Нова атака PixelCode пренася зловреден софтуер чрез кодиране в пикселите на изображения

Демонстрирана е нова техника за доставка на зловреден софтуер, наречена „PixelCode“, която показва как изпълними файлове могат да бъдат кодирани директно във видео кадри. Този подход позволява на участниците в заплахите да хостват тези видеа на легитимни платформи като YouTube, помагайки на зловредния софтуер да избегне традиционните механизми за засичане.

Техниката PixelCode трансформира бинарни изпълними файлове във визуални данни за пикселите, като ефективно маскира софтуера като безобидно мултимедийно съдържание. Чрез преобразуване на всеки байт от изпълнимия файл в структурирани цветни матрици, атакуващите могат да вграждат цели полезни товари в изображения или видео файлове, без да излагат техния суров бинарен вид.

Според изследователя S3N4T0R, веригата на атаката започва със зловреден C++ полезен товар, проектиран за комуникация със сървър за управление и контрол (C2). След компилация, изпълнимият файл се обработва чрез базиран на Python енкодер, който превръща бинарните данни в PixelCode MP4 видео файл. Това кодирано видео се качва в YouTube, което позволява на атакуващите да използват инфраструктурата на доверена платформа за хостване на полезния товар.

Многостепенен процес на доставка

Механизмът за доставка използва усъвършенстван многостепенен подход. Специално създаден C++ лоудър съдържа вграден YouTube URL адрес, сочещ към PixelCode видеото. Тъй като C++ няма вградени библиотеки за декодиране на мултимедия, изследователите са вградили Base64-енкодиран Python стейджър директно в лоудъра.

При изпълнение на целевата система, лоудърът изтегля видеото от YouTube и разгръща вградения Python стейджър. Този стейджър обработва видеото кадър по кадър, извличайки данните от пикселите и възстановявайки оригиналния зловреден изпълним файл директно в паметта преди неговото изпълнение.

Тази техника поставя значителни предизвикателства пред традиционните решения за сигурност. Чрез маскирането на зловреден софтуер като легитимно видео съдържание, атакуващите могат да заобиколят конвенционалното сканиране на файлове и механизмите за мрежова филтрация. Филтрите за сигурност, проектирани да проверяват изпълними файлове, често не подлагат мултимедийното съдържание на същата строга проверка.

Инженерът по офанзивна сигурност S3N4T0R, специализиран в симулация на противници и заобикаляне на защити, разработи това доказателство за концепция за изследователски и образователни цели. Изследователят и преди е създавал множество инструменти за симулация на APT (Advanced Persistent Threat), включително C2 рамката BEAR и симулации, имитиращи групите APT28 и APT29.

Препоръки

Организациите трябва да внедрят поведенчески анализ и възможности за детекция в паметта, за да идентифицират подозрителни дейности, включващи реконструкция на полезен товар. Мрежовият мониторинг за необичайни изтегляния на видео, последвани от незабавно изпълнение, може да помогне за откриването на този вектор на атака.

Техниката PixelCode подчертава развиващата се сложност на методите за доставка на зловреден софтуер и значението на стратегиите за ешелонирана отбрана, които се простират отвъд традиционното засичане.

Източник: https://cybersecuritynews.com/