Группа APT-36 собирает необычные .lnk файлы размером более 2 MB, которые содержат PDF-структуры
Анализ показал, что злоумышленники встраивают объекты
stream, endobj, изображения и другие структуры PDF. Это делает файл похожим на настоящий документ и увеличивает его размер🔭 Обнаружение:
🔤 хантим LNK файлы с большим объемом (обычный вес 10–12 KB)
rule Suspicious_LNK_Large_File
{
meta:
description = "Detect unusually large Windows shortcut files >200KB"
author = "@detectioneasy"
date = "2026-03-12"
reference = "Malware often abuses oversized LNK files to embed payloads https://www.cyfirma.com/research/apt36-multi-stage-lnk-malware-campaign-targeting-indian-government-entities/"
strings:
$lnk_magic = {4C 00 00 00 01 14 02 00}
condition:
$lnk_magic at 0 and
filesize > 200KB
}
🔤 отслеживаем создание LNK файлов, процессами архиваторов
🔤 отслеживаем LNK-файлы с альтернативным потоком
#detection@detectioneasy
#ttp@detectioneasy