À l’intérieur de l’image la plus innocente, un paysage à couper le souffle ou un mème drôle, quelque chose de dangereux pourrait se cacher, attendant son moment pour frapper.
Pas de noms de fichiers étranges. Aucun avertissement antivirus. Juste une image inoffensive, dissimulant secrètement une charge utile qui peut voler des données, exécuter des logiciels malveillants et prendre le contrôle de votre système sans trace.
Il s’agit de Steganography, l’arme secrète d’un cybercriminal pour avoir dissimulé le code malveillant dans des fichiers inoffensifs. En intégrant des données dans les images, les attaquants échappent à la détection, en s’appuyant sur des scripts ou des processus distincts pour extraire et exécuter la charge utile cachée.
Décomposons comment cela fonctionne, pourquoi c’est si dangereux et, surtout, comment l’arrêter avant qu’il ne soit trop tard.
Qu’est-ce que la stéganographie en cybersécurité?
La stéganographie est la pratique de dissimuler des données dans un autre fichier ou support. Contrairement au chiffrement, qui brouille les données pour les rendre illisibles, la stéganographie déguise le code malveillant dans des images, des vidéos ou des fichiers audio inoffensifs, ce qui le rend presque invisible pour les outils de sécurité traditionnels.
Dans les cyberattaques, les adversaires intégrent les charges utiles dans des fichiers d’image, qui sont ensuite extraits et exécutés sur le système de la victime.
Pourquoi les cybercriminels utilisent la stéganographie:
- Évasion des outils de sécurité: Le code caché à l’intérieur des images contourne les antivirus et les pare-feu.
- Pas de fichiers suspects: Les attaquants n’ont pas besoin de fichiers exécutables évidents.
- Taux de détection faible: Les analyses de sécurité traditionnelles inspectent rarement des images pour les logiciels malveillants.
- Livraison de charge utile furtive: Les logiciels malveillants restent cachés jusqu’à extrait et exécuté.
- Contourner les filtres e-mail: Les images malveillantes ne déclenchent pas les détections de phishing standard.
- Méthode d’attaque polyvalente: Peut être utilisé dans le phishing, la livraison de logiciels malveillants et l’exfiltration des données.
Comment Xworm utilise la stéganographie pour échapper à la détection
Jetons un coup d’œil à une campagne de logiciels malveillants analysée à l’intérieur du Any.run interactif bac à sable Cela montre exactement comment la stéganographie peut être utilisée dans une infection malveillante en plusieurs étapes.
Voir la session d’analyse avec Xworm
 |
| Campagne de stéganographie en commençant par un PDF de phishing |
Étape 1: L’attaque commence par un PDF de phishing
Nous voyons à l’intérieur de la session de bac à sable de Run que tout commence par une pièce jointe PDF. Le document comprend un lien malveillant qui incite les utilisateurs à télécharger un fichier .reg (fichier de registre Windows).
Explorez les fonctionnalités avancées de Run pour découvrir des menaces cachées, améliorer la détection des menaces et défendre de manière proactive votre entreprise contre les attaques sophistiquées.
À première vue, cela peut ne pas sembler dangereux. Mais l’ouverture du fichier modifie le registre du système, plantant un script caché qui s’exécute automatiquement lorsque l’ordinateur redémarre.
 |
| Fichier .Reg utilisé pour modifier la régistage dans n’importe quel.run sandbox |
Étape 2: Le script de registre ajoute un processus de démarrage caché
Une fois le fichier .reg exécuté, il injecte silencieusement un script dans la touche de registre Windows Autorun. Cela garantit que le malware lance la prochaine fois que le système redémarre.
À ce stade, aucun logiciel malveillant réel n’a encore été téléchargé, juste un script dormant attendant l’activation. C’est ce qui rend l’attaque si sournoise.
 |
| Changement de valeur Autorun dans le registre détecté par n’importe quel.run |
Étape 3: Exécution de PowerShell
Après un redémarrage du système, le script de registre déclenche PowerShell, qui télécharge un fichier VBS à partir d’un serveur distant.
À l’intérieur du bac à sable Any.Run, ce processus est visible sur le côté droit de l’écran. Cliquez sur PowerShell.exe révèle le nom du fichier téléchargé.
 |
| PowerShell.exe Téléchargement un fichier VBS dans un environnement sécurisé |
À ce stade, il n’y a pas de logiciels malveillants évidents, juste un script récupérant ce qui semble être un fichier inoffensif. Cependant, la véritable menace est cachée dans l’étape suivante, où la stéganographie est utilisée pour masquer la charge utile à l’intérieur d’une image.
Étape 4: Activation de la stéganographie
Au lieu de télécharger un fichier exécutable, le script VBS récupère un fichier image. Mais caché à l’intérieur de cette image est une charge utile de DLL malveillante.
 |
| Image avec charge utile de DLL malveillante détectée par n’importe quel.run |
Utilisation de décalage 000d3d80 À l’intérieur de n’importe quel.run, nous pouvons identifier où la DLL malveillante est intégrée dans le fichier image.
 |
| Analyse statique de l’image malveillante |
Lors de l’analyse statique, l’image semble légitime, mais lorsque nous inspectons l’onglet hexagonale et faisons défiler vers le bas, nous trouvons le drapeau>.
Directement après ce drapeau, nous voyons “TVQ”, la signature MZ codée par base64 d’un fichier exécutable. Cela confirme que la stéganographie a été utilisée pour cacher la charge utile XWorm à l’intérieur de l’image, lui permettant de contourner la détection de sécurité jusqu’à extrait et exécuté.
Étape 5: Xworm est déployé à l’intérieur du système
La dernière étape de l’attaque consiste à exécuter la DLL extraite, qui injecte Xworm dans le processus système AddInProcess32.
 |
| Xworm malware détecté par n’importe quel. |
À ce stade, l’attaquant gagne un accès à distance à la machine infectée, ce qui leur permet de:
- Voler des données sensibles
- Exécuter les commandes à distance
- Déployer des logiciels malveillants supplémentaires
- Utilisez le système infecté comme point de lancement pour d’autres attaques
Découvrir des menaces cachées avant de frapper
Les attaques basées sur la stéganographie sont un défi croissant pour les entreprises, car les outils de sécurité traditionnels ignorent souvent les logiciels malveillants cachés à l’intérieur d’images et d’autres fichiers multimédias. Cela permet aux cybercriminels de contourner la détection, de voler des données et d’infiltrer les systèmes sans déclencher d’alarmes.
Avec des outils comme Any.Run de bac à sable interactif, les équipes de sécurité peuvent suivre visuellement chaque étape d’une attaque, découvrir des charges utiles cachées et analyser des fichiers suspects en temps réel:
- Gagner du temps avec une analyse des menaces rapides: Obtenez des résultats initiaux en seulement 10 secondes et rationalisez votre processus d’évaluation des menaces.
- Collaborer efficacement: Partagez les résultats instantanément et travaillez ensemble dans des séances en temps réel pour accélérer les tâches d’équipe.
- Simplifier les enquêtes: Utilisez l’interface intuitive de n’importe quel.
- Gagner des informations exploitables: Tirer parti des CIO extraits et de la cartographie des mitrices ATT & CK pour un triage efficace, une réponse et une chasse aux menaces.
- Améliorer la réponse: Améliorer le transfert de données du niveau SOC 1 au niveau SOC de niveau 2 avec des rapports complets pour une escalade plus efficace.
La surveillance proactive de l’activité suspecte et le test des menaces potentielles dans un environnement contrôlé sont essentielles pour renforcer votre posture de cybersécurité.
Essayez les fonctionnalités avancées de Run. et gagner une visibilité plus approfondie dans les menaces et prendre des décisions plus rapides basées sur les données pour protéger votre entreprise.