Атаки через зображення (Stegosploit)

Що таке Атаки через зображення (Stegosploit)?

Зображення може нести більше, ніж пікселі. Зловмисники ховають код у значеннях кольору пікселів, а скрипт на вебсторінці зчитує його й запускає. Саме зображення виглядає цілком звичайно. У цій вправі лист від позаштатного дизайнера веде на сайт із портфоліо, збудований навколо такого зображення. Захист частково блокує сторінку, і ви бачите, що буває, коли сповіщення закрити й не повідомити про нього: викрадений вхід, дзвінок до служби ІТ-безпеки, звіт про інцидент і навчання з тривожних ознак, які ви пропустили.

Що ви дізнаєтесь у Атаки через зображення (Stegosploit)

• Пояснюйте, як стеганографія вбудовує шкідливий код у файли зображень без видимих змін зображення
• Розпізнавайте тривожні ознаки в непроханому листі з посиланням на власний сайт незнайомого відправника
• Пояснюйте, чому про сповіщення безпеки треба повідомляти службу ІТ-безпеки, навіть якщо в ньому сказано, що загрозу заблоковано
• Застосовуйте безпечні звички, як-от перегляд робіт на офіційних платформах із портфоліо замість сайту відправника
• Виконуйте правильні кроки реагування на інцидент, якщо підозріле зображення вже відкрито на вашому пристрої

Атаки через зображення (Stegosploit) — Кроки навчання

1. Творчий ранок

   Вівторок, ранок. Ви переглядаєте портфоліо позаштатних дизайнерів, які хочуть долучитися до майбутньої кампанії.

2. Портфоліо позаштатника

   Ви отримуєте лист від людини, яка називає себе позаштатним графічним дизайнером і хоче співпрацювати з вашим агентством. У листі є невелика мініатюра роботи й посилання на сайт із портфоліо.

3. Повне портфоліо

   Мініатюра гарна, і Аліса хоче побачити зображення в повному розмірі. Вона відкриває сайт самого дизайнера, а не знайому їй платформу з портфоліо. Портфоліо виглядає акуратно: велике головне зображення, добірка кампаній, коротка біографія. На сторінці нічого не здається підозрілим. Але саме ця сторінка і є атакою. Сторінка Stegosploit поєднує зображення зі скриптом: код захований у значеннях пікселів, а скрипт на сторінці зчитує його через HTML5 Canvas API браузера й запускає. Мініатюра в листі так зробити не могла. Поштові клієнти не виконують скрипти, тож саме зображення було безпечним. Для атаки потрібна була ця сторінка.

4. Часткове блокування

   За кілька секунд, уже у вхідних, Аліса бачить сповіщення від захисту кінцевого пристрою. Він заблокував на сторінці з портфоліо скрипт, який витягав код із зображення. Заблоковано — читає Аліса й заспокоюється. Програма впоралася. Вона не обирає «Помістити на карантин», закриває сповіщення й нічого не повідомляє. Блокування означає, що вас атакували. Воно не означає, що зупинено все. Закрийте сторінку й повідомте про це — щоразу.

5. Рішення, що дорого обійшлося

6. Щось не так

   Через сорок п'ять хвилин у скриньці Аліси з'являється автоматичне сповіщення безпеки від системи моніторингу Pinnacle Creative. Хтось увійшов у її корпоративний обліковий запис із незнайомого місця. Блокування зупинило один скрипт на сторінці з портфоліо. Інша частина атаки пройшла й забрала з браузера збережені корпоративні облікові дані для входу.

7. Усвідомлення помилки

   Аліса дивиться на сповіщення безпеки. Зброєю була та сторінка з портфоліо: код, захований у звичайній на вигляд картинці, і скрипт на сторінці, який його розпаковує й запускає. Відкриття листа цього не спричинило. Поштові клієнти не виконують скрипти, тож мініатюра у вхідних нічого не могла вдіяти. Для Stegosploit потрібна вебсторінка, що поєднує зображення зі скриптом-декодером, тому завдання листа було одне — змусити її перейти за посиланням.

8. Мініатюра була приманкою

   Знову в листі — маленька мініатюра, з якої все почалося.

9. Тривожні ознаки в листі

   Якщо ще раз перечитати лист, помітно кілька тривожних ознак, які Аліса пропустила під час першого читання.

10. Текст листа

    У самому тексті листа є тонкі маніпулятивні прийоми.