Steganografia eseguibile nelle favicon, un vettore d’attacco invisibile. Sembrava solo un’icona, invece era un trojan

Nel mondo della sicurezza informatica siamo abituati a cercare le minacce nei luoghi più ovvi: allegati email, file eseguibili, script obfuscati nei siti web. Ma pochi si fermano a pensare che anche una semplice favicon – quella piccola icona che appare accanto al titolo di una scheda nel browser – possa diventare un cavallo di Troia perfettamente funzionante. Ed è proprio questo il cuore della ricerca pubblicata su arXiv da David Noever e Forrest McKee nel luglio 2025: dimostra come sia possibile sfruttare il canale alfa di un file .ico per nascondere codice JavaScript eseguibile, creando un vettore d’attacco invisibile all’occhio umano.

La tecnica si basa su un uso creativo (e malevolo) della steganografia: invece di nascondere messaggi cifrati all’interno dei pixel visibili, i ricercatori nascondono il payload sfruttando il canale della trasparenza dell’immagine, ovvero quei valori alfa che regolano l’opacità di ogni pixel. Agendo sui bit meno significativi (LSB) di questi valori, riescono a incorporare dati senza alterare visivamente l’immagine. Il risultato è una favicon perfettamente identica all’originale per l’utente, ma che contiene al suo interno un file compresso, estraibile e auto-decomprimibile in JavaScript. Una volta caricato il sito malevolo che ospita la favicon infetta, lo script viene recuperato, ricostruito in memoria ed eseguito all'interno del browser, con effetti potenzialmente devastanti.

L’aspetto più preoccupante di questo metodo è la sua discrezione. I browser trattano le favicon come elementi passivi, caricandole spesso senza che vi sia un’interazione diretta dell’utente. Questo significa che l’esecuzione può avvenire in modo automatico e silenzioso, aggirando molti dei sistemi di difesa tradizionali. Inoltre, strumenti antivirus e antimalware difficilmente ispezionano il canale alfa delle immagini, e ancora meno si aspettano di trovare in quei bit un archivio compresso contenente codice eseguibile.

Il paper introduce anche un framework di proof-of-concept, dove dimostra che si possono nascondere all'interno della favicon non solo singoli script ma veri e propri file ZIP contenenti più payload, che possono essere successivamente estratti ed eseguiti. L’intero processo può essere automatizzato, aprendo la strada a campagne su larga scala, magari tramite distribuzione di favicon apparentemente innocue attraverso CDN, forum o piattaforme open source compromesse.

Questa tecnica alza l’asticella per chi si occupa di sicurezza. Non solo perché introduce un nuovo vettore d’attacco, ma anche perché dimostra che la superficie d’attacco dei browser è più ampia di quanto si pensasse. Ogni risorsa caricata automaticamente, per quanto secondaria, deve essere trattata come potenzialmente pericolosa. Il consiglio, per chi sviluppa e gestisce siti web, è di implementare controlli di integrità sulle favicon (come hash o firme digitali) e disabilitare ove possibile l’esecuzione automatica di script non necessari. Per chi lavora in ambito blue team, sarà sempre più importante includere nel threat modeling anche questi “oggetti minori”, spesso trascurati ma ora rivelatisi estremamente insidiosi.

Nel frattempo, questo studio ci ricorda che la creatività degli attaccanti non conosce limiti, e che la sicurezza non è mai questione solo di firewall