ДОСЛІДЖЕННЯ РЕАКЦІЇ МЕХАНІЗМІВ ЗАХИСТУ WINDOWS НА ФАЙЛИ СЦЕНАРІЇВ, СФОРМОВАНІ ЗАСОБАМИ BLOB API
DOI:
https://doi.org/10.28925/2663-4023.2026.35.1404Ключові слова:
Blob API, Mark of the Web, файли сценаріїв, PowerShell, Microsoft Defender, AMSI, обфускація коду, веббезпекаАнотація
Сучасні клієнтські вебтехнології дають змогу формувати файли безпосередньо у веббраузері без завантаження готового файла з вебсервера, що актуалізує питання їх подальшої обробки механізмами захисту операційної системи. Метою роботи є експериментальне дослідження метаданих походження сценарного файла, сформованого засобами Blob API, та реакції механізмів захисту Windows на досліджуваних етапах його обробки й виконання. Реалізовано двоетапний експериментальний ланцюжок: HTML-сторінка за допомогою JavaScript, Uint8Array та Blob API формувала .bat-файл у веббраузері, а виконання цього файла ініціювало отримання PowerShell-сценарію засобами curl.exe та його запуск через powershell.exe. У PowerShell-сценарії застосовано обфускацію частини рядкових даних за допомогою XOR та Base64. Експеримент проведено в середовищі Windows 11 24H2 з увімкненими Microsoft Defender Antivirus, Microsoft Defender SmartScreen та Antimalware Scan Interface. Для перевірки наявності Mark of the Web досліджували його представлення у вигляді альтернативного потоку даних NTFS Zone.Identifier. Контрольним варіантом слугував .bat-файл, безпосередньо завантажений із вебресурсу тим самим браузером. У дослідженій конфігурації обидва файли містили потік Zone.Identifier зі значенням ZoneId=3. Водночас продемонстровано, що застосування PowerShell-команди Unblock-File забезпечило видалення потоку Zone.Identifier; під час повторного запуску файла попередження про неможливість перевірити видавця більше не спостерігалося. Експериментальний ланцюжок продовжився отриманням і запуском PowerShell-сценарію та встановленням C2-взаємодії, характерної для сценаріїв віддаленого керування шкідливим програмним забезпеченням. Виконання контрольних команд і передавання результатів відбувалися за активних Microsoft Defender Antivirus та AMSI, а також чотирьох увімкнених правил зменшення поверхні атаки (ASR) у режимі блокування. Практичне значення роботи полягає в обґрунтуванні необхідності комплексного аналізу ланцюжка формування та виконання сценарного коду з незалежним оцінюванням метаданих походження файла та реакції механізмів захисту на різних етапах його обробки.
Завантаження
Посилання
Kaushik, K., Sharma, G., Narooka, P., Chhabra, G., & Vishnoi, A. (2023). HTML smuggling: Attack and mitigation. In 2023 16th International Conference on Security of Information and Networks (SIN) (pp. 1–5). IEEE. https://doi.org/10.1109/SIN60469.2023.10474837
Dora, J. R., & Hluchý, L. (2025). Security review of a client-side code execution with HTML smuggling attack. In 2025 IEEE 12th International Conference on Computational Cybernetics and Cyber-Medical Systems (ICCC) (pp. 131–136). IEEE. https://doi.org/10.1109/ICCC64928.2025.10999118
Wu, M.-H., Hsu, F.-H., Hunag, J.-H., Wang, K., Liu, Y.-Y., Chen, J.-X., Wang, H.-J., & Yang, H.-T. (2024). MPSD: A robust defense mechanism against malicious PowerShell scripts in Windows systems. Electronics, 13(18), Article 3717. https://doi.org/10.3390/electronics13183717
Zhang, S., Li, S., Lu, J., & Yang, W. (2025). Power-ASTNN: A deobfuscation and AST neural network enabled effective detection method for malicious PowerShell scripts. Computers & Security, 154, Article 104441. https://doi.org/10.1016/j.cose.2025.104441
Rose, A. J., Graham, S. R., Schubert Kabban, C. M., Krasnov, J. J., & Henry, W. C. (2024). ScriptBlock smuggling: Uncovering stealthy evasion techniques in PowerShell and .NET environments. Journal of Cybersecurity and Privacy, 4(2), 153–166. https://doi.org/10.3390/jcp4020008
Hendler, D., Kels, S., & Rubin, A. (2018). Detecting malicious PowerShell commands using deep neural networks. In Proceedings of the 2018 Asia Conference on Computer and Communications Security (pp. 187–197). Association for Computing Machinery. https://doi.org/10.1145/3196494.3196511
Hendler, D., Kels, S., & Rubin, A. (2020). AMSI-based detection of malicious PowerShell code using contextual embeddings. In Proceedings of the 15th ACM Asia Conference on Computer and Communications Security (ASIA CCS ’20) (pp. 679–693). Association for Computing Machinery. https://doi.org/10.1145/3320269.3384742
Fang, Y., Zhou, X., & Huang, C. (2021). Effective method for detecting malicious PowerShell scripts based on hybrid features. Neurocomputing, 448, 30–39. https://doi.org/10.1016/j.neucom.2021.03.117
Song, J., Kim, J., Choi, S., Kim, J., & Kim, I. (2021). Evaluations of AI-based malicious PowerShell detection with feature optimizations. ETRI Journal, 43(3), 549–560. https://doi.org/10.4218/etrij.2020-0215
Alahmadi, A., Alkhraan, N., & BinSaeedan, W. (2022). MPSAutodetect: A malicious PowerShell script detection model based on stacked denoising auto-encoder. Computers & Security, 116, Article 102658. https://doi.org/10.1016/j.cose.2022.102658
Xiong, C., Li, Z., Chen, Y., Zhu, T., Wang, J., Yang, H., & Ruan, W. (2022). Generic, efficient, and effective deobfuscation and semantic-aware attack detection for PowerShell scripts. Frontiers of Information Technology & Electronic Engineering, 23(3), 361–381. https://doi.org/10.1631/FITEE.2000436
Chai, H., Ying, L., Duan, H., & Zha, D. (2022). Invoke-Deobfuscation: AST-based and semantics-preserving deobfuscation for PowerShell scripts. In 2022 52nd Annual IEEE/IFIP International Conference on Dependable Systems and Networks (DSN) (pp. 295–306). IEEE. https://doi.org/10.1109/DSN53405.2022.00039
Ugarte, D., Maiorca, D., Cara, F., & Giacinto, G. (2019). PowerDrive: Accurate de-obfuscation and analysis of PowerShell malware. In Detection of Intrusions and Malware, and Vulnerability Assessment: 16th International Conference, DIMVA 2019 (pp. 240–259). Springer. https://doi.org/10.1007/978-3-030-22038-9_12
Fu, Z., Song, L., Ding, S. H. H., Alaca, F., & Acharya, S. (2025). Toward a robust detection of PowerShell malware against code mixing and obfuscation by using sentence transformer and similarity learning. ACM Transactions on Privacy and Security, 28(4), Article 55, 1–23. https://doi.org/10.1145/3771542
Sudhakar, & Kumar, S. (2020). An emerging threat fileless malware: A survey and research challenges. Cybersecurity, 3, Article 1. https://doi.org/10.1186/s42400-019-0043-x
MITRE. (n.d.). Obfuscated files or information: HTML smuggling (T1027.006). MITRE ATT&CK. Retrieved September 19, 2026, from https://attack.mitre.org/techniques/T1027/006/
MITRE. (n.d.). Detection strategy for HTML smuggling via JavaScript Blob + dynamic file drop (DET0313). MITRE ATT&CK. Retrieved September 19, 2026, from https://attack.mitre.org/detectionstrategies/DET0313/
Microsoft Threat Intelligence. (2021, November 11). HTML smuggling surges: Highly evasive loader technique increasingly used in banking malware, targeted attacks. Microsoft Security Blog. https://www.microsoft.com/en-us/security/blog/2021/11/11/html-smuggling-surges-highly-evasive-loader-technique-increasingly-used-in-banking-malware-targeted-attacks
World Wide Web Consortium. (2026, September 12). File API (W3C Working Draft). https://www.w3.org/TR/2026/WD-FileAPI-20260912/
Byeon, H. (2026). Trust propagation failure in the recursive-execution path of nested archives. International Journal of Safety and Security Engineering, 16(3), 503–508. https://doi.org/10.18280/ijsse.160303
Microsoft. (n.d.). [MS-FSCC]: Zone.Identifier stream name. Microsoft Learn. Retrieved September 19, 2026, from https://learn.microsoft.com/en-us/openspecs/windows_protocols/ms-fscc/6e3f7352-d11c-4d76-8c39-2516a9df36e8
Microsoft. (n.d.). Microsoft Defender SmartScreen overview. Microsoft Learn. Retrieved September 19, 2026, from https://learn.microsoft.com/en-us/windows/security/operating-system-security/virus-and-threat-protection/microsoft-defender-smartscreen/
Microsoft. (n.d.). Microsoft Defender Antivirus in Windows overview. Microsoft Learn. Retrieved September 20, 2026, from https://learn.microsoft.com/en-us/defender-endpoint/microsoft-defender-antivirus-windows
Microsoft. (n.d.). Antimalware Scan Interface (AMSI). Microsoft Learn. Retrieved September 19, 2026, from https://learn.microsoft.com/en-us/windows/win32/amsi/antimalware-scan-interface-portal
Microsoft. (n.d.). About execution policies. Microsoft Learn. Retrieved September 20, 2026, from https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.core/about/about_execution_policies?view=powershell-5.1
Опубліковано
Як цитувати
Номер
Розділ
Ліцензія
Авторське право (c) 2026 Олег Кириченко, Роман Корольков
Ця робота ліцензується відповідно до Creative Commons Attribution-NonCommercial-ShareAlike 4.0 International License.
