Malicious PixelCode는 실행 파일을 픽셀 데이터로 인코딩하여 이미지나 비디오 내부에 저장하는 은밀한 기술을 시연하는 보안 연구 프로젝트입니다. 경량 로더가 미디어 파일을 검색하고, 원래 바이너리를 재구성하여 메모리에서 실행합니다. 이 프로젝트는 비전통적인 데이터 전달 방식을 강조합니다.
Malicious PixelCode는 실행 파일을 픽셀 데이터로 인코딩하여 이미지나 비디오 내에 저장하는 은밀한 기술을 시연하는 보안 연구 프로젝트입니다. 가벼운 로더는 미디어 파일을 검색하고 원본 바이너리를 재구성한 후 메모리에서 실행합니다. 이 프로젝트는 교육 및 연구 목적으로만 비전통적인 데이터 전달 및 난독화 방법을 강조합니다.
이 연구는 Cyber Security News에서 다루었습니다: https://cybersecuritynews.com/pixelcode-attack/
[!CAUTION] 중요 공지: 이 프로젝트는 오직 교육, 연구 및 방어적 보안 목적으로만 사용됩니다. 이 기술을 무단으로 사용하는 것은 법률을 위반하고 심각한 법적 결과를 초래할 수 있습니다.
Pixel Code는 바이너리 데이터를 시각적 픽셀 형태로 표현하는 연구 개념으로, 각 픽셀은 원본 파일의 작은 부분을 인코딩합니다. 실행 가능한 바이트를 구조화된 색상 행렬로 변환함으로써 데이터는 원시 형태를 노출하지 않고 이미지나 비디오 내에 저장, 전송 또는 삽입될 수 있습니다.
이 기술은 데이터 난독화, 은닉 저장소 및 비전통적 인코딩 채널을 연구하기 위해 자주 탐구됩니다. 픽셀 기반 인코딩을 통해 연구자들은 정보가 멀티미디어 콘텐츠 내에 어떻게 숨겨질 수 있는지, 그리고 이후 디코딩 알고리즘을 통해 재구성될 수 있는지 분석할 수 있습니다.
또한 이미지 또는 비디오 공유 서비스와 같은 일반적인 플랫폼을 통해 인코딩된 데이터를 전송할 때의 보안 영향을 이해하는 데 도움이 됩니다. 전반적으로 Pixel Code는 디지털 파일을 시각적 표현으로 변환하여 해당 디코더를 사용해 복구할 수 있도록 하는 데 중점을 둡니다.
악의적인 행위자는 유해한 바이너리나 스크립트를 이미지 또는 비디오 프레임과 같은 시각적 데이터로 인코딩하여 Pixel Code를 오용할 가능성이 있습니다. 멀웨어를 픽셀 기반 표현으로 변환함으로써 공격자는 페이로드를 무해한 멀티미디어 콘텐츠로 위장하려고 시도할 수 있습니다.
이러한 인코딩된 파일은 YouTube와 같은 합법적인 플랫폼에 업로드되어 신뢰성을 얻고 기존 보안 필터를 우회할 수 있습니다.
공격자가 제어하는 로더나 디코더는 나중에 비디오를 검색하여 원본 악성 파일을 재구성할 수 있습니다. 이 악용 시나리오는 비전통적인 데이터 인코딩 기술이 어떻게 새로운 공격 벡터를 만들고 기존 탐지 메커니즘에 도전할 수 있는지 보여줍니다.
본 연구 과정에서는 명령 및 제어 통신을 담당하는 C++ 페이로드로 시작합니다. 이를 EXE로 컴파일한 후 Python 기반 도구를 사용하여 바이너리를 Pixel Code MP4로 변환합니다. 생성된 Pixel Code 비디오는 YouTube에 업로드되고 해당 URL은 C++ 로더 내에 삽입됩니다.
C++에는 Pixel Code를 역으로 변환하는 데 필요한 멀티미디어 라이브러리가 없었기 때문에 대신 Python 스테이저가 사용되었습니다. 이 스테이저는 EXE로 컴파일된 후 Base64로 인코딩되어 YouTube URL과 함께 로더에 직접 삽입되었습니다.
대상 환경에서 실행되면 로더는 YouTube에서 Pixel Code MP4를 다운로드하고 내장된 Python 스테이저를 사용하여 원본 페이로드를 재구성 및 실행하여 궁극적으로 연구 환경이 BEAR-C2를 통해 명령 및 제어를 재수립할 수 있게 합니다.
이것은 C++로 작성된 은밀한 Windows 리버스 셸 페이로드로, 지속적으로 명령 및 제어 서버에 다시 연결됩니다. 모든 통신에 하드코딩된 정적 키와 무작위 IV를 사용하는 AES-CBC 암호화를 사용하며, 고유 식별자로 인증하고, 수신된 명령을 cmd.exe 또는 PowerShell("EP" 접두사가 있는 경우)을 통해 실행하며, 디렉토리 탐색을 지원하고, 길이 접두사가 있는 암호화된 청크를 사용하여 실시간으로 명령 출력을 스트리밍하며, 보이는 콘솔 창 없이 실행되고, 실패 시 자동으로 재연결됩니다. 이는 사후 익스플로잇 제어를 위해 설계된 완전한 기능의 암호화된 원격 액세스 트로이 목마입니다.
페이로드가 컴파일되면 결과 EXE는 바이너리 데이터를 Pixel Code로 변환하도록 특별히 설계된 Python 기반 도구를 통해 처리됩니다. 이 도구는 실행 파일을 비주얼 MP4 표현으로 변환하며, 여기서 바이너리 바이트는 비디오 프레임 전체에 걸쳐 픽셀 값으로 임베딩됩니다.
Pixel Code MP4 파일을 생성한 후 일반 비디오로 YouTube에 업로드합니다. 합법적인 플랫폼에 인코딩된 바이너리를 호스팅함으로써 연구는 외부 신뢰 서비스가 비전통적인 인코딩 데이터를 어떻게 처리하는지 평가할 수 있습니다. YouTube 비디오 URL은 다음 단계에서 사용하기 위해 수집됩니다.
YouTube 위치에서 Pixel Code를 검색하기 위해 C++로 작성된 맞춤형 로더가 준비됩니다. 이전 단계에서 얻은 비디오 URL은 이 로더에 직접 삽입되어 실행 중에 MP4를 다운로드할 수 있도록 합니다.
C++에는 Pixel Code를 다시 바이너리 형식으로 디코딩하는 데 필요한 멀티미디어 라이브러리가 없기 때문에 Python 스테이저가 재구성을 처리하는 데 사용됩니다. 이 Python 스크립트는 EXE로 컴파일된 후 Base64로 인코딩됩니다. 인코딩된 스테이저는 YouTube URL과 함께 C++ 로더 내에 직접 삽입됩니다.
Stager.py -> Stager.exe -> base64 -> Loader.cpp -> Loader.exe
Python 스테이저는 다운로드된 MP4 비디오를 프레임별로 처리하여 인코딩된 픽셀 데이터를 추출하고 메모리에서 원본 C++ 페이로드를 재구성합니다.
재구성된 후 페이로드가 실행되어 궁극적으로 연구 설정에 사용된 BEAR-C2 서버와 명령 및 제어 통신을 재수립합니다.
https://github.com/user-attachments/assets/1dcb1570-b116-438e-b826-4ce639a1c13c
이는 연구, 인식 제고 및 교육 목적을 위한 것이며, 누군가가 이 기술을 불법 목적으로 사용하는 것에 대해 저는 책임을 지지 않습니다.
