Bildbasierte Angriffe (Stegosploit)

Was ist Bildbasierte Angriffe (Stegosploit)?

Eine Bilddatei kann mehr als Pixel enthalten. Angreifer verstecken Code in Pixelfarbwerten, und ein Skript auf einer Webseite liest ihn wieder aus und führt ihn aus. Das Bild selbst sieht völlig normal aus. In dieser Übung verlinkt die E-Mail eines freiberuflichen Designers auf eine Portfolio-Website, die um ein solches Bild herum gebaut ist. Ihre Sicherheitssoftware blockiert einen Teil der Seite, und Sie beobachten, was folgt, wenn die Warnung geschlossen und nie gemeldet wird: eine gestohlene Anmeldung, ein Anruf bei der IT-Sicherheit, ein Vorfallbericht und eine Schulung zu den Warnsignalen, die Sie übersehen haben.

Was Sie lernen in Bildbasierte Angriffe (Stegosploit)

• Erklären, wie Steganografie Schadcode in Bilddateien verbirgt, ohne das Bild sichtbar zu verändern
• Die Warnsignale einer unaufgeforderten E-Mail erkennen, die auf die eigene Website eines unbekannten Absenders verlinkt
• Erklären, warum eine Sicherheitswarnung auch dann der IT-Sicherheit gemeldet werden muss, wenn sie besagt, dass die Bedrohung blockiert wurde
• Sichere Gewohnheiten anwenden, etwa Arbeiten auf offiziellen Portfolio-Plattformen statt auf der eigenen Website eines Absenders anzusehen
• Die richtigen Schritte einleiten, wenn auf dem eigenen Gerät bereits ein verdächtiges Bild geöffnet wurde

Bildbasierte Angriffe (Stegosploit) — Trainingsschritte

1. Ein kreativer Morgen

   Es ist Dienstagmorgen. Sie sehen sich Portfolios freiberuflicher Designer an, die an einer bevorstehenden Kampagne mitarbeiten möchten.

2. Das Portfolio eines freien Designers

   Sie erhalten eine E-Mail von einer Person, die sich als freiberuflicher Grafikdesigner ausgibt und mit Ihrer Agentur zusammenarbeiten möchte. Die E-Mail zeigt eine kleine Vorschau der Arbeiten und verlinkt auf die Portfolio-Website dieser Person.

3. Das vollständige Portfolio

   The preview is lovely, and Alice wants to see it at full size. She opens the designer's own site, not a portfolio platform she knows. The portfolio is polished: a large hero image, a grid of campaign work, a short bio. Nothing on the page looks wrong. But this page is the attack. A Stegosploit page pairs an image with a script: the code is hidden in the image's pixel values, and a script on the page reads it back out with the browser's HTML5 Canvas API and runs it. The preview in the email could not do this. Email clients do not run scripts, so the image alone was inert. It needed this page.

4. Eine teilweise Blockade

   Wenige Sekunden später sieht Alice in ihrem Posteingang, wie ihr Endgeräteschutz eine Warnung anzeigt. Er hat auf der Portfolioseite ein Skript blockiert, das Code aus einem Bild auslas. Blockiert , liest Alice und entspannt sich. Die Software hat es im Griff. Sie überspringt die Option „Quarantäne“, schließt die Warnung und meldet nichts. Eine Blockade bedeutet, dass etwas Sie angegriffen hat. Sie bedeutet nicht, dass alles gestoppt wurde. Schließen Sie die Seite und melden Sie es, jedes Mal.

5. Eine kostspielige Entscheidung

6. Etwas stimmt nicht

   45 Minuten später trifft in Alices Posteingang eine automatische Sicherheitswarnung des Überwachungssystems von Pinnacle Creative ein. Jemand hat sich von einem unbekannten Ort aus bei ihrem Firmenkonto angemeldet. Die Blockade hat ein Skript auf der Portfolioseite gestoppt. Ein anderer Teil des Angriffs kam durch und hat ihre gespeicherte Firmenanmeldung aus dem Browser entwendet.

7. Den Fehler erkennen

   Alice starrt auf die Sicherheitswarnung. Diese Portfolioseite war die Waffe: Code, versteckt in einem scheinbar gewöhnlichen Bild, und ein Skript auf der Seite, das ihn entpackt und ausführt. Das Öffnen der E-Mail hat das nicht bewirkt. E-Mail-Clients führen keine Skripte aus, die Vorschau in ihrem Posteingang war also wirkungslos. Ein Stegosploit -Angriff braucht eine Webseite, die das Bild mit einem Decoder-Skript kombiniert; deshalb bestand die Aufgabe der E-Mail darin, Alice zum Klicken zu bringen.

8. Die Vorschau war der Köder

   Zurück in der E-Mail: die kleine Vorschau, die alles ausgelöst hat.

9. Warnsignale in der E-Mail erkennen

   Im Rückblick fallen mehrere Warnsignale in der E-Mail auf, die Alice zunächst übersehen hat.

10. Der E-Mail-Text

    Der E-Mail-Inhalt selbst enthält subtile Manipulationstaktiken.