Стеганография PNG + обратный туннель: задокументирована новая разновидность скрытой атаки

Кампания скрывает вредоносный код в PNG с помощью стеганографии, а затем развёртывает пользовательский обратный туннель для поддержания постоянного доступа. Техника обратного туннеля продолжает диверсифицировать векторы доставки.

Что

Новая кампания атак, документированная The Register, сочетает две техники для максимальной скрытности: скрытие вредоносного ПО в файлах PNG с помощью стеганографии, а затем развёртывание пользовательского обратного туннеля на заражённых машинах. Это заметная эволюция техник скрытой доставки, за которой мы следим в этой теме.

Кого это затрагивает

Рабочие станции под Windows, которые могут получать файлы PNG по электронной почте, корпоративным мессенджерам или через загрузку. Наиболее уязвимы среды, где исходящий трафик слабо фильтруется.

Цепочка атаки

Этап 1 — Подложный PNG Вредоносный код кодируется в наименее значимых битах (LSB — Least Significant Bits) пикселей PNG-файла. Изображение выглядит нормально. Лоудер (PowerShell или бинарный файл .NET) извлекает и выполняет его.

Этап 2 — Скрытое выполнение Стеганография обходит антивирусы, которые анализируют расширения и сигнатуры известных файлов — PNG не является исполняемым файлом, поэтому классические правила обнаружения не применяются.

Этап 3 — Пользовательский обратный туннель Вредоносное ПО развёртывает самодельный обратный туннель к своей инфраструктуре C2. В отличие от распространённых инструментов (ngrok, Frp), этот туннель использует проприетарный протокол, который сложно заблокировать с помощью прикладных файрволов.

Что это добавляет в картину

В августе 2026 года мы задокументировали TerminalFix: поддельная CAPTCHA Cloudflare → обратный туннель с бэкдором. Эта новая вариация использует принципиально иной вектор доставки (изображение PNG против веб-интерфейса), чтобы достичь той же цели: постоянный обратный туннель, который сложно обнаружить.

Обратный туннель как техника постоянства становится всё более распространённым. Векторы доставки расширяются и диверсифицируются — PNG, CAPTCHA и, вероятно, другие в будущем.

Что делать сейчас

• Активировать проверку исходящего TLS на корпоративных прокси для обнаружения необычных туннелей
• Мониторить процессы, инициирующие неожиданные сетевые подключения с пользовательских станций
• Сканировать подозрительные PNG, полученные по электронной почте, с помощью инструментов обнаружения стеганографии (zsteg, stegdetect)
• Белый список исходящего трафика на чувствительных рабочих станциях — разрешать только известные назначения