obrazek z tekstem spamowym

Obrazek z tekstem spamowym to technika omijania filtrów przez umieszczenie treści w grafice zamiast w tekście.

Na czym polega umieszczanie spamu w obrazie

Obrazek z tekstem spamowym to sposób dostarczania treści, w którym słowa reklamowe, linki, ostrzeżenia lub wezwania do działania są zapisane w pliku graficznym zamiast w zwykłym tekście wiadomości albo strony internetowej. Nadawca może przygotować napis w formacie PNG, JPEG, GIF lub innym formacie obsługiwanym przez przeglądarkę i dołączyć go do wiadomości e-mail, komentarza, reklamy albo dokumentu HTML. Dla odbiorcy tekst pozostaje widoczny na ekranie, jednak dla prostego filtra analizującego wyłącznie znaki zapisane w kodzie wiadomości nie jest dostępny jako ciąg słów.

Technika ta nie polega na magicznym ukryciu danych. Litery są częścią pikseli obrazu, dlatego program musi najpierw zastosować optyczne rozpoznawanie znaków, czyli OCR, albo analizę obrazu opartą na modelach uczenia maszynowego. W starszych systemach filtrowania grafika mogła przejść kontrolę, ponieważ skaner widział jedynie nazwę pliku, jego typ MIME, rozmiar i podstawowe metadane. Współczesne filtry mogą jednak renderować obraz, wykrywać obecność tekstu, rozpoznawać jego treść i oceniać ją razem z adresem nadawcy, domeną, odsyłaczem oraz kontekstem całej wiadomości.

Dlaczego tekst w grafice utrudnia automatyczną ocenę

Filtr antyspamowy analizuje wiele cech wiadomości, między innymi nagłówki SMTP, reputację domeny, zgodność mechanizmów SPF, DKIM i DMARC, treść części tekstowej, adresy URL oraz załączniki. Jeżeli istotne słowa nie występują w części tekstowej, klasyfikator traci jedno ze źródeł informacji. Dodatkowym utrudnieniem może być stylizacja napisu: nietypowa czcionka, nierówne odstępy między znakami, tło o podobnym kolorze, przekrzywienie, szum, gradient albo celowe zastępowanie liter symbolami. Takie zabiegi obniżają skuteczność zarówno prostego wyszukiwania słów kluczowych, jak i niektórych systemów OCR.

Obraz może zawierać również tekst, który nie jest widoczny w zwykłym podglądzie wiadomości. Przykładem są elementy zapisane w atrybucie alt znacznika img, nazwie pliku, podpisie, metadanych EXIF albo w dodatkowej warstwie dokumentu. Nie należy utożsamiać tych mechanizmów ze steganografią. Steganografia ukrywa dane w taki sposób, aby ich obecność była trudna do zauważenia, natomiast spam z tekstem w grafice zazwyczaj wykorzystuje jawny obraz, który ma zostać odczytany przez człowieka. W praktyce jedna wiadomość może łączyć kilka metod: reklamowy tekst w pikselach, odsyłacz w kodzie HTML oraz przekierowanie przez domenę pośrednią.

Znaczenie ma także sposób wyświetlania grafiki. Klient pocztowy może domyślnie zablokować obrazy z zewnętrznego serwera, pobrać je dopiero po zgodzie użytkownika albo zapisać lokalną kopię przez serwer proxy. Samo pobranie obrazu może ujawnić aktywność odbiorcy, dlatego blokowanie zewnętrznych grafik pełni nie tylko funkcję antyspamową. Bez obrazu wiadomość może wyglądać na pustą, ale nie oznacza to, że jest bezpieczna. W kodzie HTML nadal mogą znajdować się odsyłacze, formularze, elementy śledzące lub instrukcje nakłaniające do otwarcia strony.

Rozpoznawanie treści i ocena ryzyka

Analiza podejrzanej grafiki powinna obejmować zarówno sam plik, jak i całe źródło wiadomości. Warto sprawdzić rozszerzenie oraz rzeczywisty typ pliku, ponieważ nazwa .jpg nie jest wystarczającym dowodem, że zawartość jest poprawnym obrazem JPEG. Należy także ocenić rozmiar pliku, wymiary, nietypowe profile kolorów, osadzone metadane, przezroczystość oraz zgodność obrazu z deklarowanym typem MIME. Nieprawidłowa struktura pliku, wielokrotne przekodowanie, nieoczekiwane dane po końcu obrazu lub różnica między rozszerzeniem a sygnaturą pliku mogą wskazywać na próbę obejścia kontroli albo na uszkodzenie załącznika.

Po bezpiecznym otwarciu kopii pliku można zastosować OCR i porównać rozpoznany tekst z treścią widoczną na ekranie. Wynik OCR nie powinien być traktowany jako dowód absolutny, ponieważ błędy rozpoznawania są częste przy małych literach, niskiej jakości JPEG, nietypowym tle i znakach podobnych do siebie, takich jak „O” oraz „0”. Pomocne jest porównanie kilku sposobów przetworzenia obrazu: zmiana skali, konwersja do skali szarości, zwiększenie kontrastu, progowanie i korekcja pochylenia. Te czynności służą analizie, a nie uruchamianiu jakiegokolwiek kodu zawartego w wiadomości.

Wiadomość należy oceniać również na podstawie relacji między obrazem a odsyłaczem. Tekst na grafice może obiecywać jedną usługę, podczas gdy link prowadzi do innej domeny, skracacza adresów lub strony wymagającej podania danych logowania. Podejrzane są także presja czasu, żądanie wyłączenia ochrony, informacja o rzekomej blokadzie konta oraz instrukcja pobrania nieznanego programu. Bezpieczna analiza nie wymaga klikania linku. Adres można odczytać ze źródła HTML, sprawdzić jego domenę i ścieżkę w izolowanym środowisku analitycznym, bez przekazywania danych uwierzytelniających.

Skutki dla komputera i działania naprawcze

Samo wyświetlenie zwykłego pliku graficznego nie oznacza automatycznie infekcji. Ryzyko rośnie, gdy klient pocztowy, przeglądarka lub biblioteka dekodująca obraz zawiera niezałataną lukę, a napastnik przygotował plik wykorzystujący błąd programu. Niebezpieczna może być również treść towarzysząca grafice: odsyłacz do strony wyłudzającej hasło, plik wykonywalny przedstawiony jako dokument albo instrukcja instalacji fałszywego dodatku. Z tego powodu aktualność systemu, przeglądarki, programu pocztowego i ochrony antymalware ma większe znaczenie niż sam fakt, że reklama została zapisana jako obraz.

W przypadku podejrzanej wiadomości należy nie otwierać załącznika, nie klikać odsyłaczy i nie odpowiadać nadawcy. Wiadomość można zachować jako dowód do analizy, zgłosić jako spam, a następnie usunąć zgodnie z zasadami używanego systemu pocztowego. Jeżeli obraz został już otwarty, warto sprawdzić historię pobrań, ostatnio uruchamiane programy, rozszerzenia przeglądarki oraz alerty ochrony systemu. Gdy doszło do wpisania hasła na podejrzanej stronie, hasło należy zmienić z bezpiecznego urządzenia i zakończyć aktywne sesje w danym serwisie. Wykrycie nieznanego programu, blokad plików, nietypowych procesów lub komunikatów okupu wymaga szerszej diagnostyki, a nie tylko usunięcia samego obrazka.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną diagnostykę i naprawę laptopów oraz komputerów PC, gdy podejrzane wiadomości, złośliwe oprogramowanie albo błędy programów powodują nieprawidłowe działanie urządzenia. Ocena może obejmować stan systemu, uruchamiane procesy, konfigurację przeglądarki, aktualizacje zabezpieczeń i objawy występujące po otwarciu załącznika. Wnioski powinny wynikać z dostępnych śladów technicznych, ponieważ sam spam w postaci grafiki nie potwierdza jeszcze przejęcia komputera ani infekcji.