Эксперт по безопасности Aux Grep продемонстрировал сложную атаку, в которой использовались стеганографические технологии для скрытия вредоносного кода внутри обычных JPG-изображений.
Такая техника позволяет доставлять полностью необнаруживаемую FUD (Fully UnDetectable) полезную нагрузку ransomware, обходя традиционные средства защиты.
Атака использует структуру метаданных файлов JPG для сокрытия кода PowerShell, который при запуске загружает и запускает программу-вымогатель, не вызывая предупреждений со стороны систем безопасности.
Эта техника, известная как stegomalware, представляет собой эволюцию в способности угроз обходить механизмы обнаружения.
- Stegomalware — это тип вредоносного ПО, которое использует стеганографию для сокрытия вредоносного кода внутри, на первый взгляд, безвредных файлов — например, изображений, аудио, видео или документов.
Это один из наиболее изощрённых и труднообнаруживаемых способов обфускации, применяемых современными киберпреступниками.
По словам Aux Grep, атака начинается, когда жертвы получают на первый взгляд безобидные изображения JPG по электронной почте, через социальные сети или скомпрометированные сайты.
В данных EXIF этих изображений скрыт запутанный код PowerShell, предназначенный для инициирования последовательности атак.
При открытии изображения вторичный компонент — как правило, документ Office с макросом — извлекает и выполняет скрытый код с помощью команд, аналогичных следующим:
После выполнения скрипт PowerShell загружает JPG-файл, содержащий закодированную в Base64 .NET-сборку, скрытую между определёнными маркерами.
Затем эта сборка загружает и выполняет конечную полезную нагрузку ransomware, которая шифрует файлы жертвы, оставаясь незамеченной для решений безопасности.
Эта атака особенно опасна благодаря использованию техники FUD. Авторы вредоносного ПО хорошо понимают, как работают средства защиты, и специально разрабатывают свой код для обхода обнаружения.
В недавней кампании, задокументированной в марте 2025 года, исследователи обнаружили злоумышленников, использующих эту технику для распространения различных троянских программ RAT (Remote Access Trojan), таких как LimeRAT, AgentTesla и Remcos, с последующим развёртыванием программ-вымогателей.
Первоначальный вектор заражения обычно включает спам-письма с вложенными изображениями. После их загрузки активируется скрытый сценарий PowerShell, который извлекает скрытый код, устанавливает соединение с командно-контрольными серверами и затем развёртывает полезную нагрузку программы-вымогателя.
Эксперты по безопасности рекомендуют несколько мер защиты от подобных атак:
- Реализуйте продвинутые решения для фильтрации электронной почты, которые анализируют встраиваемые компоненты изображений.
- Отключите автоматическое выполнение макросов в документах Office.
- Регулярно создавайте резервные копии важных данных.
- Развёртывайте решения безопасности с возможностями поведенческого анализа, а не только с детекцией по сигнатурам.
- Проявляйте осторожность при загрузке изображений из ненадёжных источников.
Материалы: Cybersecuritynews.com (Guru Baran)