Se ha demostrado una nueva técnica de distribución de malware llamada “PixelCode”, que muestra cómo los ejecutables maliciosos pueden codificarse directamente en fotogramas de vídeo.

Este método permite a los actores de amenazas alojar estos vídeos en plataformas legítimas como YouTube, ayudando al malware a evadir los mecanismos tradicionales de detección.

La técnica PixelCode transforma archivos ejecutables binarios en datos visuales de píxeles, disfrazando el malware como contenido multimedia inofensivo.

Al convertir cada byte de un ejecutable en matrices de colores estructuradas, los atacantes pueden incrustar cargas útiles completas dentro de archivos de imagen o vídeo sin exponer su forma binaria original.

Según S3N4T0R, la cadena de ataque comienza con una carga útil maliciosa en C++ diseñada para la comunicación de mando y control.

Tras la compilación, el ejecutable se procesa mediante un codificador basado en Python que convierte el binario en un archivo de vídeo MP4 PixelCode.

Este vídeo codificado se sube a YouTube, lo que permite a los atacantes aprovechar la infraestructura de una plataforma de confianza para alojar la carga útil.

Proceso de entrega en múltiples etapas

El mecanismo de entrega emplea un enfoque sofisticado en varias etapas. Un cargador personalizado en C++ contiene una URL de YouTube que apunta al vídeo PixelCode.

Como C++ no dispone de bibliotecas nativas de decodificación multimedia, los investigadores incrustaron un iniciador Python codificado en Base64 directamente dentro del cargador.

Cuando se ejecuta en un sistema objetivo, el cargador descarga el vídeo PixelCode de YouTube e implementa el iniciador Python incrustado.

Este iniciador procesa el vídeo fotograma a fotograma, extrayendo los datos de los píxeles y reconstruyendo el ejecutable malicioso original en memoria antes de su ejecución.

La técnica plantea importantes desafíos de detección para las soluciones de seguridad tradicionales. Al disfrazar el malware como contenido de vídeo legítimo alojado en plataformas de confianza, los atacantes pueden eludir los escaneos basados en archivos convencionales y los mecanismos de filtrado de red.

Los filtros de seguridad diseñados para inspeccionar archivos ejecutables pueden no examinar el contenido multimedia con el mismo rigor.

Un ingeniero de seguridad ofensiva, S3N4T0R, especializado en simulación de adversarios y evasión defensiva, desarrolló la prueba de concepto con fines de investigación y educativos.

El investigador ha creado previamente múltiples herramientas de simulación APT, incluido el marco BEAR C2 y simulaciones de adversarios que imitan a los grupos de amenazas APT28 y APT29.

Las organizaciones deberían implementar capacidades de análisis de comportamiento y detección basada en memoria para identificar actividades sospechosas que impliquen la reconstrucción de cargas útiles.

La monitorización de la red en busca de descargas inusuales de vídeos seguidas de patrones de ejecución inmediata puede ayudar a detectar este vector de ataque.

Además, las organizaciones deberían restringir la entrega de contenido ejecutable desde plataformas externas de alojamiento de vídeos en entornos de alta seguridad.

La técnica PixelCode subraya la creciente sofisticación de los métodos de distribución de malware y la importancia de las estrategias de defensa en profundidad que van más allá de la detección tradicional basada en firmas.