昨天,一位研究人员披露了一种在Twitter图片中隐藏多达3MB数据的 *** 。在他的演示中,研究人员展示了包含在Twitter上托管的PNG图像内的MP3音频文件和ZIP档案。
虽然在图像中隐藏非图像数据的艺术(隐身术)并不新颖,但由于图像可以托管在像Twitter这样的热门网站上,而且没有经过杀毒,这就为其被恶意行为者滥用提供了可能。昨天,研究员兼程序员大卫-布坎南在他的推特上附上了实例图片,这些图片中隐藏着整个ZIP档案和MP3文件等数据。
虽然Twitter上托管的附件PNG文件在预览时代表了有效的图像,但仅仅是下载并改变其文件扩展名就足以从同一个文件中获得不同的内容。据BleepingComputer观察,该研究者在推特上发布的6KB图片包含了整个ZIP档案。该ZIP包含了大卫-布坎南的源代码,任何人都可以用它将杂七杂八的内容打包成PNG图片。
对于那些喜欢稍微不动手的人来说,研究者还在GitHub上提供了生成他所谓的tweetable-polyglot-png文件的源代码。在另一个上传到Twitter上的例子中,Buchanan在推特上发布了一张会唱歌的图片。下载这个,重命名为.mp3,在VLC中打开,变成MP3的图片文件就会开始播放Rick Astley的《Never Gonna Give You Up》这首歌。大卫-布坎南表示,你可以在DEFLATE流(文件中存储压缩像素数据的部分)的末尾附加数据,而Twitter不会将其剥离。
隐身威胁行为者经常利用隐身技术,因为他们可以将恶意命令、有效载荷和其他内容隐藏在图像等看似普通的文件中。就在昨天,BleepingComputer报道了一种新的渗透技术, *** 犯罪分子利用这种技术将被盗的信用卡数据隐藏在JPG图片中。正如大卫-布坎南所展示的那样,Twitter可能并不总是将无关信息从图片中剥离出来,这一事实为威胁行为者滥用该平台提供了空间。
(消息及封面来源:cnBeta)
在周一发布的联合公告中,美国网络与基础设施安全局(CISA)、联邦调查局(FBI)和财政部指出 —— 被称作 Lazarus Group 的黑客组织,正在使用被植入木马的加密货币应用程序,向区块链行业的各个组织发起攻击。据说受害者中包括加密货币交易所、风投、持有大量加密货币 / 非同质化代币(NFT...
Hackernews 编译,转载请注明出处: 网络攻击的数量和复杂程度日益增加,自然而然地促使许多公司使用更多的网络安全技术。我们知道加强威胁检测能力对于保护是必要的,但是他们也导致了几个意外后果。“越多并不总是越好”的格言非常适合这种情况。 网络安全公司 Cynet 即将举行的一...
利用新冠疫情,网络犯罪分子发起各种攻击而尽可能地牟利。欧盟网络安全机构 Enisa 强调,这类活动导致雇佣黑客在过去 15 个月中成为网络安全的最大威胁。 2020 年 4 月至 2021 年 7 月进行的研究的年度报告中,Enisa 表示 COVID-19 疫情期间观察到网络犯罪分子加大了针对潜在...
据赛门铁克威胁猎手团队称,网络犯罪分子正在通过虚拟机运行越来越多的恶意载荷。Help Net Security调查了一次尝试性的勒索软件攻击,该攻击是通过在一些被攻击的电脑上创建的VirtualBox虚拟机执行的。与记录的RagnarLocker攻击使用Windows XP的虚拟机不同,新的威胁似乎...
TrickBot团伙运营商现在正在滥用Windows 10应用程序安装程序,将其BazarLoader恶意软件部署到目标系统上,这是一场针对性很强的垃圾邮件攻击。 BazarLoader(又名BazarBackdoor、BazaLoader、BEERBOT、KEGTAP和Team9Backdoor)...
多伦多交通委员会(TTC)近日承认,由于上个月其系统受到勒索软件的攻击,数万名员工的个人信息可能已经被泄露。TTC 负责运营多伦多公交车、地铁、有轨电车和辅助交通系统等等,在近日发布的声明中表示,泄漏的数据包括 25000 名离职和现职员工的姓名、地址和身份证号码等。该机构说,它正在继续调查是否有“...