Blog 24/7
ARK. 1 · 1 min czytaniaŚwiat ·

TerminalFix ukrywa ładunek w poprawnym pliku PNG 111 na 112 pikseli

Microsoft Security Research opisał kampanię TerminalFix, w której ładunek ukryto w pliku PNG. Analiza pokazuje w danych obrazu ciągi MZ, .text i .data.

Karta wpisu: TerminalFix ukrywa ładunek w poprawnym pliku PNG 111 na 112 pikseli

Microsoft Security Research opublikował wpis "TerminalFix campaign deploys a reverse tunnel through multistage intrusion" o kampanii malware, w której napastnicy wykorzystali pliki PNG ze steganografią. Badacze udostępnili wskaźniki IOC dla tych plików. Pierwszy obraz o hashu f5f1eb6d43dd61d5b069c250e5c666384f7417d0c95014773bf9edf8ff13bebe to poprawny plik PNG: nic nie jest doklejone na końcu, nie ma metadanych mogących nieść ładunek, są trzy typy chunków spotykane w minimalnym pliku PNG, a dane IDAT dają się rozpakować. Obraz ma 111 wierszy i 112 kolumn, wszystkie filtry linii są znane. Dopiero w rozpakowanych danych IDAT widać ciągi MZ, .text i .data, typowe dla pliku wykonywalnego Windows. Pierwsza linia ma filtr SUB, colortype 6 oznacza RGBA i 4 bajty na piksel, co daje 448 bajtów na wiersz.

Kogo dotyczy

Materiał nie wskazuje celów kampanii ani branż. Ciągi MZ, .text i .data wskazują na ładunek w postaci pliku wykonywalnego Windows ukrytego w danych obrazu.

TAB. 2

Źródła

1
SANS ISC — TerminalFix: PNG Steganography, (Mon, Sep 21st)isc.sans.edu
TAB. 3

Powiązane

3
05.11.2026ŚwiatCISA i FBI wzywają do zabezpieczenia sterowników chłodzenia po atakach w Europie
05.11.2026ŚwiatMidnight Blizzard atakowała iPhone'y i Androidy przez zainfekowane strony w Europie i USA
05.11.2026ŚwiatAPT29 kradła dane z iPhone'ów i Androidów przez przejęte i podrobione strony

Wszystkie wpisy →

Blog 24/7
05.11CISA i FBI wzywają do zabezpieczenia sterowników chłodzenia po atakach w Europietherecord.media05.11Midnight Blizzard atakowała iPhone'y i Androidy przez zainfekowane strony w Europie i USAsecurityweek.com05.11APT29 kradła dane z iPhone'ów i Androidów przez przejęte i podrobione stronytherecord.media05.11Grupa APT29 przejęła skrypt Plerdy i atakowała niezałatane iPhone'y i Androidythehackernews.com05.11Microsoft wykrył 7,3 mld wiadomości phishingowych w III kwartale 2026microsoft.com05.11DigiCert ujawnia wyciek danych klientów i skanów dokumentów tożsamościbleepingcomputer.com05.11CWPdoor podmienia serwer cwpsrv w Control Web Panel i otwiera tylne wejście do Linuksableepingcomputer.com05.11Brytyjskie NCSC ostrzega, że narzędzia AI zwiększyły liczbę wykrywanych luk zero-daythehackernews.com05.11Skaner RootEvidence sprawdza starą lukę w Cisco IOS i dodaje nagłówki Opt-Outisc.sans.edu05.11Włamanie do portalu grantowego Norad, zagrożone dane 20 614 użytkownikówhelpnetsecurity.com