파비콘 트로이목마: ICO 알파 채널 악용을 통한 실행 가능한 스테가노그래피

Favicon Trojans: Executable Steganography Via Ico Alpha Channel Exploitation

July 11, 2025

저자: David Noever, Forrest McKee

cs.AI

초록

본 논문은 웹 브라우저 내에서 자체 압축 해제 가능한 JavaScript 페이로드를 임베딩하고 전달하기 위해 ICO 이미지 파일의 알파 투명도 레이어를 활용한 새로운 실행 가능한 스테가노그래피 방법을 제시한다. 제안된 방법은 비투명 알파 레이어 이미지 값의 최하위 비트(LSB)를 대상으로 하여, 시각적 충실도에 영향을 주지 않으면서 favicon 이미지 내에 압축된 JavaScript 코드를 성공적으로 은닉한다. 전 세계 웹 트래픽은 매일 2940억 개의 favicon을 로드하며 0.9페타바이트의 네트워크 대역폭을 소비한다. 개념 증명 구현을 통해 64x64 ICO 이미지가 최대 512바이트의 비압축 데이터 또는 경량 2단계 압축 시 0.8킬로바이트를 임베딩할 수 있음을 입증했다. 페이지 로드 시, 브라우저는 표준 동작의 일환으로 favicon을 가져오며, 이때 임베디드 로더 스크립트가 네이티브 JavaScript API와 캔버스 픽셀 접근을 사용하여 메모리 내에서 페이로드를 추출하고 실행할 수 있게 한다. 이는 추가적인 네트워크 또는 사용자 요청 없이도 두 단계의 은밀한 채널을 생성한다. 데스크톱 및 모바일 환경에서 다양한 브라우저를 대상으로 한 테스트는 임베디드 스크립트의 성공적이고 무음의 실행을 확인했다. 우리는 위협 모델을 평가하고, favicon 기반 탐지를 회피하는 다형성 피싱 공격과 관련지어 분석하며, 콘텐츠 보안 정책 및 안티바이러스 스캐너의 회피를 분석한다. MITRE ATT&CK 프레임워크의 9가지 예시 목표를 ICO 파일 내에서 임의로 실행 가능한 단일 라인 JavaScript로 매핑한다. 기존의 스테가널리시스 및 위생화 방어 기법의 한계를 논의하며, 알파 채널 익스플로잇을 탐지하거나 중화하는 데 있어 제약점을 강조한다. 결과는 정적 이미지와 실행 가능한 콘텐츠 사이의 전통적인 경계를 흐리는 은밀하고 재사용 가능한 공격 표면을 보여준다. 현대 브라우저가 개발자가 ICO 파일 로드를 명시적으로 실패할 때 무음 오류를 보고하는 점은, 필수적인 웹 동작이 보안을 훼손하는 흥미로운 사례를 제공한다.

English

This paper presents a novel method of executable steganography using the alpha transparency layer of ICO image files to embed and deliver self-decompressing JavaScript payloads within web browsers. By targeting the least significant bit (LSB) of non-transparent alpha layer image values, the proposed method successfully conceals compressed JavaScript code inside a favicon image without affecting visual fidelity. Global web traffic loads 294 billion favicons daily and consume 0.9 petabytes of network bandwidth. A proof-of-concept implementation demonstrates that a 64x64 ICO image can embed up to 512 bytes uncompressed, or 0.8 kilobyte when using lightweight two-fold compression. On page load, a browser fetches the favicon as part of standard behavior, allowing an embedded loader script to extract and execute the payload entirely in memory using native JavaScript APIs and canvas pixel access. This creates a two-stage covert channel requiring no additional network or user requests. Testing across multiple browsers in both desktop and mobile environments confirms successful and silent execution of the embedded script. We evaluate the threat model, relate it to polymorphic phishing attacks that evade favicon-based detection, and analyze evasion of content security policies and antivirus scanners. We map nine example MITRE ATT&CK Framework objectives to single line JavaScript to execute arbitrarily in ICO files. Existing steganalysis and sanitization defenses are discussed, highlighting limitations in detecting or neutralizing alpha-channel exploits. The results demonstrate a stealthy and reusable attack surface that blurs traditional boundaries between static images and executable content. Because modern browsers report silent errors when developers specifically fail to load ICO files, this attack surface offers an interesting example of required web behaviors that in turn compromise security.