¿Cómo es posible incrustar código ejecutable en una imagen?

Nada es perfecto, y un tipo común de error es un desbordamiento de búfer, donde en breve se copian los datos donde no debería estar, y en algunos casos esto puede llevar a la ejecución de código arbitrario.

Por ejemplo, aquí es un error en las versiones anteriores de Microsoft, en el que si ve un cierto imagen con IE que código arbitrario podría ser ejecutado.

Tenga en cuenta que esto es muy específico de la implementación, por lo que abrir la misma imagen en firefox o chrome simplemente resultaría en una imagen rota, pero sin ejecución de código.

Desbordamiento de búfer en términos sencillos

Detalles técnicos de desbordamiento de búfer

Mints97 es genial, pero creo que puede haber más que eso. Un problema especialmente maravilloso (leído: terrible) con Windows es que admite el conjunto completo de caracteres Unicode en los nombres de archivo, incluido (y este es el peor), U-202E.

Aunque estoy seguro de que tiene algunos buenos usos inocuos, pero puede permitir que las personas cambien maliciosamente el nombre de archivo de una manera que sea difícil de notar para el usuario promedio. Esto está excelentemente documentado en este artículo de howtogeek.com .

Esencialmente, el pirata informático puede poner U-202E en un nombre de archivo y cambiar de filename by gnp.tab a filename by bat.png . El carácter invierte el orden de todos los nombres después de sí mismo. Todo lo que el atacante debe hacer es elegir el tipo de archivo correcto que se ejecuta, y Windows lo asociará con el nombre del ejecutable.

Esto es más difícil de proteger de lo que piensas. La mejor defensa sería escanear los nombres de los archivos para esto. El comando CMD dir parece reportar un ? para este carácter Unicode. Python, y estoy seguro de que otros idiomas, pueden obtener el nombre de Unicode, por lo que un script o programa de algún tipo podría evitar este problema.

Por mucho, la solución más simple es mirar las cuatro letras antes de una extensión de archivo y asegurarse de que el reverso no sea un nombre ejecutable. (Creo que hay algunos nombres ejecutables de cuatro letras, pero no estoy seguro).

¡Ten cuidado!

EDITAR: hice un script en Python descargar aquí que lee los nombres de los archivos en un directorio para U-202E. Le indica si a) el nombre real yb) la extensión. Debería ser compatible con trabajar con múltiples archivos y múltiples U-202E en un nombre.

Usted escribió: "El formato del archivo de imagen era pif", pero el artículo dice que "los investigadores de FireEye encontraron una colección de chats y documentos mientras investigaban malware oculto en documentos PDF". El formato archivo de información del programa se usó en los sistemas Microsoft Windows, aunque los archivos en ese formato son más raros ahora que antes. Hubo vulnerabilidades asociadas con los archivos PIF, por ejemplo, vea Microsoft Windows ejecuta automáticamente el código especificado en los archivos de acceso directo , pero El artículo del New York Times menciona documentos en PDF.

Las imágenes se pueden almacenar dentro de documentos PDF y alguien que abre un documento PDF puede hacerse vulnerable a las vulnerabilidades al usar archivos PDF. En ese caso, es poco probable que el problema sea creado por la imagen, sino por el contenedor, es decir, el archivo PDF en el que se transmitió. Para conocer algunas vulnerabilidades de PDF, consulte amenazas actuales en pdf y El aumento de la explotación de antiguas vulnerabilidades de PDF . Por ejemplo, la última referencia menciona una vulnerabilidad asociada con JavaScript dentro de un archivo PDF que señala que "el JavaScript incorporado puede contener instrucciones maliciosas, como comandos para descargar e instalar otro malware".

Bueno, comienzas con el análisis del formato de archivo. Y luego adivine cómo reaccionará el software diferente.

Por ejemplo, JPEG - enlace : utiliza marcadores especiales para delimitar el inicio y el final de imagen. Ahora, uno apostaría a que el software que se ocupa de JPEG solo buscará el inicio y el final de los marcadores de imagen y trazará todo lo que se encuentre entre ellos. Si no se encuentra ninguno de los marcadores, entonces el jpeg no es válido, ¿verdad? Y ahora, si nosotros, después del final del marcador de imagen, agregamos una marca de Fin de archivo, y después de eso, agregamos nuestra carga útil ejecutable. Bueno, apuesto a que la mayoría de los plotters jpeg por ahí simplemente ignorarán la carga útil y funcionarán como se supone. Éxito en este punto hemos adjuntado una carga útil en la imagen. Ahora para hacer que se ejecute, bueno, esto es un poco más difícil. Podríamos hacer que nuestro "software" busque material después del final del marcado de la imagen y, si está presente, ingerirlo, o podemos intentar inyectar el encabezado ELF / EXE / COM con un desplazamiento del código antes del inicio del marcado de la imagen y esperar que el trazado el software lo ignorará, pero el sistema operativo no.

El problema es que inicialmente el sistema y las redes se construyeron con la idea errónea de que las personas son honestas y se comportan como máquinas y no romperán los patrones ni utilizarán el software fuera de los casos previstos. Y debido a esto, se hicieron muchas suposiciones. Sí, el usuario escribirá a lo sumo 200 caracteres, sí, el usuario siempre escribirá un formato legible y así sucesivamente. Cuando piensa en casos de uso, como programador, adquiere el hábito de pensar que los casos son absolutos y no tienen excepciones. Adivina qué sucede cuando aparece alguien que está pensando fuera de la caja ...

Hace unos años hubo una vulnerabilidad muy publicitada que usaba un error en una biblioteca jpeg particular y ampliamente distribuida. El efecto neto de este exploit fue permitir ejecutar. código arbitrario en la máquina de las víctimas, cuando nominalmente todo lo que estaban haciendo era intentar para ver una imagen.

También, por ejemplo, hubo una vulnerabilidad de los archivos de texto enriquecido (formato rtf) que no requiere un error, solo usando una característica poco conocida del formato rtf para ejecutar Código en la máquina de los usuarios.

Otro ejemplo es incrustar macros en documentos de Word. Las macros son increíblemente poderosas. y una función útil, pero cuando puede darle a alguien un documento que contiene macros de su Al elegir, también puede ser una poderosa herramienta de piratería.

En general, es realmente tentador integrar características en formatos de archivos complejos que les dan Capacidades equivalentes al turismo. Tampoco es una buena idea.

Recuerdo en los viejos tiempos al ver o cargar un archivo .ico con las API que se enviaban con las ventanas utilizadas para permitir la ejecución directa de código si se creaban con la suficiente malicia.

Y todo el concepto detrás del formato de archivo wmf fue llamar directamente a las rutinas gráficas. (de ahí la creación del formato de mapa de bits independiente del dispositivo, también conocido como archivos .bmp)

Así que sí, es posible, y se ha hecho en el pasado. aunque poco probable en estos días. No lo descartaría por completo, pero diría que se necesitaría un atacante extremadamente hábil para lograrlo.