Опубликовано: 15.07.2026 | Источник: SecurityLab (RSS)

Вредонос VioletRAT в дипломе: как использовать реальный кейс для анализа уязвимостей и проектирования защиты

В марте 2026 года SecurityLab опубликовал детальный разбор, как вредонос VioletRAT обходит стандартные механизмы защиты Windows — не через бэкдоры или эксплойты, а через «механическое» использование писем, архивов и нестандартных символов. В статье описано, как злоумышленники подменяют шифрование, маскируют исполняемые файлы в PDF/ZIP и используют «странные» Unicode-символы (например, U+202E — Right-to-Left Override) для обхода проверок антивирусов. Это не теория — это уже практика: в 2025 году был зафиксирован рост таких атак на 47% по сравнению с предыдущим годом.

Для выпускников ИТ-направлений это важно: современные системы безопасности всё чаще строятся на поведенческом анализе и контекстной семантике, а не только на сигнатурах. Если ваш диплом затрагивает темы безопасности приложений, инженерии защиты, анализа угроз или проектирования систем с низкой доверенностью — этот кейс станет отличным основанием для глубокого анализа. Он позволяет показать, как реальные уязвимости возникают не из-за ошибок кода, а из-за пробелов в архитектуре и непонимания поведения пользователей и систем.

Темы ВКР: от кейса до проекта

Аналитическая глава: почему не хватает «обычных» решений?

В статье подчеркивается: VioletRAT не использует ни одного известного бага в Windows. Он работает через «выход за рамки ожидаемого» — например, когда архив содержит файл с расширением .zip, но внутри — исполняемый код, который не является частью стандартной структуры ZIP. Это вызывает у многих студентов вопрос: «Почему не сработал AV?» Ответ прост: большинство антивирусов проверяют только структуру, а не содержание — и тем более не последовательность действий после распаковки.

Ваша аналитическая глава должна включать:

• Сравнение подходов: обычный AV (сигнатурный), EDR (поведенческий), и «анализ семантики» (контекстно-зависимый). Приведите таблицу с метриками: скорость обнаружения, false positive, стоимость внедрения.
• Обоснование выбора стека: например, OpenTelemetry + Python + YARA для сбора метрик и сигнатур, или ClamAV + custom parser для базовой проверки.
• Использование терминологии: не просто «антивирус», а «система обнаружения и предотвращения вредоносных действий» (EDR), «модуль проверки целостности» (Integrity Check), «фильтр входных данных» (Input Sanitizer).

Проектная часть: как это выглядит в коде и схемах

Вот пример того, как можно реализовать «фильтр входных данных» в рамках вашего проекта:

class InputSanitizer:
    def __init__(self):
        self.allowed_extensions = {'.pdf', '.docx', '.zip'}
        self.allowed_mimes = {'application/pdf', 'application/zip'}

    def validate(self, file_path: str, mime_type: str) -> bool:
        # Проверка расширения
        if not any(file_path.endswith(ext) for ext in self.allowed_extensions):
            return False

        # Проверка MIME
        if mime_type not in self.allowed_mimes:
            return False

        # Проверка содержимого: нет исполнимых секций в PDF
        if mime_type == 'application/pdf':
            return not self.contains_executable_section(file_path)

        return True

    def contains_executable_section(self, path: str) -> bool:
        with open(path, 'rb') as f:
            data = f.read()
            # Простой поиск сигнатур PE-файлов
            return b'MZ' in data[:100] and b'PE' in data[4:8]

Это не «магический» код — это архитектурный элемент, который можно встроить в любой сервис. В вашей проектной части покажите:

• Диаграмму последовательности: Пользователь → Фильтр → Декодер → Анализатор → Решение
• UML-класс: InputValidator <<interface>> с реализацией для разных типов входов (HTTP, Email, File Upload)
• Сценарий использования: «Как система реагирует на архив с вложенным EXE»

Тестирование и метрики: не забудьте про RTO и RPO

Один из ключевых моментов в статье — то, что даже при наличии защиты, время реакции играет решающую роль. VioletRAT работает в фоне, и только после нескольких дней начинает активность. Поэтому в вашей работе нужно рассчитать:

• RTO (Recovery Time Objective): сколько времени потребуется, чтобы восстановить работу после инцидента. Например, если вы внедряете автоматическую блокировку при обнаружении «подозрительного» архива — RTO должен быть ≤ 5 минут.
• RPO (Recovery Point Objective): сколько данных можно потерять. Если вы используете резервное копирование каждые 15 минут — RPO = 15 мин.
• False Positive Rate: сколько «чистых» файлов будут ошибочно помечены как опасные. Цель: ≤ 0.1%.

Для этого проведите нагрузочное тестирование с набором 1000 файлов: 950 чистых, 50 с «подозрительными» признаками (например, PDF с вложенным EXE, ZIP с U+202E в имени файла). Запустите ваш фильтр и зафиксируйте результаты в таблице.

Чему вы научитесь, работая с этим кейсом

• Как обосновывать выбор технологий — не «я выбрал OpenTelemetry, потому что он популярен», а «OpenTelemetry позволяет собирать метрики на уровне контекста, что необходимо для анализа поведения файлов».
• Как писать технические документы по ГОСТ 34.602-89: описание функциональных требований, сценарии, диаграммы, таблицы соответствия.
• Как проводить сравнительный анализ — не просто «AV лучше», а «AV эффективен при сигнатурном анализе, но уступает EDR при анализе поведения, особенно в случае манипуляции кодировками».
• Как формулировать выводы: не «это важно», а «внедрение модуля анализа семантики снижает вероятность успешного инцидента на 68%, при этом стоимость внедрения составляет 120 часов разработки».

FAQ: часто задаваемые вопросы

Q: Сложно ли реализовать такой фильтр в дипломе?
A: Нет — если вы используете существующие библиотеки (например, python-magic для определения MIME, unzip для распаковки, pefile для анализа PE-файлов). Главное — не писать всё с нуля, а показать, как интегрируете модули.

Q: Требуются ли в дипломе исходные коды?
A: Да, но не весь проект — только ключевые модули (например, input_sanitizer.py). Код должен быть в виде pre-блока, с комментариями и пояснениями к архитектуре.

Q: Как оформить UML-диаграммы?
A: Используйте PlantUML или draw.io. В тексте укажите: «Диаграмма последовательности приведена в Приложении А. Структура классов — в Приложении Б».

Q: Где взять тестовые данные?
A: Для «подозрительных» файлов — GitHub: evil-files (легально, для учебных целей). Для «чистых» — стандартные шаблоны из Microsoft Office.

Источник: Письмо, архив и странные символы. Рассказываем, как вредонос VioletRAT обходит защиту Windows (опубликовано 2026-03-13)