Che cosa è un attacco di Smuggling dell'HTML?

• usando un tag anchor:
  il tag anchor HTML "a" definisce un collegamento ipertestuale che collega una pagina ad un'altra. Crea un hyperlnk a una altra pagina web, file, location o verso qualsiasi URL. Anche per scaricare un file ospitato su un qualsiasi server si può usare un tag anchor. Ad esempio

• usando un blob Javascript:
  i blob Javascript sono oggetti composti da una raccolta di byte contenenti i dati archiviati in un file. I dati BLOB vengono archiviati nella memoria dell'utente. Queste raccolte di dati sono usate "nello stesso posto"  in cui sarebbe stato usato un altro file già presente. In altre parole i Blob possono essere usati per costruire oggetti simili a file su  un client: questi file possono essere poi passati nelle API JavaScript che prevedono l'uso di URL. Ad esempio, i byte del file payload.exe possono essere forniti come input JS in un Blob JS: il blob può così essere compilato e scaricato sul lato utente;
  
  
• l'uso di elementi integrati:
  questa tecnica consiste nell'integrare in un documento HTML applicazioni esterne, che generalmente sono contenuti multimediali come audio e video. Questi documenti HTML possono quindi essere usati come contenitori per plugin-in integrati, come le animazioni flash. 

Smuggling dell'HTML: perché questa tecnica è così utilizzata?

Qbot: la catena di infezione

Qbot: analisi della DLL

Come Qbot ottiene la persistenza

• copia sé stesso nella cartella %AppData%\Roaming\Microsoft\{RandomStrings};
• crea una voce di registro che punta sul payload.

Comunicazioni C2

Per concludere