Το GHOSTPULSE Malware ενσωματώνεται σε PNG αρχεία

Η δημοτικότητα των αρχείων PNG και η ευρεία χρήση τους στο διαδίκτυο τα καθιστούν ελκυστικούς στόχους για κακόβουλους παράγοντες.

Η τεχνική “steganography” επιτρέπει την απόκρυψη κακόβουλου κώδικα μέσα σε αυτά τα αρχεία. Πρόσφατα, ερευνητές από την Elastic Security ανακάλυψαν ότι το κακόβουλο λογισμικό (malware) GHOSTPULSE κρύβεται στη δομή των pixel των αρχείων PNG, προκειμένου να αποφύγει τον εντοπισμό.

Δείτε ακόμη: Το Latrodectus malware επέστρεψε – Νέες phishing επιθέσεις

Η συμμορία GHOSTPULSE, γνωστή επίσης ως HIJACKLOADER ή IDATLOADER, έχει εξελιχθεί από την αρχική της εμφάνιση το 2023, όταν χρησιμοποιούσε τα τμήματα IDAT των PNG για να κρύψει κακόβουλα φορτία. Η πιο πρόσφατη έκδοση εκμεταλλεύεται προηγμένες τεχνικές, όπως η ενσωμάτωση του “ωφέλιμου φορτίου” απευθείας σε εικονοστοιχεία εικόνας, αναλύοντας τις τιμές RGB και δημιουργώντας έναν πίνακα byte.

Αυτή η νέα μέθοδος ενισχύει την ικανότητα του GHOSTPULSE να αποφεύγει τον εντοπισμό, με τις πρόσφατες συμμορίες να το παρουσιάζουν ως ένα ενιαίο εκτελέσιμο αρχείο. Οι ερευνητές της Elastic αντεπεξέρχονται σε αυτή την πρόκληση μέσω της βελτίωσης του εργαλείου εξαγωγής διαμόρφωσης, το οποίο αναλύει τα PNG για να εντοπίσει και να εξάγει το κακόβουλο ωφέλιμο φορτίο.

Ο αρχικός κανόνας YARA παραμένει αποτελεσματικός στην ανίχνευση της πρώτης μορφής μόλυνσης, ενώ έχουν αναπτυχθεί νέοι κανόνες YARA για την αναγνώριση των ενημερωμένων παραλλαγών του GHOSTPULSE.

Διαβάστε περισσότερα: WordPress sites hacked: Ψεύτικα plugins προωθούν info-stealer malware

Αυτός ο προηγμένος εξολκέας διαμόρφωσης παρέχει στους ερευνητές τη δυνατότητα να κατανοήσουν καλύτερα και να καταπολεμήσουν τις συνεχώς μεταβαλλόμενες τακτικές του κακόβουλου λογισμικού, υπογραμμίζοντας τη σημασία της προσαρμογής στην κυβερνοασφάλεια.

Πηγή: cybersecuritynews