Contrabando de Exif

Una evolución de prueba de concepto del Contrabando de Caché. Este ataque oculta un payload ejecutable dentro de los datos Exif de un JPG. Como resultado, el almacenamiento en caché de imágenes (como el de un navegador web) puede usarse para descargar pasivamente el payload.

Como resultado, el cargador de ejemplo (chrome_poc.ps1) no necesita hacer ninguna solicitud de internet para obtener el payload de segunda etapa. En su lugar, simplemente lo extrae de la caché del navegador Chrome.

Para más detalles, consulte: https://malwaretech.com/2025/10/exif-smuggling

Ejemplo de Uso

Convertir el Cargador de PowerShell a Comando ClickFix

python3 build_clickfix_cmd.py --input-file chrome_poc.ps1 --output-file encoded_command.txt --fake-path "C:\test\doc.txt"

Incrustar DLL de payload dentro de un JPG arbitrario

python3 exif_smuggling.py --input-file image.jpg --output-file payload.jpg --payload hello_world.dll

Ejemplo de página de phishing

www/index.html