s3n4t0r-0x0/pixelcode-attack
Malicious PixelCode es un proyecto de investigación en seguridad que demuestra una técnica encubierta para codificar archivos ejecutables en datos de píxeles y almacenarlos dentro de imágenes o vídeos. Un cargador ligero recupera el archivo multimedia, reconstruye el binario original y lo ejecuta en memoria. Este proyecto pone de relieve la entrega de datos no convencional.
Malicious PixelCode es un proyecto de investigación en seguridad que demuestra una técnica encubierta para codificar archivos ejecutables en datos de píxeles y almacenarlos dentro de imágenes o vídeos. Un cargador ligero recupera el archivo multimedia, reconstruye el binario original y lo ejecuta en memoria. Este proyecto destaca métodos no convencionales de entrega de datos y ofuscación únicamente con fines educativos y de investigación.
Esta investigación fue cubierta por Cyber Security News: https://cybersecuritynews.com/pixelcode-attack/
[!CAUTION] Aviso importante: Este proyecto es estrictamente para fines educativos, de investigación y de seguridad defensiva únicamente. El uso no autorizado de estas técnicas puede violar leyes y tener graves consecuencias legales.
Pixel Code es un concepto de investigación que representa datos binarios en forma de píxeles visuales, donde cada píxel codifica una pequeña porción del archivo original al convertir los bytes ejecutables en una matriz de colores estructurada. Los datos pueden almacenarse, transmitirse o incrustarse dentro de imágenes o vídeos sin exponer su forma cruda.
Esta técnica se explora a menudo para estudiar la ofuscación de datos, el almacenamiento encubierto y los canales de codificación no convencionales. La codificación basada en píxeles permite a los investigadores analizar cómo se puede ocultar información dentro de contenido multimedia y luego reconstruirla mediante algoritmos de decodificación.
También ayuda a comprender las implicaciones de seguridad de transportar datos codificados a través de plataformas comunes como los servicios de intercambio de imágenes o vídeos. En general, Pixel Code se centra en transformar archivos digitales en una representación visual que puede recuperarse mediante un decodificador correspondiente.
Los actores maliciosos podrían hacer un uso indebido de Pixel Code codificando binarios o scripts dañinos en datos visuales como imágenes o fotogramas de vídeo. Al transformar el malware en representaciones basadas en píxeles, los atacantes pueden intentar disfrazar sus cargas útiles como contenido multimedia inofensivo.
Estos archivos codificados pueden subirse luego a plataformas legítimas como YouTube, lo que les da una apariencia de confianza y les permite evadir los filtros de seguridad tradicionales.
Un cargador o decodificador bajo el control del atacante podría recuperar posteriormente el vídeo y reconstruir el archivo malicioso original. Este escenario de abuso resalta cómo las técnicas no convencionales de codificación de datos pueden crear nuevos vectores de ataque y poner a prueba los mecanismos de detección existentes.
En este proceso de investigación comenzamos con una carga útil en C++ responsable de la comunicación de comando y control. Después de compilarla en un EXE, el binario se convierte en un MP4 de Pixel Code mediante una herramienta basada en Python. El vídeo de Pixel Code generado se sube luego a YouTube y su URL se incrusta dentro de un cargador en C++.
Dado que C++ carecía de las bibliotecas multimedia necesarias para revertir el Pixel Code, se utilizó en su lugar un stager de Python; este se compiló en un EXE, se codificó en Base64 y se incrustó directamente en el cargador junto con la URL de YouTube.
Cuando se ejecuta en el entorno objetivo, el cargador descarga el MP4 de Pixel Code desde YouTube y utiliza el stager de Python incrustado para reconstruir la carga útil original y ejecutarla, lo que en última instancia permite que el entorno de investigación restablezca el comando y control a través de BEAR-C2.
Se trata de una carga útil sigilosa de reverse shell para Windows escrita en C++ que se conecta de forma persistente a un servidor de comando y control. Utiliza cifrado AES-CBC con una clave estática fija y IV aleatorios para todas las comunicaciones, se autentica con un identificador único, ejecuta los comandos recibidos mediante cmd.exe o PowerShell (cuando van prefijados con "EP"), admite la navegación entre directorios, transmite la salida de los comandos en tiempo real mediante fragmentos cifrados con prefijo de longitud, se ejecuta sin ventana de consola visible y se reconecta automáticamente ante fallos. Es un troyano de acceso remoto cifrado completo diseñado para el control posterior a la explotación.
Una vez compilada la carga útil, el EXE resultante se procesa mediante una herramienta basada en Python diseñada específicamente para convertir datos binarios en Pixel Code. Esta herramienta convierte el ejecutable en una representación visual en MP4 donde los bytes binarios se incrustan como valores de píxeles en los fotogramas del vídeo.
Después de generar el archivo MP4 de Pixel Code, se sube a YouTube como un vídeo estándar. Alojar el binario codificado en una plataforma legítima permite a la investigación evaluar cómo los servicios externos de confianza manejan datos codificados no tradicionales. La URL del vídeo de YouTube se recopila para usarse en las siguientes etapas.
Se prepara un cargador personalizado escrito en C++ para recuperar el Pixel Code desde su ubicación en YouTube. La URL del vídeo obtenida en el paso anterior se incrusta directamente en este cargador para que pueda descargar el MP4 durante la ejecución.
Debido a que C++ carece de las bibliotecas multimedia necesarias para decodificar Pixel Code de vuelta a su forma binaria, se utiliza un stager de Python para manejar la reconstrucción. Este script de Python se compila en un EXE y luego se codifica en Base64. El stager codificado se incrusta directamente dentro del cargador de C++ junto con la URL de YouTube.
Stager.py -> Stager.exe -> base64 -> Loader.cpp -> Loader.exe
El stager de Python procesa el vídeo MP4 descargado fotograma a fotograma, extrae los datos de píxeles codificados y reconstruye la carga útil original en C++ en memoria.
Una vez restaurada, la carga útil se ejecuta, restableciendo finalmente la comunicación de comando y control con el servidor BEAR-C2 utilizado en el entorno de investigación.
Esto es para fines de investigación, concienciación y educación; no soy responsable si alguien utiliza esta técnica con fines ilegales.
