Twitter 托管的图片可用来隐藏病毒文件

昨天，一位研究人员披露了一种在Twitter图片中隐藏多达3MB数据的方法。在他的演示中，研究人员展示了包含在Twitter上托管的PNG图像内的MP3音频文件和ZIP档案。

虽然在图像中隐藏非图像数据的艺术（隐身术）并不新颖，但由于图像可以托管在像Twitter这样的热门网站上，而且没有经过杀毒，这就为其被恶意行为者滥用提供了可能。昨天，研究员兼程序员大卫-布坎南在他的推特上附上了实例图片，这些图片中隐藏着整个ZIP档案和MP3文件等数据。

http://hackernews.cc/wp-content/uploads/2021/03/bc7d41a1aced1db.jpg

虽然Twitter上托管的附件PNG文件在预览时代表了有效的图像，但仅仅是下载并改变其文件扩展名就足以从同一个文件中获得不同的内容。据BleepingComputer观察，该研究者在推特上发布的6KB图片包含了整个ZIP档案。该ZIP包含了大卫-布坎南的源代码，任何人都可以用它将杂七杂八的内容打包成PNG图片。

对于那些喜欢稍微不动手的人来说，研究者还在GitHub上提供了生成他所谓的tweetable-polyglot-png文件的源代码。在另一个上传到Twitter上的例子中，Buchanan在推特上发布了一张会唱歌的图片。下载这个，重命名为.mp3，在VLC中打开，变成MP3的图片文件就会开始播放Rick Astley的《Never Gonna Give You Up》这首歌。大卫-布坎南表示，你可以在DEFLATE流(文件中存储压缩像素数据的部分)的末尾附加数据，而Twitter不会将其剥离。

http://hackernews.cc/wp-content/uploads/2021/03/b30fb18725e05c3.jpeg

隐身威胁行为者经常利用隐身技术，因为他们可以将恶意命令、有效载荷和其他内容隐藏在图像等看似普通的文件中。就在昨天，BleepingComputer报道了一种新的渗透技术，网络犯罪分子利用这种技术将被盗的信用卡数据隐藏在JPG图片中。正如大卫-布坎南所展示的那样，Twitter可能并不总是将无关信息从图片中剥离出来，这一事实为威胁行为者滥用该平台提供了空间。

（消息及封面来源：cnBeta）