Publié par UnderNews Actu - Télécharger l'application Android

La technique présentée au cours de la conférence Hack In The Box d’Amsterdam fait froid dans le dos et semble ultime. Présentation de Stegosploit, un injecteur de code malveillant dédié aux images.

C’est au cours de la conférence Hack In The Box qui s’est déroulée à Amsterdam que le chercheur en sécurité informatique indien Saumil Shah a présenté son outil Stegosploit, permettant de cacher un code malveillant dans une image dans le but de pirater une machine en toute transparence. L’outil permet de camoufler une charge malveillante au sein même des pixels d’une image au format JPEG ou PNG !

La technique parait surréaliste mais est pourtant bien réelle, comme l’a démontré le chercheur indien Saumil Shah durant sa conférence intitulée “Stegosploit: Hacking With Pictures“. Dans la pratique, cette technique pourrait bien s’avérée beaucoup plus dangereuse que les fichiers PDF malveillants ou les archives compressées infectées largement distribuées via les pièces jointes des mails envoyés par les cybercriminels.

Pour faire simple, imaginez l’attaque parfaite : vous surfez sur Internet et tout à coup, vous perdez le contrôle de votre ordinateur. En toute transparence, un malware vient d’être installé sur votre machine alors que vous avez un système à jour (OS & logiciels) ainsi qu’un antivirus ! Le vecteur ? Une simple image qui s’est affichée sur l’un des sites que vous venez de visiter… Le pire étant que cela n’est pas de la science-fiction mais un PoC exploitant des techniques avancées de stéganographie présenté par le chercheur Saumil Shah (PDF de présentation disponible ici).

L’ingénieur a expliqué lors de la conférence Hack In The Box que des pirates étaient très certainement déjà en train d’exploiter sa découverte sur le Net. L’exploitation se ferait via l’interprétation dynamique de l’image par HTML 5 Canvas element. Le code malveillant est baptisé IMAJS, et résulte d’une combinaison de code image (pixels) et de code JavaScript, caché au sein d’un fichier image au format JPG ou PNG.

Deux vidéos de démonstration ont été publiées par le chercheur, aboutissant à l’affichage d’un message “You are HACKED!” sur la machine infectée lors d’une banale session de surf :

Bitdefender

La prochaine fois, vous y réfléchirez à deux fois avant de contempler une image d’un chaton super mignon ou d’une babe sexy…

Vous avez aimé cet article ? Alors partagez-le en cliquant sur les boutons ci-dessous :

Twitter Facebook Google Plus Linkedin Pinterest email
1 étoile2 étoiles3 étoiles4 étoiles5 étoiles (2 votes, note : 5,00 sur 5)
Loading...

Mots clés : , , , ,

Recherches en relation :

  • cacher un keylogger dans une image
  • Cacher un programme malveillant dans les pixels dune photo
  • cacher un rat dans une image jpeg
  • image de chaton infectée piratage
  • Image de piratage

Vos réactions
  1. tiavina

    Les attaques sont de plus en plus variées et bien structurées et presque personne ne peut y échapper. C’est pourquoi il est essentiel de toujours mettre à jour tous les anti-virus. Concernant stegosploit, vous avez raison, c’est quand même inimaginable mais bon elle est bien réelle. Mais force est de se demander comment éviter que cela se produise ?

  2. iani

    @Terd
    Ouais c’est sûr, le code pourrait très bien être caché dans un simple noeud d’une page html, simplement en le mettant en hidden…
    La faille présentée ici, c’est une faille IE

  3. Terd

    Au lieu de raconter des conneries, informez vous un peu plus. À part si vous êtes pleinement conscients de ce que vous dites et que c’est pour avoir des vues maks c’est encore pire. L’image dans ce cas là elle permet juste de contenir du code javascript. Donc pour une machine avec un browser à jour, ça risque rien. Pour que l’ordinateur soit infecté par l’image, il faut déjà que son navigateur soit faillible à la base et l’image n’est pas nécessaire à l’exploit mais juste un moyen d’obfuscation.

    • Vince

      Le problème c’est la traduction… De anglais à français, google translate peut faire des ravages… Pire ! Créer la psychose !

      Il est effectivement question d’une méthode pour cacher du code js, html, etc… La vraie prouesse est d’arriver, selon le mine-type, à l’interpréter comme une image ou comme du texte (html, js). Le code malicieux de l’image est exploité par une vulnérabilité du navigateur.

      Je rejoins donc l’idée de Terd que si les logiciels sont à jour, il n’y a aucun soucis à ce faire.

      source : http://conference.hitb.org/hitbsecconf2015ams/wp-content/uploads/2015/02/D1T1-Saumil-Shah-Stegosploit-Hacking-with-Pictures.pdf

  4. Fanforum

    Donc pas moyen de ce protéger :/
    La plaie .

Ils parlent du sujet :

  1. […] La technique présentée au cours de la conférence Hack In The Box d’Amsterdam fait froid dans le dos et semble ultime. Présentation de Stegosploit, un injecteur de code malveillant dédié aux images.  […]

  2. […] La technique présentée au cours de la conférence Hack In The Box d’Amsterdam fait froid dans le dos et semble ultime. Présentation de Stegosploit, un injecteur de code malveillant dédié aux images.C’est au cours de la conférence Hack In The Box qui s’est déroulée à Amsterdam que le chercheur en sécurité informatique indien Saumil Shah a présenté son outil Stegosploit, permettant de cacher un code malveillant dans une image dans le but de pirater une machine en toute transparence. L’outil permet de camoufler une charge malveillante au sein même des pixels d’une image au format JPEG ou PNG !La technique parait surréaliste mais est pourtant bien réelle, comme l’a démontré le chercheur indien Saumil Shah durant sa conférence intitulée « Stegosploit: Hacking With Pictures« . Dans la pratique, cette technique pourrait bien s’avérée beaucoup plus dangereuse que les fichiers PDF malveillants ou les archives compressées infectées largement distribuées via les pièces jointes des mails envoyés par les cybercriminels.  […]





Notifiez-moi des commentaires à venir via e-mail. Vous pouvez aussi vous abonner sans commenter.