Esteganografia PNG + túnel invertido: uma nova variante de ataque furtivo documentada

Uma campanha oculta código malicioso em PNGs por meio de esteganografia e, em seguida, implanta um túnel reverso personalizado para manter acesso persistente. A técnica de túnel reverso continua a se diversificar em seus vetores de entrega.

O que

Uma nova campanha de ataque documentada pelo The Register combina duas técnicas para maximizar a discrição: ocultação de malware em arquivos PNG via esteganografia, seguido do implante de um túnel reverso personalizado nas máquinas vítimas. Uma evolução notável das técnicas de entrega furtiva que acompanhamos neste tópico.

Quem é impactado

Estações Windows suscetíveis a receber arquivos PNG via e-mail, mensagens corporativas ou download. Os ambientes onde o tráfego de saída é pouco filtrado são os mais expostos.

A cadeia de ataque

Etapa 1 - PNG infectado O código malicioso é codificado nos bits menos significativos (LSB - Least Significant Bits) dos pixels de um arquivo PNG. A imagem parece normal. Um loader (PowerShell ou binário .NET) o extrai e o executa.

Etapa 2 - Execução discreta A esteganografia contorna os antivírus que analisam extensões e assinaturas de arquivos conhecidos — um PNG não é um executável, as regras de detecção clássicas não se aplicam.

Etapa 3 - Túnel reverso personalizado O malware implanta um túnel reverso caseiro para sua infraestrutura C2. Diferente das ferramentas comuns (ngrok, Frp), este túnel usa um protocolo proprietário difícil de ser bloqueado por firewalls de aplicação.

O que isso adiciona ao cenário

Documentamos em agosto de 2026 o TerminalFix: falsa CAPTCHA Cloudflare → backdoor de túnel reverso. Esta nova variante usa um vetor de entrega radicalmente diferente (imagem PNG vs interface web) para atingir o mesmo objetivo: um túnel reverso persistente difícil de detectar.

O túnel reverso como técnica de persistência está se generalizando. Os vetores de entrega estão se ampliando e diversificando — PNG, CAPTCHA e provavelmente outros por vir.

O que fazer agora

• Inspeção TLS de saída ativada nos proxies corporativos para detectar túneis incomuns
• Monitorar processos que iniciam conexões de rede inesperadas a partir de estações de trabalho
• Analisar PNGs suspeitos recebidos por e-mail com ferramentas de detecção esteganográfica (zsteg, stegdetect)
• Lista branca de saída em estações sensíveis — permitir apenas destinos conhecidos