s3n4t0r-0x0/pixelcode-attack
Malicious PixelCode è un progetto di ricerca sulla sicurezza che dimostra una tecnica occulta per codificare file eseguibili in dati pixel e archiviarli all'interno di immagini o video. Un caricatore leggero recupera il file multimediale, ricostruisce il binario originale e lo esegue in memoria. Questo progetto evidenzia una consegna di dati non convenzionale.
Malicious PixelCode è un progetto di ricerca sulla sicurezza che dimostra una tecnica occulta per codificare file eseguibili in dati pixel e archiviarli all'interno di immagini o video. Un loader leggero recupera il file multimediale, ricostruisce il binario originale e lo esegue in memoria. Questo progetto evidenzia metodi non convenzionali di consegna e offuscamento dei dati solo per scopi educativi e di ricerca.
Questa ricerca è stata trattata da Cyber Security News: https://cybersecuritynews.com/pixelcode-attack/
[!CAUTION] Avviso Importante: Questo progetto è strettamente per scopi educativi, di ricerca e di difesa della sicurezza. L'uso non autorizzato di queste tecniche potrebbe violare leggi e comportare serie conseguenze legali.
Pixel Code è un concetto di ricerca che rappresenta dati binari sotto forma di pixel visivi, dove ogni pixel codifica una piccola porzione del file originale convertendo byte eseguibili in una matrice di colori strutturata. I dati possono essere archiviati, trasmessi o incorporati all'interno di immagini o video senza esporre la loro forma grezza.
Questa tecnica è spesso esplorata per studiare l'offuscamento dei dati, l'archiviazione occulta e canali di codifica non convenzionali. La codifica basata su pixel consente ai ricercatori di analizzare come le informazioni possono essere nascoste all'interno di contenuti multimediali e successivamente ricostruite tramite algoritmi di decodifica.
Aiuta anche a comprendere le implicazioni di sicurezza del trasporto di dati codificati attraverso piattaforme comuni come servizi di condivisione di immagini o video. In generale, Pixel Code si concentra sulla trasformazione di file digitali in una rappresentazione visiva che può essere recuperata utilizzando un decodificatore corrispondente.
Attori malintenzionati potrebbero potenzialmente abusare di Pixel Code codificando binari o script dannosi in dati visivi come immagini o fotogrammi video. Trasformando malware in rappresentazioni basate su pixel, gli aggressori potrebbero tentare di mascherare i loro payload come contenuti multimediali innocui.
Questi file codificati possono quindi essere caricati su piattaforme legittime come YouTube, dando loro un'apparenza di affidabilità e bypassando i tradizionali filtri di sicurezza.
Un loader o decodificatore sotto il controllo dell'aggressore potrebbe successivamente recuperare il video e ricostruire il file dannoso originale. Questo scenario di abuso evidenzia come tecniche di codifica dei dati non convenzionali possano creare nuovi vettori di attacco e sfidare i meccanismi di rilevamento esistenti.
In questo processo di ricerca iniziamo con un payload C++ responsabile della comunicazione di comando e controllo. Dopo averlo compilato in un EXE, il binario viene convertito in Pixel Code MP4 utilizzando uno strumento basato su Python. Il video Pixel Code generato viene quindi caricato su YouTube e il suo URL è incorporato all'interno di un loader C++.
Poiché C++ mancava delle librerie multimediali necessarie per invertire Pixel Code, è stato utilizzato invece uno stager Python; è stato compilato in un EXE, codificato in Base64 e incorporato direttamente nel loader insieme all'URL di YouTube.
Quando viene eseguito nell'ambiente target, il loader scarica il Pixel Code MP4 da YouTube e utilizza lo stager Python incorporato per ricostruire il payload originale ed eseguirlo, consentendo infine all'ambiente di ricerca di ristabilire il comando e controllo tramite BEAR-C2.
Questo è un payload stealth di reverse shell per Windows scritto in C++ che si riconnette persistentemente a un server di comando e controllo, utilizza crittografia AES-CBC con una chiave statica hardcoded e IV casuali per tutte le comunicazioni, autentica con un identificatore univoco, esegue comandi ricevuti tramite cmd.exe o PowerShell (se prefissati con "EP"), supporta la navigazione delle directory, trasmette l'output dei comandi in tempo reale utilizzando chunk crittografati con prefisso di lunghezza, funziona senza una finestra della console visibile e si riconnette automaticamente in caso di fallimento: un trojan ad accesso remoto crittografato completo progettato per il controllo post-sfruttamento.
Una volta compilato il payload, l'EXE risultante viene elaborato tramite uno strumento basato su Python specificamente progettato per convertire dati binari in Pixel Code. Questo strumento converte l'eseguibile in una rappresentazione MP4 visiva in cui i byte binari sono incorporati come valori di pixel attraverso i fotogrammi video.
Dopo aver generato il file MP4 Pixel Code, viene caricato su YouTube come video standard. Ospitare il binario codificato su una piattaforma legittima consente alla ricerca di valutare come i servizi esterni fidati gestiscono dati codificati non tradizionali. L'URL del video YouTube viene raccolto per l'uso nelle fasi successive.
Un loader personalizzato scritto in C++ viene preparato per recuperare il Pixel Code dalla sua posizione su YouTube. L'URL del video ottenuto nel passaggio precedente viene incorporato direttamente in questo loader in modo che possa scaricare l'MP4 durante l'esecuzione.
Poiché C++ manca delle librerie multimediali necessarie per decodificare Pixel Code nella forma binaria, viene utilizzato uno stager Python per gestire la ricostruzione. Questo script Python viene compilato in un EXE e poi codificato in Base64. Lo stager codificato viene incorporato direttamente all'interno del loader C++ insieme all'URL di YouTube.
Stager.py -> Stager.exe -> base64 -> Loader.cpp -> Loader.exe
Lo stager Python elabora il video MP4 scaricato fotogramma per fotogramma, estrae i dati pixel codificati e ricostruisce il payload C++ originale in memoria.
Una volta ripristinato, il payload viene eseguito, ristabilendo infine la comunicazione di comando e controllo con il server BEAR-C2 utilizzato nell'ambiente di ricerca.
Questo è per scopi di ricerca, sensibilizzazione ed educativi. Non sono responsabile se qualcuno utilizza questa tecnica per scopi illegali.
