点开一张图片，也有可能中木马！近日华为平板翻墙教程，国外安全防护厂商趋势科技（Trend Micro）发现一个隐藏在图片中当中的恶意木马。尽管这个黑客技术看来有些神奇，但这早已不是什么新鲜事，趋势科技早先就报导过使用相同技术的锁定目标攻击（APT目标攻击使用JPEG图片）。

　　当受害者不小心浏览到恶意木马网站，这个ZBOT间谍软件（TSPY_ZBOT.TFZAH）就会在使用者背后偷偷下载一张JPEG图片到已感染的电脑。使用者甚至不会发现这个图片，就算有人刚好看到这张图，也会觉得它只是一张普通照片。趋势科技发现的是一张日落的照片，其他安全研究人员则曾经见过一张喵星人的照片。

　　黑客利用文件隐藏技术（steganography）将它所监控的金融机构名单暗藏在图片当中。名单上的金融机构遍布全球。一旦使用者造访清单中的任何一个网站，恶意木马就会窃取使用者的信息，例如登录帐号和密码。

　　此攻击还有另一项独特之处：它会下载另一个恶意程序到系统中，也就是TROJ_FOIDAN.AX。此木马程序会将使用者造访网站HTTP标头中的X-Frames-Options设置移除，以便将网站显示在一个框架当中。此设定原本用意是可让网站管理员防止自己的网站遭人用于点击诈骗（clickjack）攻击。

　　过去的ZBOT木马通常没有这么精明，使用文件隐藏技术（steganography）加上点击诈骗（clickjack）将恶意代码隐藏到图片内的恶意程序还是第一次被发现，这表明已有相当势力的恶意程序仍不断扩充其技巧和手法。