Опубликовано: 11.10.2026 | Источник: CNews (новости)

Анализ вредоносных вложений в фишинговых рассылках для ВКР по кибербезопасности: методика детектирования и метрики защищённости

Атака, о которой сообщает CNews, — классический пример гибридного фишинга: злоумышленники используют домен .ru для отправки писем и скомпрометированные марокканские сайты для хостинга полезной нагрузки, маскируя трояны и криптомайнеры под PDF-резюме. Для выпускника ИБ-специальности это не просто новость, а готовый сценарий для эмпирической главы: есть вектор (email), есть образец вредоноса, есть тактика MITRE ATT&CK (T1566 Phishing, T1204 User Execution, T1496 Resource Hijacking). Ниже — как превратить эту историю в защищаемую ВКР и не утонуть в нормоконтроле.

Что чаще всего спрашивают студенты ИБ, прежде чем взяться за тему

Три темы ВКР, вытекающие прямо из кейса

• Тема 1. Система детектирования вредоносных вложений в корпоративном почтовом трафике

  Актуальность: атака через поддельные резюме обходит классические спам-фильтры — письмо легитимно по структуре, вредоносен только вложенный файл.

  Цель: разработать модуль анализа вложений на базе YARA + статической эвристики.

  Задачи:

  1. Обзор TTP фишинговых кампаний (кейс CNews + MITRE ATT&CK).
  2. Проектирование архитектуры анализатора (C4 + UML deployment).
  3. Реализация парсера .eml/.msg и правил YARA.
  4. Оценка Precision/Recall/FPR на размеченном датасете.

  Структура: Гл.1 — теория фишинга и MITRE; Гл.2 — архитектура и код; Гл.3 — тестирование и метрики.

• Тема 2. Формализация тактик социальной инженерии через MITRE ATT&CK на примере «резюме-кампаний»

  Актуальность: нужна воспроизводимая карта TTP, чтобы SOC реагировал по сигнатурам, а не по интуиции.

  Цель: построить матрицу ATT&CK-покрытия для email-вектора и предложить правила SIEM.

  Задачи: анализ кластера атак, маппинг на техники, разработка запросов Splunk/Elastic, верификация на sandbox-логax.

  Структура: Гл.1 — социальная инженерия и ATT&CK; Гл.2 — карта детекций; Гл.3 — пилотное внедрение в SIEM.

• Тема 3. Изолированная песочница для автоматического анализа вложений

  Актуальность: в кейсе CNews полезная нагрузка хостилась на взломанных сайтах — значит, нужен динамический анализ с изоляцией.

  Цель: развернуть Cuckoo/CAPE-подобный конвейер и интегрировать результат в почтовый шлюз.

  Задачи: построение виртуального стенда, отчётность по IOC, метрика времени анализа и доли детекций.

  Структура: Гл.1 — обзор песочниц; Гл.2 — проектирование и развёртывание; Гл.3 — нагрузочное тестирование и оценка TCO.

Как встроить материал статьи в главы ВКР

Глава 1. Теория — от новости к модели угроз

Не пересказывайте CNews целиком. Возьмите три факта (домен .ru, взломанные сайты, маскировка под резюме) и оформите их как STRIDE-модель или диаграмму потока угроз. Отдельный подраздел — сравнение со стандартом ISO/IEC 27005 и OWASP Top 10 (A03 Injection, A08 Software & Data Integrity). Здесь же уместна схема BPMN процесса «получение письма → открытие вложения → заражение».

Глава 2. Проектирование — архитектура и псевдокод

Опишите архитектуру анализатора по C4 (контекст, контейнеры, компоненты). Пример ядра парсера:

import email
from hashlib import sha256
from pathlib import Path

def analyze_eml(path: Path):
    msg = email.message_from_bytes(path.read_bytes())
    report = {"from": msg["From"], "subject": msg["Subject"], "ioc": []}
    for part in msg.walk():
        fname = part.get_filename()
        if not fname:
            continue
        payload = part.get_payload(decode=True) or b""
        digest = sha256(payload).hexdigest()
        # статическая эвристика: макросы, энтропия, исполняемые расширения
        suspicious = part.get_content_type() in (
            "application/x-msdownload", "application/vnd.ms-office"
        ) or fname.lower().endswith((".exe", ".js", ".lnk", ".iso"))
        report["ioc"].append({"file": fname, "sha256": digest,
                              "suspicious": suspicious})
    return report

Глава 3. Тестирование — метрики и валидация

Соберите confusion matrix по детекциям, посчитайте:

Сравните базовую сигнатуру (только расширения) и гибрид (YARA + энтропия). Разница в F1 — ваш главный практический вывод.

YARA-правило под конкретную кампанию

rule Resume_Lure_Dropper {
  meta:
    author = "VKR_Student"
    mitre  = "T1566.001"
  strings:
    $s1 = "curriculum" nocase
    $s2 = "resume" nocase
    $hex = { 4D 5A 90 00 }   // MZ header
  condition:
    uint16(0) == 0x5A4D and 2 of ($s*) and $hex
}

Источник: Европу атакуют с помощью поддельных резюме с майнерами и троянами (опубликовано 2026-03-27)