malware w pliku graficznym

Malware w pliku graficznym to szkodliwy kod ukryty w obrazie, uruchamiany przez podatność w programie odczytującym.

Jak malware może zostać ukryty w pliku graficznym

Malware w pliku graficznym oznacza złośliwy kod lub specjalnie przygotowane dane umieszczone w pliku obrazu, na przykład JPEG, PNG, GIF, TIFF albo BMP. Sam fakt, że plik ma rozszerzenie graficzne, nie oznacza jeszcze, że jest bezpieczny. Obraz jest przetwarzany przez program, bibliotekę systemową, przeglądarkę internetową, komunikator, klienta poczty lub aplikację do edycji grafiki. Jeżeli taki program zawiera błąd w analizie struktury pliku, odpowiednio spreparowany obraz może doprowadzić do nieprawidłowego działania aplikacji, zapisu danych poza przeznaczonym obszarem pamięci albo wykonania kodu.

Najczęściej zagrożenie nie polega na tym, że zwykłe piksele „uruchamiają się” jak program. Atakujący wykorzystuje parser, czyli część oprogramowania odpowiedzialną za odczyt formatu obrazu. Plik może zawierać nietypowe długości segmentów, uszkodzone tablice, przepełnione wartości, błędne znaczniki, złośliwe metadane albo dane przekraczające założenia biblioteki. Podatność może znajdować się w samej aplikacji, w systemowym komponencie dekodującym obraz lub w bibliotece używanej przez wiele różnych programów.

Parser obrazu jako punkt wejścia ataku

Podczas otwierania obrazu program nie tylko wyświetla kolorowe punkty. Odczytuje nagłówek, sprawdza wymiary, dekoduje kompresję, interpretuje profile kolorów i może przetwarzać metadane EXIF, komentarze oraz dodatkowe segmenty. W JPEG analizowane są między innymi znaczniki określające sposób kodowania obrazu, a w PNG struktura opiera się na kolejnych blokach danych, takich jak nagłówek, dane obrazu i suma kontrolna. Błąd w obsłudze któregoś z tych elementów może spowodować awarię procesu lub stworzyć warunki do wykorzystania luki bezpieczeństwa.

Szczególnie niebezpieczne są podatności typu out-of-bounds read i out-of-bounds write. Pierwsza polega na odczycie danych spoza prawidłowego zakresu bufora, druga na zapisie poza jego granicami. Skutkiem może być ujawnienie fragmentu pamięci, uszkodzenie danych albo przejęcie kontroli nad wykonaniem programu. W praktyce atak zależy od konkretnej wersji aplikacji, biblioteki, systemu operacyjnego i sposobu dostarczenia pliku. Ten sam obraz może być nieszkodliwy w jednym programie, a problematyczny w innym, ponieważ aplikacje mogą używać różnych dekoderów.

Plik graficzny może również pełnić funkcję nośnika dla danych, które nie są potrzebne do wyświetlenia obrazu. Przykładem jest dodatkowy ładunek zapisany po końcu prawidłowej struktury pliku, nietypowe wykorzystanie pól komentarza albo plik poliglotyczny, który spełnia reguły więcej niż jednego formatu. Takie dane nie muszą same się uruchomić, lecz mogą zostać wykorzystane przez drugi etap ataku. Z tego powodu kontrola samego rozszerzenia, nazwy pliku lub ikony nie jest wystarczającym zabezpieczeniem.

Bezpieczne rozpoznawanie i obsługa podejrzanego obrazu

Ostrożność jest wskazana, gdy obraz pochodzi z nieoczekiwanego załącznika, nieznanego adresu internetowego, komunikatora albo nośnika USB. Podejrzane mogą być również pliki o podwójnym rozszerzeniu, na przykład nazwa kończąca się ciągiem sugerującym jednocześnie obraz i program wykonywalny. Należy sprawdzić rzeczywisty typ pliku, a nie tylko nazwę widoczną w Eksploratorze Windows. Pomocne jest włączenie wyświetlania rozszerzeń znanych typów plików oraz porównanie deklarowanego formatu z zawartością nagłówka.

Nie należy otwierać podejrzanego obrazu kolejno w wielu aplikacjach w celu „sprawdzenia, czy działa”. Każdy program korzystający z własnego parsera może stanowić osobny punkt ryzyka. Bezpieczniejsza procedura obejmuje zapisanie pliku bez uruchamiania, wykonanie skanowania aktualnym programem ochronnym i sprawdzenie, czy system oraz aplikacje obsługujące obrazy mają zainstalowane poprawki bezpieczeństwa. Jeżeli plik nie jest potrzebny, można go usunąć po zakończeniu skanowania, bez otwierania podglądu.

W przypadku pliku, który został już otwarty, warto zwrócić uwagę na nietypowe objawy: nagłe zamknięcie programu, zawieszenie systemu, pojawienie się nieznanego procesu, zmianę ustawień przeglądarki, nowe elementy uruchamiane wraz z systemem lub nietypową aktywność sieciową. Samo wystąpienie awarii nie dowodzi infekcji, ponieważ uszkodzony obraz może być po prostu błędny. Do oceny potrzebne są informacje o źródle pliku, czasie zdarzenia, wersji użytej aplikacji oraz wynikach skanowania.

Jeżeli obraz ma być przekazany do analizy, nie powinien być ponownie otwierany na komputerze używanym do pracy. Warto zachować oryginalny plik, jego nazwę i podstawowe informacje o pochodzeniu, a następnie przekazać je do sprawdzenia w kontrolowany sposób. Zmiana rozszerzenia, ponowne zapisanie obrazu lub wykonanie zrzutu ekranu może usunąć część danych istotnych dla analizy, dlatego takie działania nie zastępują badania oryginału. Przy podejrzeniu aktywnego ataku można odłączyć komputer od sieci, nie wyłączając go pochopnie, ponieważ stan pamięci może mieć znaczenie diagnostyczne.

Diagnostyka komputera po kontakcie z podejrzanym plikiem

Ocena incydentu wymaga rozdzielenia kilku kwestii: czy plik jest rzeczywiście obrazem, czy zawiera nietypowe dane, czy wykorzystuje znaną podatność oraz czy po jego otwarciu doszło do zmian w systemie. Sprawdza się dzienniki zabezpieczeń, historię uruchamiania procesów, elementy autostartu, zadania harmonogramu, rozszerzenia przeglądarek i wyniki skanowania. Istotne jest również ustalenie, który program otworzył plik oraz czy był aktualny w chwili zdarzenia.

Nie każdy zainfekowany lub podejrzany plik daje widoczne objawy. Z drugiej strony pojedyncze spowolnienie, błąd aplikacji albo komunikat o uszkodzonym obrazie nie potwierdza jeszcze obecności malware. Diagnostyka powinna uwzględniać alternatywne przyczyny, takie jak uszkodzenie nośnika, wadliwa pamięć operacyjna, błędna aktualizacja programu, konflikt rozszerzeń lub niekompletne pobranie pliku. Dopiero korelacja wyników z kilku źródeł pozwala ocenić, czy konieczne jest czyszczenie systemu, przywrócenie jego integralności albo odtworzenie danych z bezpiecznej kopii.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną diagnostykę i naprawę laptopów oraz komputerów PC, w tym sprawdzenie systemu po otwarciu podejrzanego pliku graficznego. W ramach takiej oceny można ustalić zakres nieprawidłowości, zweryfikować podstawowe mechanizmy uruchamiania systemu i przygotować bezpieczny plan dalszych działań, z uwzględnieniem stanu danych oraz możliwości ich zachowania.