Передавать зло с помощью картинок

Стеганография – искусство скрытия цифровой информации внутри, казалось бы, безвредных файлов. В последние годы она стала одним из самых популярных методов доставки вредоносного кода, обхода антивирусных систем и организации скрытых каналов команд‑и‑управления (C2). В этой статье мы разберём, как злоумышленники используют изображения для передачи «зла», какие техники применяются, какие реальные инциденты уже произошли и как защититься.

Что такое стеганография?

Термин «стеганография» происходит от греческого steganos – «скрытый» и graphia – «письмо». В контексте ИТ это процесс внедрения произвольных данных в цифровой носитель (изображение, аудио, видео, документ) так, чтобы их наличие было незаметно обычным пользователям и большинству средств защиты.

• Каналы скрытой коммуникации – передача команд, ключей шифрования, эксплойтов.
• Обфускация вредоносного кода – скрытие полезной нагрузки внутри легитимных файлов.
• Транспортировка больших объёмов данных – exfiltration через изображения, размещённые на публичных хостингах.

Стеганография часто сравнивается со скрытой передачой сообщений (например, в мессенджерах) и отличается тем, что скрытый контент не просто зашифрован, а полностью замаскирован под обычный файл.

---

Почему изображения – идеальный «тайник»?

1. Большой объём данных. Форматы JPEG, PNG, BMP позволяют хранить сотни килобайт «лишних» битов без заметного ухудшения качества.
2. Широкое распространение. Фотографии находятся в каждом веб‑сайте, соцсетях, электронных письмах – их загрузка почти не вызывает подозрений.
3. Поддержка кэширующих прокси и CDN. При загрузке изображения часто проходит через кэширующие серверы, что усложняет мониторинг запросов к C2‑серверам.
4. Низкая эффективность сигнатурных антивирусов. Большинство AV‑решений сканируют только исполняемые файлы, а не содержимое медиа‑файлов.

---

2.1 Техники стеганографии в вредоносных образах

Согласно MITRE ATT&CK, злоумышленники используют две основные техники:

• Steganography (T1027.003) – обфускация полезной нагрузки внутри медиа‑файла.
• Embedded Payloads (T1027.009) – сокрытие кода непосредственно в файле‑контейнере;

Если стеганография применяется как постоянный канал связи, добавляются техники:

• Steganography (T1001.002) – скрытая передача команд C2 через регулярно обновляемые изображения.

---

Реальные примеры атак «зло через картинки»

3.1 Новый вредоносный Excel‑файл

Исследователи обнаружили Excel‑документ, в котором VBS‑скрипт делает HTTP‑запрос к hxxp://paste.ee/d/tifhAljb/0. По ссылке скачивается длинный VBA‑код (SHA‑256: 352ef6f5c4568d6ed6a018a5128cf538d33ea72bd040f0fd3b9bca6bd6a5dae9), который запускает PowerShell‑скрипт. Последний загружает изображение hxxps://zynova.kesug.com/new_image.jpg. Внутри картинки, между метками INICIO и <lt;FIM., скрыт вредоносный модуль.

3.2 Плагин core‑stab (2023‑06‑14)

В репозитории обнаружен файл front.jpg, содержащий обфусцированный бэкдор, закодированный через hex2bin и сжатый в бинарный блок. При загрузке плагина вредоносный код извлекается и исполняется, предоставляя удалённый доступ к системе.

3.3 Кибершпионская группа Ocean Lotus (2025‑10‑07)

Группа использовала JPEG‑файлы, размещённые на публичных хостингах (Imgur, GitHub), для кражи данных у международной авиастроительной компании. Вредоносный модуль периодически скачивал новые изображения, извлекая из них команды и отправляя их обратно в C2.

3.4 Exploit.IN (2015‑11‑21)

После инфицирования система загружает PNG‑изображение с легитимного портала, в котором скрыт исполняемый код. Данный метод широко использовался в пиратских сайтах, распространяющих генераторы лицензионных ключей.

3.5 Вирусы и графика: уязвимости в Able2Extract Professional (2024‑05‑08)

Исследователи Cisco Talos нашли уязвимость, позволяющую выполнить произвольный код через JPEG и BMP‑файлы, открываемые в PDF‑конвертере. Хотя это не стеганография в чистом виде, она демонстрирует, как графика может стать вектором атаки.

---

Как обнаружить скрытый код в изображениях?

Для стегоанализа существуют специализированные инструменты:

• StegExpose – сканирует изображения на наличие скрытых данных, используя статистические модели.
• StegAlyze – визуализирует распределение битов и помогает выявить аномалии.
• binwalk и exiftool – позволяют исследовать метаданные и вложенные файлы.
• Detect It Easy (DIE) – определяет наличие встроенных исполняемых модулей.

Ключевые признаки, которые могут указывать на стеганографию:

1. Необычно большой размер файла относительно визуального качества.
2. Наличие странных или лишних метаданных (например, комментариев, пользовательских тегов).
3. Повторяющиеся паттерны в битовом представлении (часто обнаруживаются в LSB‑стеганографии).
4. Сигнатуры известных стеганографических форматов (например, StegHide, OpenStego).

---

Как защититься от атак через изображения?

5.1 Технические меры

• Контроль загрузки медиа‑файлов. Ограничьте возможность скачивания изображений из непроверенных источников.
• Сканирование всех входящих файлов. Интегрируйте стегоанализ в цепочку CI/CD и в шлюзы электронной почты.
• Изоляция исполнения. Запускайте макросы, скрипты и PowerShell в изолированных контейнерах (sandbox).
• Обновление программного обеспечения. Патчите уязвимости в офисных пакетах, PDF‑читалках и библиотеках обработки изображений.

5.2 Организационные меры

• Обучайте сотрудников распознавать подозрительные файлы (например, «Excel‑файл с вложенным изображением»).
• Внедрите политику Zero Trust для доступа к внешним ресурсам.
• Регулярно проводите пентесты и red‑team‑упражнения, включающие сценарии стеганографии.

5.3 Практический чек‑лист

1. Проверить, что все входящие изображения проходят через StegExpose или аналогичный инструмент.
2. Отслеживать аномальные запросы к внешним доменам, особенно к CDN‑провайдерам.
3. Вести журнал изменения размеров файлов (например, резкое увеличение .jpg с 120 KB до 1,2 MB).
4. Ограничить выполнение макросов и скриптов в Office‑документах, если они не подписаны.

---

Перспективы и тенденции

С ростом искусственного интеллекта и генеративных моделей (Stable Diffusion, DALL‑E) появятся новые способы генерации «чистых» изображений, в которые будет встраиваться вредоносный код без визуальных артефактов. Кроме того, развитие мульти‑медийных C2‑каналов (например, скрытая передача команд через GIF‑анимацию или аудио‑стримы) усложнит задачу обнаружения.

Для защиты от будущих угроз потребуется:

• Интеграция машинного обучения в стегоанализ (анomaly detection).
• Совместная работа между поставщиками антивирусов и исследовательскими сообществами для обмена сигнатурами новых стеганографических схем.
• Развитие поведенческого мониторинга сетевого трафика, способного выявлять регулярные запросы к изображениям‑«тайникам».

---

Стеганография в изображениях превратилась из академической загадки в реальный инструмент киберпреступников. Примеры с 2023‑го по 2026‑й годы показывают, что злоумышленники способны скрывать сложные VBA‑ и PowerShell‑модули внутри обычных JPEG‑файлов, использовать публичные хостинги для постоянных C2‑каналов и даже внедрять бэкдоры в популярные плагины.

Для организаций критически важно:

1. Внедрять автоматический стегоанализ всех медиа‑файлов.
2. Обучать персонал признакам подозрительных вложений.
3. Поддерживать актуальность программного обеспечения и использовать изоляцию выполнения.

Только комплексный подход, сочетающий технические средства, процессы и обучение, позволит эффективно противостоять угрозам, скрывающим «зло» в безобидных картинках.

Помните: даже самая красивая фотография может стать «тупиком» для киберпреступников. Будьте бдительны!