Hackers verstoppen malware in metadata van PNG-bestand
Hackers zijn erin geslaagd malware te verstoppen in PNG-afbeeldingen. De malware nestelt zich in de metadata van de afbeeldingen en worden hierdoor op dit moment nog niet door virusscanners gedetecteerd.
De nieuwe distributiemethode voor malware is ontdekt door de analist Peter Gramantik van het beveiligingsbedrijf Securi. Gramantik beschrijft de truc op in een blogpost. De aanvallers maken gebruik van een oude truc: het verspreiden van malware via een verborgen iframe. Dergelijke aanvallen worden doorgaans direct gedetecteerd door virusscanners. De aanvallers laden echter in eerste instantie een JavaScript, dat op het eerste gezicht veilig lijkt te zijn. Hierdoor lijden de aanvallers virusscanners om de tuin.
Metadata
Het JavaScript laadt vervolgens op zijn beurt een PNG-bestand, waar eveneens weinig mis mee lijkt te zijn. De metadata van deze afbeelding bevat echter een JavaScript-code die verwijst naar een website waar de malware wordt gehost. Deze code wordt in het iframe geladen, wat de gebruiker niet opmerkt aangezien het iframe op de website verborgen is.
Virusscanners controleren op dit moment niet de metadata van afbeeldingen, waardoor de malware niet wordt opgemerkt. Gramantik waarschuwt dat niet alleen PNG-afbeeldingen geschikt zijn voor de distributiemethode, maar ook alle andere bestandsformaten voor afbeeldingen.