s3n4t0r-0x0/pixelcode-attack
Malicious PixelCode é um projeto de pesquisa em segurança que demonstra uma técnica encoberta para codificar arquivos executáveis em dados de pixel e armazená-los dentro de imagens ou vídeos. Um carregador leve recupera o arquivo de mídia, reconstrói o binário original e o executa em memória. Este projeto destaca a entrega não convencional de dados.
O Malicious PixelCode é um projeto de pesquisa de segurança que demonstra uma técnica oculta para codificar arquivos executáveis em dados de pixel e armazená-los dentro de imagens ou vídeos. Um carregador leve recupera o arquivo de mídia, reconstrói o binário original e o executa na memória. Este projeto destaca métodos não convencionais de entrega e ofuscação de dados apenas para fins educacionais e de pesquisa.
Esta pesquisa foi coberta pela Cyber Security News: https://cybersecuritynews.com/pixelcode-attack/
[!CAUTION] Aviso Importante: Este projeto é estritamente para fins educacionais, de pesquisa e de segurança defensiva. O uso não autorizado destas técnicas pode violar leis e resultar em sérias consequências legais.
Pixel Code é um conceito de pesquisa que representa dados binários na forma de pixels visuais, onde cada pixel codifica uma pequena porção do arquivo original convertendo bytes executáveis em uma matriz de cores estruturada. Os dados podem ser armazenados, transmitidos ou incorporados dentro de imagens ou vídeos sem expor sua forma bruta.
Esta técnica é frequentemente explorada para estudar ofuscação de dados, armazenamento oculto e canais de codificação não convencionais. A codificação baseada em pixels permite que pesquisadores analisem como informações podem ser escondidas dentro de conteúdo multimídia e posteriormente reconstruídas através de algoritmos de decodificação.
Também ajuda a entender as implicações de segurança de transportar dados codificados através de plataformas comuns, como serviços de compartilhamento de imagens ou vídeos. No geral, o Pixel Code foca em transformar arquivos digitais em uma representação visual que pode ser recuperada usando um decodificador correspondente.
Atores maliciosos poderiam potencialmente fazer mau uso do Pixel Code codificando binários ou scripts prejudiciais em dados visuais, como imagens ou quadros de vídeo. Ao transformar malware em representações baseadas em pixels, atacantes podem tentar disfarçar seus payloads como conteúdo multimídia inofensivo.
Esses arquivos codificados podem então ser enviados para plataformas legítimas como YouTube, dando-lhes uma aparência de confiança e contornando filtros de segurança tradicionais.
Um carregador ou decodificador sob controle do atacante poderia posteriormente recuperar o vídeo e reconstruir o arquivo malicioso original. Este cenário de abuso destaca como técnicas não convencionais de codificação de dados podem criar novos vetores de ataque e desafiar mecanismos de detecção existentes.
Neste processo de pesquisa, começamos com um payload em C++ responsável pela comunicação de comando e controle. Após compilá-lo em um EXE, o binário é convertido em Pixel Code MP4 usando uma ferramenta baseada em Python. O vídeo Pixel Code gerado é então enviado para o YouTube e sua URL é incorporada dentro de um carregador C++.
Como o C++ não possuía as bibliotecas multimídia necessárias para reverter o Pixel Code, um stager Python foi usado em seu lugar; ele foi compilado em um EXE, codificado em Base64 e incorporado diretamente no carregador junto com a URL do YouTube.
Quando executado no ambiente alvo, o carregador baixa o MP4 do Pixel Code do YouTube e usa o stager Python incorporado para reconstruir o payload original e executá-lo, permitindo que o ambiente de pesquisa restabeleça o comando e controle através do BEAR-C2.
Este é um payload stealthy de shell reverso para Windows escrito em C++ que se conecta persistentemente a um servidor de comando e controle. Usa criptografia AES-CBC com uma chave estática hardcoded e IVs aleatórios para toda comunicação, autentica-se com um identificador único, executa comandos recebidos via cmd.exe ou PowerShell (quando prefixados com "EP"), suporta navegação em diretórios, transmite a saída dos comandos em tempo real usando blocos criptografados com prefixo de comprimento, executa sem uma janela de console visível e reconecta automaticamente em caso de falha. Um trojan de acesso remoto criptografado completo, projetado para controle pós-exploração.
Assim que o payload é compilado, o EXE resultante é processado por uma ferramenta baseada em Python projetada especificamente para converter dados binários em Pixel Code. Esta ferramenta converte o executável em uma representação visual MP4 onde os bytes binários são incorporados como valores de pixel através dos quadros do vídeo.
Após gerar o arquivo MP4 do Pixel Code, ele é enviado para o YouTube como um vídeo padrão. Hospedar o binário codificado em uma plataforma legítima permite que a pesquisa avalie como serviços externos confiáveis lidam com dados codificados não tradicionais. A URL do vídeo no YouTube é coletada para uso nas próximas etapas.
Um carregador personalizado escrito em C++ é preparado para recuperar o Pixel Code de sua localização no YouTube. A URL do vídeo obtida na etapa anterior é incorporada diretamente neste carregador para que ele possa baixar o MP4 durante a execução.
Como o C++ não possui as bibliotecas multimídia necessárias para decodificar o Pixel Code de volta à forma binária, um stager Python é usado para lidar com a reconstrução. Este script Python é compilado em um EXE e depois codificado em Base64. O stager codificado é incorporado diretamente dentro do carregador C++ junto com a URL do YouTube.
Stager.py -> Stager.exe -> base64 -> Loader.cpp -> Loader.exe
O stager Python processa o vídeo MP4 baixado quadro a quadro, extrai os dados de pixel codificados e reconstrói o payload C++ original na memória.
Uma vez restaurado, o payload é executado, restabelecendo a comunicação de comando e controle com o servidor BEAR-C2 usado na configuração da pesquisa.
Isso é para fins de pesquisa, conscientização e educação. Não me responsabilizo se alguém usar esta técnica para fins ilegais.
