תוכנות לאבטחת סייבר פיתחו עם השנים יכולת מרשימה לזיהוי קבצים חשודים, ועם העלייה במודעות לצורך בחיזוק מערך האבטחה באמצעות שכבות הגנה נוספות, אלו הפכו להכרחיות.
ככלל, כל תוכנת אבטחת סייבר חזקה מספיק כדי לזהות את מרבית הקבצים הזדוניים. לכן, גורמים זדוניים ממשיכים לחפש דרכים שונות להימנעות מזיהוי, ואחת מהטכניקות האלה היא שימוש בנוזקות המוסוות בתמונות.
נוזקות מוסתרות בתמונות
זה אולי נשמע כמו הגזמה, אך האיום הזה אמיתי לחלוטין. נוזקות המוסוות בתמונות בפורמטים שונים של קבצים הן תוצאה של סטגנוגרפיה, טכניקה להסתרת נתונים בתוך קובץ על מנת להימנע מזיהוי. גוף המחקר של ESET זיהה שימוש בטכניקה הזאת ע״י קבוצת ריגול הסייבר Worok, שהסתירה קוד זדוני בקבצי תמונה והתייחסה למידע מפיקסלים ספציפיים בלבד כדי לייצא מתוכם את הקוד הזדוני. חשוב לציין שזה נעשה במערכות שכבר נפרצו, מכיוון שכפי שכבר צוין, הסוואת נוזקות בתוך תמונות משמשת בעיקר להימנעות מזיהוי ולא לקבלת גישה ראשונית.
במרבית המקרים, תמונות זדוניות מופצות באתרי אינטרנט או מוכנסות למסמכים. חלקנו אולי זוכרים את נוזקות הפרסום (Adware): קוד שמוחבא בפרסומות. הקוד לא יכול לרוץ, לפעול או להיחלץ מתוך הקובץ באופן עצמאי, על המחשב צריכה להיות נוזקה נוספת שמטפלת בחילוץ הקוד הזדוני והרצתו. מידת המעורבות הנדרשת מהמשתמש משתנה בין מקרה למקרה, והסיכוי לזיהוי הפעילות הזדונית ע״י המשתמש תלוי בעיקר בקוד המופעל ולא בתמונה עצמה.
החלקים הכי פחות חשובים
אחת מהדרכים היצירתיות ביותר להטמעת קוד זדוני בתמונה הוא החלפת הביטים הכי פחות חשובים בערך הצבע של כל פיקסל (אדום-ירוק-כחול-אלפא, או RGBA) בחלקים קטנים מהמסר כולו. טכניקה נוספת היא הטמעה של דבר מה בערוץ האלפא של תמונה (שמציין את מידת השקיפות של צבע מסוים), תוך שימוש בחלק לא משמעותי יחסית מהקובץ כולו. כך, התמונה נראית פחות או יותר כמו התמונה המקורית, כך שלעין בלתי-מזוינת יהיה קשה לזהות הבדל כלשהו בין התמונה הזאת לתמונה המקורית.
דוגמה אחת לכך היא מקרה בו פרסומות שהופצו ע״י רשתות פרסום לגיטימיות הובילו לבאנר זדוני שנשלח משרת פרוץ. קוד JavaScript חולץ מהבאנר, שניצל את חולשת CVE-2016-0162 שהייתה קיימת בגרסאות מסוימות של Internet Explorer, כדי לקבל מידע נוסף על המטרה.
