【国际资讯】攻击手段更新，黑客仅需一张图片便能发动攻击！-安全客

预估稿费：170RMB（不服你也来投稿啊！）

投稿方式：发送邮件至linwei#360.cn，或登陆网页版在线投稿

前言

大家注意了！近日，致力于网络渗透攻击研究的安全研究人员指出：他们在一些主流新闻网站上发现了黑客将恶意攻击代码置于一些图片中，利用图片发动攻击的现象。如果你在过去两个月的时间里有浏览过一些主流新闻网站，点击过广告上附带的图片，那么你的PC很可能已经遭到了感染。这并不是危言耸听。

Stegano Exploit Kit—一款图片漏洞利用工具包

本周二，来自全球知名安全软件公司ESET的研究人员发布了一份调查报告【报告传送门】，其中指出：他们在一些著名的新闻资讯网站上，接连发现了一个相同的漏洞利用工具，他们将其称为“Stegano Exploit Kit”。黑客利用Stegano，能够将恶意攻击代码种植在网站上的某些悬浮广告中，当用户点击了这些广告的图片之后，系统就会自动下载其中隐藏的恶意软件包，并自动安装运行，对用户PC实施攻击。

Stegano问世于2014年，存在的时间并不长，但近期却有愈演愈烈之势。从今年10月初开始，网络犯罪分子便开始着手利用这一漏洞工具包。他们使用Stegano，向大量不知名的新闻网站的广告中植入恶意代码，以影响浏览这些网站的用户。虽然这些网站的知名度不是太高，有些甚至很小众，但它们每天也拥有数以百万计的访问量，危害效果可见一斑。

Stegano取自“Steganography”一词。“Steganography”的书面含义为隐写术，通俗理解即为一种信息加密技术，可以将信息或文档等数据隐藏在一张数字图片中，这些隐藏的信息是肉眼无法看到的。

在这种针对网站广告的特定攻击中，黑客将恶意攻击代码隐藏在一些我们肉眼可见的，PNG格式图片的阿尔法通道中（Alpha Channel：用来描述一张图片的透明和半透明程度的参数）。同时，通过这种植入手段，黑客还可更改图片中多个像素的透明度。

黑客在发动攻击时，会将此类含有恶意代码的图片伪装成一张广告图片，并将其挂在一些具有高点击量的新闻网站上，以等待访客“上钩”。

根据ESET公司安全研究人员的描述，这种恶意广告还往往会向网站访客推荐一些名为“Browser Defense”或“Broxu”的浏览器安全防御应用程序，以降低访客的防范意识；这同时也使得一些网站难以辨别这些广告的真伪。

Stegano的攻击过程

一旦用户浏览了一个带有此类恶意广告的网站，那么嵌入在广告中的恶意脚本便会立即将收集到的，关于用户PC的信息传至黑客的远程服务器上。而用户则对这一信息窃取过程毫无察觉。

之后，恶意代码会在用户的IE浏览器中利用CVE-2016-0162漏洞，以检测目标PC上是否有正在运行的防病毒软件。

在经过确认目标PC的浏览器没有“问题”之后，恶意脚本就会将由目标PC发出的所有HTTP请求重定向到一个含有Flash插件漏洞利用工具包的网站上，自动下载该工具包。（该工具包会触发Adobe Flash插件的三个漏洞，分别是：CVE-2015-8651、CVE-2016-1019以及CVE-2016-4117，目前这三个漏洞均已得到修复）

“在成功植入恶意代码之后，工具包中的shell代码会自动执行，目的是收集目标PC上安装的所有安全软件的版本号、运行状态等信息。这种shell代码和网络犯罪分子有着一个共同点—多疑，即不会放过任何一个可能会影响工具包运行的细节；同时，它也时刻在确认自己是否正遭到目标PC的检测。”ESET公司的安全研究人员在报告中如是说到，“如果一切运行正常，那么它将会如法炮制之前的动作，从同一个服务器上下载其他的加密恶意软件，这次就不是伪装成PNG图片了，而是伪装为一张动态的gif图。”

在下载完成后，那些加密的恶意软件就会在Windows系统中自行解密，并通过regsvr.32.exe或rundll.32.exe等可执行程序开始运行。

仅需2-3秒，你便会掉入黑客布置好的陷阱中！

下图是ESET公司的安全研究人员给出的Stegano攻击流程图，其中阐述了从感染用户到恶意软件自动运行的全过程：