圖片裡藏木馬？揭露 GDI+ 漏洞攻擊鏈與防護實戰

木馬病毒專盜帳號、遠端控制、破壞系統，且極擅偽裝繞過防毒軟體。近年來駭客更利用微軟 GDI+ 圖形處理漏洞，將惡意碼直接植入 BMP、JPG、PNG 等圖片檔——這不是偽裝成圖片的執行檔，而是「圖片本身就是木馬」。只要透過瀏覽器、看圖軟體、QQ/MSN、Office 文件預覽開啟，系統即中標，幾乎全平台受害。

漏洞核心機制

• GDI+ (GdiPlus.dll) 解析特製 BMP 時發生整數溢位，攻擊者可執行任意程式碼，完全控制受害主機。
• 影響範圍極廣：IE、Edge、Chrome、Firefox、Office 全家桶、Windows 看圖、即時通軟體等所有呼叫 GDI+ 的程式皆中招。
• 零互動感染：無需點擊執行，單純「預覽」或「縮圖生成」即觸發。

即時防護三部曲

1. 打補丁優先：微軟已釋出專屬修補程式（KB 編號視作業系統而異），務必透過 Windows Update 或官方下載中心套用。
2. 習慣重於工具：不開啟不明來源圖片、不點擊陌生連結、插入 USB 先掃毒、關閉不必要的圖片預覽功能。
3. 深度防禦：防毒軟體升級最新毒碼、啟用即時掃描、定期全盤掃毒；企業環境建議部署應用程式白名單與網路隔離。

趨勢觀察：隨著國家打擊網路犯罪力度加大，地下木馬產業鏈將逐步瓦解，但「零信任」防護思維仍是個人與組織的長期必修課。