть. Тридцать дней, десять гигабайт, и то не всегда
05.08.2026 14:04:52 | Хабр

Как я бросила карьеру в международной фармкомпании и вложила миллион долларов в коз
05.08.2026 13:45:22 | Хабр

Мои сотрудницы не работают четыре месяца в году, а я зарабатываю 11,6 млн
05.08.2026 13:45:22 | Хабр

Как PVS-Studio улучшает качество embedded-проектов
05.08.2026 13:44:11 | Хабр

Одна из ступеней ракеты SpaceX предположительно врезалась в Луну на скорости около 2,4 км/с
05.08.2026 13:39:09 | vc.ru

Парк юрского периода: самые харизматичные устройства в истории видеоконференцсвязи
05.08.2026 13:38:17 | Хабр

Как мы отдали искусственный интеллект в «рабство» бухгалтерии и что из этого вышло
05.08.2026 13:38:16 | Хабр

[Перевод] Кто на самом деле лидирует в агентной разработке (и это не тот, о ком вы подумали)
05.08.2026 13:34:42 | Хабр

Экраны для современных ноутбуков — не все так просто. Как не промахнуться при замене дисплея
05.08.2026 13:32:10 | Хабр

Изделие «ЗАМ—3П»
05.08.2026 13:28:25 | Хабр

Почему MCP-вызов разрывал сквозной трейс GenAI-приложения в OpenTelemetry Demo 3.0 и как мы это исправили
05.08.2026 13:25:49 | Хабр

Как выбрать первый сценарий внедрения ИИ в бизнес
05.08.2026 13:23:39 | Хабр

Когда контент ничего не стоит: как маркетологу сохранить работу в эпоху ИИ
05.08.2026 12:56:46 | Хабр

Я научил Obsidian искать по смыслу. Как устроен локальный семантический индекс без отдельной векторной БД
05.08.2026 12:54:27 | Хабр

Как древнегреческим астрономам удалось измерить расстояние до Луны
05.08.2026 12:52:04 | Хабр

Когда мои старые способы учиться перестали успевать за миром
05.08.2026 12:49:16 | Хабр

«Второй мозг» в Obsidian: как я полтора года собирала базу знаний, которая не разваливается
05.08.2026 12:48:24 | Хабр

Аналитика без готовых инструкций: какие кейсы ищут для A&PM EVENT 2026
05.08.2026 12:40:51 | Хабр

В Сеть слили рекламные материалы Google Pixel 11 Pro
05.08.2026 12:35:31 | ferra.ru

[Перевод] Как мигрировать 1 млн строк кода с одного языка на другой за 2 недели
05.08.2026 12:14:21 | Хабр

Почему для Telegram-квестов мне пришлось написать свою виртуальную машину: История Questogram
05.08.2026 12:03:34 | Хабр

Ubuntu Touch 24.04-2.0: что в свежем релизе мобильной Linux-системы
05.08.2026 12:01:48 | Хабр

Как подключить механизм «Статусы проверки документов» к произвольному документу в 1С:ERP
05.08.2026 11:56:54 | Хабр

VK Security Gate: наша платформа для разработчиков
05.08.2026 11:55:49 | Хабр

Нейросетевая архитектура формирования автоматических навыков. Часть 1
05.08.2026 11:54:20 | Хабр

Шиномонтаж методом Симпсона: как красивая статистика чуть не убила премиум-сервис
05.08.2026 11:50:33 | Хабр

Двигаем PostgreSQL в сторону OLAP: оптимизация параллельного вычисления агрегатов
05.08.2026 11:45:17 | Хабр

Как я перебрал 2377 вакансий за неделю и исследовал рынок труда под мои уникальные хотелки
05.08.2026 11:35:31 | Хабр

Книга: «The Ultimate Kali Linux Book: Использование Nmap, Metasploit, Aircrack-ng и Empire для пентестинга. 3-е изд.»
05.08.2026 11:34:15 | Хабр

Менторство по пентесту после курсов: что делать, если работы нет?
05.08.2026 11:32:59 | Хабр

Лень, Modbus и ИИ: как я сделал инструмент, которого мне не хватало на пусконаладке
05.08.2026 11:26:54 | Хабр

Смотреть все

НОВОСТИ

В Испании изолировали туриста с хантавирусом
06.08.2026 18:47:50 | ТАСС

В ФРГ 20 сентября откроют два участка для голосования граждан РФ на выборах в ГД
06.08.2026 18:47:08 | ТАСС

На внешней стороне 54-го км МКАД загорелся грузовик
06.08.2026 18:46:53 | ТАСС

В КБР начали проверку после публикаций о незаконной организации восхождений
06.08.2026 18:46:48 | ТАСС

DPA: в ФРГ опровергли данные о боеприпасах на Ан, возле которого нашли дрон
06.08.2026 18:46:45 | ТАСС

В Жуковском сняли временные ограничения на прием и выпуск самолетов
06.08.2026 18:45:58 | ТАСС

В Калининградской области заявили о готовности обеспечить льготников лекарствами
06.08.2026 18:44:02 | ТАСС

Начальники ТЦК на западе Украины фиктивно завышали показатели мобилизации
06.08.2026 18:44:00 | Российская Газета

Решетников: Разрабатываются меры поддержки для пострадавших от атак на WB
06.08.2026 18:43:28 | Life.ru

Украинский экономист решил, что новый мировой кризис начнётся с Южной Кореи
06.08.2026 18:43:28 | Life.ru

Средиземное море прогрелось до рекордных 33°C у берегов Майорки
06.08.2026 18:43:17 | Life.ru

На Украине списки критических объектов сделают сезонными
06.08.2026 18:43:03 | ТАСС

В РФ уточнят правила зачета срока службы при самовольном оставлении части
06.08.2026 18:42:37 | ТАСС

В российском регионе педофил упрашивал матерей потерпевших детей умолчать о приставаниях
06.08.2026 18:41:42 | Lenta.ru

Россиянин Жарков установил мировой рекорд на Кубке мира по зимнему плаванию
06.08.2026 18:41:09 | ТАСС

Al Hadath: Ливан и Израиль согласовали список кандидатов в наблюдатели по соглашению
06.08.2026 18:40:47 | ТАСС

Найден способ снизить риск развития мигрени
06.08.2026 18:40:00 | Lenta.ru

Путин объявил благодарность экипажу танкера, доставившего на Кубу гумпомощь
06.08.2026 18:39:34 | ТАСС

Газманов раскритиковал нейросетевые песни
06.08.2026 18:39:21 | Lenta.ru

В Москве температура поднялась до 30 градусов второй раз с начала августа
06.08.2026 18:39:17 | ТАСС

Дело Коломойского передали в суд
06.08.2026 18:39:11 | ТАСС

Плевки в раввинов и воспевание Гитлера: Литовского неонациста не стали наказывать на фоне поддержки в обществе
06.08.2026 18:35:45 | Life.ru

Два иностранца облили россиянина кипятком и бросили умирать
06.08.2026 18:35:30 | Lenta.ru

Расшифрован геном обезьян-игрунок, используемых для изучения болезней
06.08.2026 18:34:58 | ТАСС

Главный тренер сборной России по футболу снова стал отцом
06.08.2026 18:34:35 | Lenta.ru

Вдову Олега Табакова заподозрили в неудачной пластике из-за новых фото
06.08.2026 18:34:24 | Lenta.ru

Открыт путь к приватизации аэропорта Шереметьево
06.08.2026 18:33:55 | Lenta.ru

В МИД оценили влияние противоречий Украины и Польши на помощь Киеву
06.08.2026 18:33:04 | Lenta.ru

Судостроитель прокатил спасателей // Поставщик МЧС получил срок за махинации с катерами
06.08.2026 18:33:00 | Коммерсантъ

Едешко будет похоронен на "Пантеоне защитников Отечества" 7 августа
06.08.2026 18:32:33 | ТАСС

В СФ обратили внимание на задержания россиян в Армении по запросам третьих стран
06.08.2026 18:31:57 | ТАСС

Россиянам назвали самые частые ошибки за шведским столом
06.08.2026 18:31:02 | Lenta.ru

Учёные объяснили, почему мозг «запоминает» прежний вес и возвращает его после диеты
06.08.2026 18:30:28 | Life.ru

ИИМК РАН назвал арест Бутягина "актом вандализма"
06.08.2026 18:30:27 | ТАСС

Если в дате рождения есть эта цифра, то вам уготовано до гроба страдать, но ради великой миссии
06.08.2026 18:30:00 | Life.ru

Все новости

ВСЕ НОВОСТИ

ПИШИТЕ

Техническая поддержка проекта ВсеТут

info@vsetut.pro