PNG: Sicherheitsforscher versteckt MP3 und Zip in Twitter-Bildern

Eigentlich entfernen Dienste wie Twitter Zusatzinformationen aus Sicherheitsgründen aus Bildern. Ein neuer Angriff umgeht dies jedoch.

Artikel veröffentlicht am ,
Wenn plötzlich ein Archiv im Bild versteckt ist, läuft etwas nicht ganz so, wie es soll.
Wenn plötzlich ein Archiv im Bild versteckt ist, läuft etwas nicht ganz so, wie es soll. (Bild: Pixabay)

Dem Sicherheitsforscher David Buchanan ist eine neue Art Angriff mit den Methoden der sogenannten Steganographie gelungen. Dabei werden eigentlich nicht vorgesehene Informationen in anderen Dateien versteckt. Zur Demonstration des konkreten Angriffs hat Buchanan auf seinem Twitter-Account mehrere Bilder als PNG-Dateien veröffentlicht, die zusätzlich zu dem Bild weitere Dateien enthalten, ohne dass dies direkt ersichtlich ist.

Stellenmarkt
  1. Cyber-Analystin / Cyber-Analyst (w/m/d)
    Bundeskriminalamt, Wiesbaden
  2. Projektmanager (m/w/d) Digital
    Buben & Mädchen GmbH, Mainz
Detailsuche

Als Begründung für seine Arbeiten schreibt Buchanan in der Erklärung zum Code auf Github einfach nur: "Weiß nicht". Und tatsächlich werden derartige Angriffe inzwischen kaum noch praktisch verwendet, könnten aber unter anderem dazu genutzt werden, Malware auf angegriffenen Systemen zu verstecken.

Auch wegen weiterer Schwierigkeiten und Sicherheitsbedenken mit Metadaten und Zusatzinformationen, die in Dateien versteckt werden können, säubern Dienste wie Twitter solche Uploads eigentlich, bevor sie tatsächlich veröffentlicht werden. Diese Mechanismen konnte Buchanan nun aber erfolgreich umgehen.

Auf Twitter hat Buchanan ein Bild veröffentlicht, auf dem steht: "Speichere dieses Bild und ändere die Erweiterung zu .zip". In dem als Bild getarnten Archiv findet sich dann der genutzte Quellcode samt Erklärung. Ein weiteres Bild lässt sich "für eine Überraschung" als MP3-Datei speichern und dann im VLC-Player abspielen, so Buchanan.

Golem Karrierewelt
  1. DP-203 Data Engineering on Microsoft Azure: virtueller Vier-Tage-Workshop
    24.-27.01.2023, virtuell
  2. IT-Sicherheit für Webentwickler: virtueller Zwei-Tage-Workshop
    07./08.02.2023, Virtuell
Weitere IT-Trainings

Der Erklärung zufolge ist es dem Forscher gelungen, die Methoden von Twitter zu umgehen, da angehängte Informationen an den IDAT-Chunks in PNGs nicht entfernt werden. In dem IDAT Chunk werden in PNGs die eigentlichen Bildinhalte gespeichert. Laut Buchanan lassen sich so bis zu 3 MByte in den Bildern verstecken. Das liege jedoch nur daran, dass größere PNG-Bilder von Twitter automatisch in JPEGs konvertiert werden.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


purerzufall 22. Mär 2021

Nichtmal ein Bug. Eher eine Nachlässigkeit seitens Twitter. pz

Naseweisz 21. Mär 2021

Der Unterschied ist recht simpel - ich würde dir sehr gerne den entsprechenden Tweet...

Gogol 21. Mär 2021

Wenn Konvertieren Umwandeln bedeutet, heißt umkonvertieren dann umumwandeln?

dsafsdf 20. Mär 2021

Ach so, ja dann...



Aktuell auf der Startseite von Golem.de
Twitter
Was bisher bei Elon Musks Twitter 2.0 geschah

Nach der Twitter-Übernahme durch Elon Musk ist klar: Das Netzwerk hat wesentlich weniger Mitarbeiter. Es ist aber noch viel mehr passiert.
Ein Bericht von Oliver Nickel

Twitter: Was bisher bei Elon Musks Twitter 2.0 geschah
Artikel
  1. Westworld Staffel 4 auf DVD: Aufstieg und Fall einer großen Science-Fiction-Serie
    Westworld Staffel 4 auf DVD
    Aufstieg und Fall einer großen Science-Fiction-Serie

    Die vierte und letzte Staffel von Westworld gibt es jetzt auf UHD und Blu-ray. Dass es keine fünfte Staffel gibt, ist schade, denn Westworld ist eine der besten Sci-Fi-Serien überhaupt - selbst ihr Ende, das eigentlich keines sein sollte.
    Von Peter Osteried

  2. Akkuwechsel: Nio stattet 20 Ladeparks von EnBW mit Tauschstationen aus
    Akkuwechsel
    Nio stattet 20 Ladeparks von EnBW mit Tauschstationen aus

    Bislang bietet Nio in Deutschland nur wenige Standorte zum Akkutausch. Das soll eine Kooperation mit EnBW ändern.

  3. Samsung Galaxy Z Flip 4 bei Amazon mit 400 Euro Rabatt
     
    Samsung Galaxy Z Flip 4 bei Amazon mit 400 Euro Rabatt

    Amazons Last Minute Angebote liefern weiter spannende Deals. Heute Samsung-Smartphones wie das Samsung Galaxy Z Flip 4.
    Ausgewählte Angebote des E-Commerce-Teams

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • PS5 bei Amazon • Samsung SSDs bis -28% • Rabatt-Code für ebay • Logitech Mäuse, Tastaturen & Headsets -53% • HyperX PC-Peripherie -56% • Google Pixel 6 & 7 -49% • PS5-Spiele günstiger • Tiefstpreise: Palit RTX 4080 1.369€, Roccat Kone Pro 39,99€, Asus RTX 6950 XT 939€ [Werbung]
    •  /