wav音乐里面竟然有病毒？

我原本认为，在听音乐这件事上，最不需要的就是提心吊胆了。直到又一例隐藏恶意代码的wav音频文件曝光，隐写术的魔爪终于从png和jpg伸向wav文件。

10月17日，BlackBerry Cylance威胁研究人员最新发现：wav音频文件中嵌入模糊恶意代码。

播放时，你听到的wav文件发出的音乐没有明显的毛刺或质量问题，甚至还有点动听。背地里，音频加载程序解码并执行音频数据中的恶意代码，目标很清晰，就是挖矿。

无独有偶，俄罗斯Turla也用过这一招。今年6月，俄罗斯网络间谍组织Turla就创意性地将恶意代码隐藏在W音频文件中并传输至攻击目标，这也是全球首个用W文件传播恶意代码的攻击活动。有点不同的是，人家Turla组织不挖矿，而是用W**音频文件发起的国家级攻击活动，直接指向网络间谍入侵。

Turla组织颠覆了以往文本、图片、链接等形式的局限，拉开了用W**音频文件传播恶意代码的大幕。

继Turla组织的间谍行动后，其他黑客也效仿了起来。

BlackBerry Cylance所发现的是全球首例用W音频隐写术加密挖矿的网络攻击。受感染主机在下载并使用特定wav加载程序加载W文件后，会绕开电脑杀毒软件与防火墙，安装XMRrig加密货币矿工应用程序，变身“挖矿机”。

BlackBerry Cylance研究与情报副总裁还补充说，现在Windows桌面和服务器上都发现这种隐写恶意代码的W**文件。简言之，个人及企业用户已暴露在了隐写术加持下的恶意攻击威胁中。

什么是隐写术？

安全员都知道，隐写术就是指将信息隐藏在另一种数据介质中的技术。例如，将纯文本隐藏在图像中，又例如将恶意代码隐藏在音频中。

这挺鸡贼的，因为通过这种手段，暗藏恶意代码的文件就可以躲开安全软件的查杀拦截，甚至“洗白”享受白名单待遇，长久潜伏而不被发现。

隐写术在恶意程序开发中已经流行了十多年，最近开始，隐写术开始从PNG、JPG图片蔓延至W**音频文件。

我们以BlackberryCylance披露的报告威力进行分析，这类wav文件加载器可以分为以下三类：

采用最低有效位（LSB）隐写术的加载程序解码并执行PE文件。
加载程序采用基于rand（）的解码算法来解码和执行PE文件。
加载程序采用基于rand（）的解码算法来解码和执行shellcode。
（内容转载于FreeBuf.COM）