VBScript (Visual Basic Scripting Edition) — вбудована у Windows скриптова мова Microsoft 1996 року, якою зловмисники тривалий час користувалися для доставлення шкідливого ПЗ через поштові вкладення й завантаження.
Як працює VBScript
VBScript — полегшена мова, похідна від Visual Basic. Скрипти з розширенням .vbs запускаються подвійним клацанням через Windows Script Host (wscript.exe або cscript.exe); крім того, мову вбудовували у вебсторінки Internet Explorer і сайти на класичному ASP. Адміністратори застосовували її для сценаріїв входу та автоматизації, доки її не витіснив PowerShell.
Microsoft оголосила VBScript застарілим: 2019 року його вимкнули за замовчуванням в Internet Explorer, у Windows 11 версії 24H2 він став необов’язковим компонентом («feature on demand»), а в одному з майбутніх випусків його планують повністю вилучити з Windows.
Чому VBScript важливий для безпеки
VBScript штатно працює на будь-якому комп’ютері з Windows, тому давно став улюбленим інструментом атакувальників; у MITRE ATT&CK його описано як T1059.005 (Command and Scripting Interpreter: Visual Basic):
- ILOVEYOU (2000) — мережевий хробак на VBScript, що поширювався як LOVE-LETTER-FOR-YOU.TXT.vbs і за кілька днів заразив мільйони комп’ютерів.
- Поштові вкладення — файли .vbs, часто сховані в ZIP-архіви або замасковані подвійним розширенням, слугують першим етапом — завантажувачем, який завантажує банківські трояни, інфостилери чи шифрувальники.
- Макроси Office — VBA в макровірусах — близький родич VBScript і часто скидає VBS-файли на диск.
- Експлойти для браузера — вразливості в рушії VBScript в IE використовували в атаках drive-by.
Оскільки wscript.exe — легітимний компонент Windows, такі атаки належать і до техніки living off the land.
Як захиститися від зловживання VBScript
- Видалити компонент VBScript там, де він більше не потрібен, і готуватися до його вилучення.
- Блокувати вкладення .vbs, .vbe і .wsf на поштовому шлюзі.
- Пов’язати розширення скриптів із «Блокнотом», щоб подвійне клацання не запускало їх.
- Обмежити wscript.exe і cscript.exe засобами контролю застосунків.
