Campanha TerminalFix usa esteganografia em PNG para entregar payload em intrusão multiestágio
Pesquisadores da Microsoft documentaram a campanha TerminalFix, que embute um executável legítimo e uma DLL maliciosa nos dados bitmap de arquivos PNG para escapar de controles baseados em assinatura e, ao final, estabelecer um túnel reverso na rede comprometida. O Internet Storm Center do SANS reproduziu a técnica de extração e obteve os hashes SHA-256 dos PNGs usados como indicadores de comprometimento.
A campanha batizada TerminalFix foi inicialmente descrita pela Microsoft Security Research como uma intrusão multiestágio que culmina no estabelecimento de um túnel reverso na rede da vítima. O diário do ISC/SANS focou em um detalhe específico chamado a atenção dos pesquisadores: o uso de esteganografia em arquivos PNG para contrabandear as cargas maliciosas através de defesas de perímetro e antivírus.
A técnica não usa o método clássico de esteganografia por bit menos significativo. Em vez disso, os atacantes gravam os dados diretamente nos pixels do bitmap já descomprimido (pós-zlib), aproveitando todos os bits disponíveis e mantendo a estrutura PNG válida (chunks IHDR, IDAT, IEND intactos). Um primeiro PNG carrega um executável legítimo da Microsoft, o LockScreenContentServer.exe, de 49.720 bytes, com o próprio tamanho codificado nos 8 bytes iniciais da carga extraída; dois outros PNGs carregam fragmentos de uma DLL maliciosa que só se torna funcional quando concatenados. A extração correta exige reverter os filtros de linha do PNG (como o filtro SUB) antes de recuperar os bytes brutos da carga.
Esse desenho é relevante para forense digital porque o arquivo PNG em si passa despercebido por qualquer verificação de assinatura de payload ou de reputação de arquivo — ele é uma imagem válida do ponto de vista de qualquer parser. Isso desloca o ônus da detecção para quem inspeciona o conteúdo binário bruto pós-descompressão, e não apenas metadados ou hash do arquivo completo, algo que ferramentas de triagem automatizada tipicamente não fazem por padrão.
Para equipes de resposta a incidentes, o caso reforça a necessidade de threat hunting orientado a artefatos anômalos (imagens de tamanho fora do padrão, presença de executáveis embutidos) além da simples correspondência de assinatura, e os hashes SHA-256 dos três PNGs compartilhados pela Microsoft e replicados pelo ISC oferecem um ponto de partida direto para busca retroativa em VirusTotal, EDR e SIEM.