DOUBLECUP: payload PowerShell disfarçado de PNG, sem esteganografia real
O pesquisador Didier Stevens (ISC/SANS) analisou uma variante do loader DOUBLECUP que anexa um script PowerShell em texto puro logo após um arquivo PNG válido, sem embuti-lo em pixels ou metadados. A extração usa um truque simples: um marcador de quebra de linha (CR+LF) seguido de FINDSTR para localizar e redirecionar o script ao interpretador, dispensando qualquer parser customizado.
O artigo do Internet Storm Center descreve uma técnica de entrega de payload observada em amostras associadas ao loader DOUBLECUP. Apesar do nome sugerir esteganografia, Stevens deixa claro que não há ocultação real de dados nos pixels da imagem: o script PowerShell é simplesmente concatenado ao final de um arquivo PNG que continua sendo uma imagem válida e renderizável.
A engenhosidade está na forma de extração. O payload começa com uma sequência CR+LF, o que faz com que ele termine formalmente uma "linha" de texto do Windows. Isso permite ao atacante usar o utilitário nativo FINDSTR (equivalente ao grep no Windows) para localizar um identificador único dentro do arquivo e extrair exatamente o trecho de script que vem a seguir, encaminhando-o diretamente ao PowerShell via pipe. Não é necessário nenhum decodificador dedicado nem bibliotecas de manipulação de imagem — apenas comandos padrão do sistema operacional, o que reduz a superfície de detecção baseada em ferramentas incomuns.
Na prática, essa técnica é relevante para quem faz triagem de artefatos e resposta a incidentes porque ilustra um padrão de evasão barato e reutilizável: arquivos que passam despercebidos em varreduras superficiais por parecerem imagens legítimas (inclusive abrindo normalmente em visualizadores), mas que carregam um estágio adicional de execução anexado ao final do arquivo. Analistas que dependem apenas de assinaturas de arquivo ou de checagem de cabeçalho/rodapé "esperado" podem não perceber dados extras concatenados após o EOF de um PNG.
O write-up não traz IOCs completos (hashes, domínios, C2) nem detalha toda a cadeia de infecção, funcionando mais como nota técnica sobre uma tática específica do que como relatório de incidente. Ainda assim, reforça a prática forense básica de sempre inspecionar o conteúdo binário além dos limites estruturais esperados de um formato de arquivo — um PNG "que abre normalmente" não garante que nada além da imagem esteja presente no arquivo.