VBScript (Visual Basic Scripting Edition) — встроенный в Windows скриптовый язык Microsoft 1996 года, которым злоумышленники долгое время пользовались для доставки вредоносного ПО через почтовые вложения и загрузки.
Как работает VBScript
VBScript — облегчённый язык, производный от Visual Basic. Скрипты с расширением .vbs запускаются двойным щелчком через Windows Script Host (wscript.exe или cscript.exe); кроме того, язык встраивался в веб-страницы Internet Explorer и сайты на классическом ASP. Администраторы применяли его для сценариев входа и автоматизации, пока его не вытеснил PowerShell.
Microsoft объявила VBScript устаревшим: в 2019 году он был отключён по умолчанию в Internet Explorer, в Windows 11 версии 24H2 стал необязательным компонентом («feature on demand»), а в одном из будущих выпусков его планируется полностью удалить из Windows.
Почему VBScript важен для безопасности
VBScript штатно работает на любом компьютере с Windows, поэтому давно стал любимым инструментом атакующих; в MITRE ATT&CK он описан как T1059.005 (Command and Scripting Interpreter: Visual Basic):
- ILOVEYOU (2000) — сетевой червь на VBScript, рассылавшийся как LOVE-LETTER-FOR-YOU.TXT.vbs и за несколько дней заразивший миллионы компьютеров.
- Почтовые вложения — файлы .vbs, часто спрятанные в ZIP-архивы или замаскированные двойным расширением, служат первой ступенью — загрузчиком, который скачивает банковские трояны, инфостилеры или шифровальщики.
- Макросы Office — VBA в макровирусах — близкий родственник VBScript и часто сбрасывает VBS-файлы на диск.
- Эксплойты для браузера — уязвимости в движке VBScript в IE использовались в атаках drive-by.
Поскольку wscript.exe — легитимный компонент Windows, такие атаки относятся и к технике living off the land.
Как защититься от злоупотребления VBScript
- Удалить компонент VBScript там, где он больше не нужен, и готовиться к его удалению.
- Блокировать вложения .vbs, .vbe и .wsf на почтовом шлюзе.
- Связать расширения скриптов с «Блокнотом», чтобы двойной щелчок не запускал их.
- Ограничить wscript.exe и cscript.exe средствами контроля приложений.
