Una aparentemente inofensiva imagen de Twitter puede esconder un ZIP con hasta 3 MB de datos e incluso un MP3

La esteganografía consiste en la ocultación de mensajes u elementos dentro de otros sin que sean percibidos. Una técnica que ha conseguido aplicar con éxito el investigador David Buchanan a imágenes de Twitter: en lo que podría parecer un simple e inofensivo PNG puede llegar a esconder un archivo ZIP con hasta 3 MB de información. Un logro y un potencial peligro.

Este experto ha publicado en GitHub el código fuente de su PNG mágico, a la vista de sus capacidades, y el fichero en sí mismo lo ha tuiteado. En el tuit comenta su hallazgo y adjunta la imagen en cuestión que reza: "¡Guarda esta imagen y cambia la extensión a .zip!".

Si lo hacemos, efectivamente la imagen en cuestión se convertirá en un archivo comprimido que, si los descomprimimos, nos mostrará el mismo código fuente que ha subido a GitHub.

Tweetable Polyglot PNG, los discretos archivos ZIP que pueden tuitearse

I found a way to stuff up to ~3MB of data inside a PNG file on twitter. This is even better than my previous JPEG ICC technique, since the inserted data is contiguous.

The source code is available in the ZIP/PNG file attached: pic.twitter.com/zEOl2zJYRC

— Dаvіd Вucһаnаn (@David3141593) March 17, 2021

Buchanan ha explicado a Bleeping Computer que aunque Twitter comprime imágenes prácticamente siempre, en alguno casos eso no es así. Tampoco elimina siempre los metadatos no esenciales, lo que sucede es que estas excepciones son muy concretas y son las que ha descubierto el investigador.

"El nuevo truco que he descubierto es que puedes añadir datos al final del flujo 'DEFLATE' (la parte del archivo que almacena los datos de píxeles comprimidos) y Twitter no los eliminará", ha explicado. Y no lo hará ni siquiera cuando comprime una imagen reduciendo el tamaño: ahí permanece el código que obra la magia del ZIP. Algo que, en manos equivocadas, puede suponer un potencial peligro.

David Buchanan no solo ha probado a esconder archivos comprimidos en imágenes que tuitear, sino también archivos MP3 y sus pruebas han dado sus frutos. En otro tuit, invita a los usuarios a descargar una segunda imagen, renombrarla con la extensión .mp3 y abrir el archivo resultante con VLC para descubrir "una sorpresa".

Si descargamos la instantánea en su tamaño original, de 2,5 MB, seremos rickrolleados. Porque sí, la canción es la famosa y mítica Never Gonna Give You Up de Rick Astley. Eso sí, pese a que la canción por sí sola es lo que es, nada mejor que acompañarla con el videoclip en 4K.