ファビコン型トロイの木馬：ICOアルファチャネルを利用した実行可能ステガノグラフィ

Favicon Trojans: Executable Steganography Via Ico Alpha Channel Exploitation

July 11, 2025

著者: David Noever, Forrest McKee

cs.AI

要旨

本論文では、ICO画像ファイルのアルファ透過レイヤーを使用して、ウェブブラウザ内で自己解凍型JavaScriptペイロードを埋め込み配信する新しい実行可能ステガノグラフィ手法を提案する。非透過アルファレイヤー画像値の最下位ビット（LSB）をターゲットにすることで、ファビコン画像内に圧縮されたJavaScriptコードを視覚的な忠実度に影響を与えずに隠蔽することに成功した。全世界のウェブトラフィックでは1日あたり2940億個のファビコンがロードされ、0.9ペタバイトのネットワーク帯域幅を消費している。概念実証の実装では、64x64のICO画像が非圧縮で最大512バイト、軽量な二段階圧縮を使用すると0.8キロバイトを埋め込めることが示された。ページロード時に、ブラウザは標準的な動作の一部としてファビコンを取得し、埋め込まれたローダースクリプトがネイティブJavaScript APIとキャンバスピクセルアクセスを使用してメモリ内でペイロードを抽出・実行することを可能にする。これにより、追加のネットワークリクエストやユーザー操作を必要としない二段階の秘密通信路が形成される。デスクトップとモバイル環境の複数ブラウザでのテストにより、埋め込まれたスクリプトの成功かつ無音での実行が確認された。脅威モデルを評価し、ファビコンベースの検出を回避する多形フィッシング攻撃との関連性を明らかにし、コンテンツセキュリティポリシーやアンチウイルススキャナーの回避を分析する。MITRE ATT&CKフレームワークの9つの目的を、ICOファイル内で任意に実行可能な単一行JavaScriptにマッピングする。既存のステガノグラフィ分析とサニタイゼーション防御について議論し、アルファチャネルエクスプロイトの検出や無力化における限界を強調する。結果は、静的画像と実行可能コンテンツの伝統的な境界を曖昧にする、ステルス性と再利用性の高い攻撃面を示している。現代のブラウザは、開発者がICOファイルのロードに失敗した場合に無音のエラーを報告するため、この攻撃面は、セキュリティを損なう必須のウェブ動作の興味深い例を提供する。

English

This paper presents a novel method of executable steganography using the alpha transparency layer of ICO image files to embed and deliver self-decompressing JavaScript payloads within web browsers. By targeting the least significant bit (LSB) of non-transparent alpha layer image values, the proposed method successfully conceals compressed JavaScript code inside a favicon image without affecting visual fidelity. Global web traffic loads 294 billion favicons daily and consume 0.9 petabytes of network bandwidth. A proof-of-concept implementation demonstrates that a 64x64 ICO image can embed up to 512 bytes uncompressed, or 0.8 kilobyte when using lightweight two-fold compression. On page load, a browser fetches the favicon as part of standard behavior, allowing an embedded loader script to extract and execute the payload entirely in memory using native JavaScript APIs and canvas pixel access. This creates a two-stage covert channel requiring no additional network or user requests. Testing across multiple browsers in both desktop and mobile environments confirms successful and silent execution of the embedded script. We evaluate the threat model, relate it to polymorphic phishing attacks that evade favicon-based detection, and analyze evasion of content security policies and antivirus scanners. We map nine example MITRE ATT&CK Framework objectives to single line JavaScript to execute arbitrarily in ICO files. Existing steganalysis and sanitization defenses are discussed, highlighting limitations in detecting or neutralizing alpha-channel exploits. The results demonstrate a stealthy and reusable attack surface that blurs traditional boundaries between static images and executable content. Because modern browsers report silent errors when developers specifically fail to load ICO files, this attack surface offers an interesting example of required web behaviors that in turn compromise security.