Verborgene Daten erkennen (Steganalyse)

Steganalyse ist die Wissenschaft von der Erkennung versteckter Daten und das Gegenstück zur Steganografie. Ihr Ziel besteht nicht unbedingt darin, die Nutzlast zu lesen, sondern zunächst eine einfachere Frage zu beantworten: Enthält diese Datei überhaupt versteckte Daten?

Steganalyse ist für Verteidiger wichtig, weil versteckte Daten signaturbasierte Tools umgehen. Eine bösartige Nutzlast, die in einer harmlosen Bilddatei eingeschleust wurde, passiert sowohl einen Virenscan als auch einen Filter zur Verhinderung von Datenverlust – genau darin liegt der Zweck des Verbergens.

Die Erkennung reicht vom Trivialen (angehängte Dateien erkennen) bis zum äußerst Schwierigen (statistische Erkennung einer gut durch einen Schlüssel gesteuerten Einbettung mit niedriger Rate).

Steganalyse wird danach klassifiziert, was der Analyst weiß – ähnlich wie bei der Kryptoanalyse:

• Stego-only Nur die verdächtige Datei ist verfügbar – der schwierigste und häufigste Fall.
• Known-cover Das ursprüngliche unveränderte Trägerobjekt ist ebenfalls verfügbar; ein Vergleich macht Änderungen sofort sichtbar.
• Known-message Die versteckte Nachricht ist bekannt und wird verwendet, um die Einbettungsmethode zu ermitteln.
• Chosen-stego Der Analyst kann das Einbettungs-Tool ausführen, um dessen Signatur zu untersuchen.

Die Erkennung in der Praxis ist meist stego-only. Deshalb sind statistische Methoden so wichtig: Das Original zum Vergleich steht nur selten zur Verfügung.

Bevor Sie sich mit ausgefeilten Statistiken beschäftigen, prüfen Sie die Grundlagen. Viele amateurhafte Versuche lassen sich durch eine einfache Strukturanalyse erkennen:

• Dateigröße, die für den sichtbaren Inhalt größer als erwartet ist.
• Nachfolgende Daten, also Inhalt nach der End-of-File-Markierung des Formats.
• Eingebettete Dateien, etwa ein aus einem Bild extrahiertes ZIP-Archiv oder eine ausführbare Datei.
• Lesbare Zeichenfolgen, also Klartext, der nicht in einer Mediendatei enthalten sein sollte.

Tools wie binwalk, strings und file erkennen solche Auffälligkeiten in Sekunden.

Bild- und Dokumentformate verfügen über Metadaten-Felder wie EXIF-Tags, Kommentarblöcke und XMP, die beliebigen Text enthalten können. Das Verstecken von Daten darin ist primitiv, aber verbreitet, weil Viewer sie nie anzeigen.

Überprüfen Sie Metadaten immer:

• EXIF-Kommentar-, UserComment- und ImageDescription-Felder.
• JPEG/PNG-Kommentar-Chunks.
• PDF-Objektstreams und Dokumenteigenschaften.

Dies ist der Ort, an dem sich Daten mit dem geringsten Aufwand verstecken lassen, und daher eine der ersten Stellen, die ein Analyst untersucht.

Eine leistungsfähige Technik zur Erkennung von LSB-Einbettungen ist die Bit-Ebenen-Analyse. Ein 8-Bit-Bild kann in 8 Ebenen aufgeteilt werden, eine für jede Bitposition. Die höchstwertigen Bit-Ebenen tragen das erkennbare Bild; die niederwertigste Bit-Ebene sieht normalerweise wie Zufallsrauschen aus.

In einem unveränderten Bild wird die LSB-Ebene durch natürliches Sensorrauschen und Texturen beeinflusst. Wenn Daten mit vollständiger LSB-Einbettung eingebettet werden, zeigt diese Ebene häufig Strukturen wie regelmäßige Muster, Blöcke oder sichtbare Umrisse der verborgenen Nutzdaten.

Mit Tools wie StegSolve und zsteg können Sie einzelne Bit-Ebenen anzeigen und solche Anomalien mit bloßem Auge erkennen.

Die zuverlässigsten Erkennungsverfahren sind statistisch: Versteckte Daten verändern subtil die natürliche Verteilung von Pixel- oder Koeffizientenwerten. Das Einbetten von Bits glättet Zufallsverteilungen auf eine Weise, die mathematisch erkennbar ist.

Wichtige Methoden:

• Chi-Quadrat-Angriff: Erkennt, dass Wertepaare wie 200/201 gleich häufig vorkommen, was in echten Bildern unnatürlich ist.
• RS-Analyse (Regular/Singular): Schätzt die Einbettungsrate, indem LSBs umgekehrt und die Auswirkungen auf die Bildglätte gemessen werden.
• Sample-Pair-Analyse: Untersucht die Beziehungen zwischen benachbarten Stichproben.

Diese Methoden funktionieren auch dann, wenn die Nutzdaten verschlüsselt sind, da sie den Einbettungsvorgang und nicht die Nachricht erkennen.

Der Chi-Quadrat-Angriff nutzt eine spezifische Schwäche der sequenziellen LSB-Einbettung aus. In einem natürlichen Bild kommen die Werte 200 und 201 unterschiedlich häufig vor. Bei der LSB-Einbettung wird jedoch abhängig von zufälligen Nutzdatenbits zwischen ihnen gewechselt, wodurch jedes Wertepaar, das als Pair of Values oder PoV bezeichnet wird, tendenziell annähernd gleich häufig vorkommt.

Der Chi-Quadrat-Test misst, wie nahe diese Paare an einer gleichen Häufigkeit liegen. Eine hohe Wahrscheinlichkeit gleicher Häufigkeiten über viele Paare hinweg deutet auf eine Einbettung hin. Wird der Test über immer größere Teile des Bildes ausgeführt, kann ein Analyst sogar schätzen, wie viele Daten verborgen wurden und wo die Einbettung endet.

Moderne Steganalyse setzt zunehmend auf maschinelles Lernen. Statt einer einzelnen festen statistischen Kennzahl lernt ein Klassifikator anhand vieler Beispiele, zwischen unveränderten und Stego-Bildern zu unterscheiden.

• Klassisches ML extrahiert umfangreiche Merkmalsmengen, etwa SPAM- oder SRM-Features, die Pixelbeziehungen erfassen, und trainiert anschließend einen Klassifikator.
• Deep Learning verwendet faltende neuronale Netze, die Erkennungsmerkmale direkt aus Rohbildern lernen.

ML eignet sich hervorragend zum Erkennen adaptiver Steganografie, die von Hand entwickelte statistische Verfahren überlistet. Es benötigt jedoch repräsentative Trainingsdaten und kann durch Methoden umgangen werden, die es noch nie gesehen hat – das Katz-und-Maus-Spiel geht weiter.

Manchmal besteht die einfachste Erkennung darin, das Tool statt der Daten zu identifizieren. Viele Steganografieprogramme hinterlassen charakteristische Spuren:

• Bestimmte Byte-Signaturen oder Markierungen in der Datei.
• Charakteristische Kompromisse zwischen Kapazität und Qualität.
• Bekannte Header von Tools wie steghide, OpenStego oder OutGuess.

Spezialisierte Detektoren wie StegExpose und stegdetect überprüfen Bilder auf die Fingerabdrücke beliebter Einbettungs-Tools. Auf Endgeräten ist bereits die Feststellung, dass ein Steganografie-Tool installiert oder ausgeführt wurde, ein starkes Indiz.

Wenn Sie verborgene Daten nicht zuverlässig erkennen können, können Sie sie trotzdem unschädlich machen. Aktive Steganalyse zerstört Nutzdaten, ohne sie finden zu müssen:

• Neukodierung: Jedes Bild am Gateway neu komprimieren, etwa als frisches JPEG, wodurch naive LSB-Daten zerstört werden.
• Größenänderung/Zuschneiden: Das Resampling verändert jeden Pixelwert.
• Entfernen von Metadaten: Alle EXIF- und Kommentarfelder entfernen.
• Formatnormalisierung: Alle Uploads in ein einheitliches kanonisches Format konvertieren.

Dies ist eine praktische Abwehrmaßnahme für E-Mail-Gateways und Inhaltsplattformen: Gehen Sie davon aus, dass versteckte Daten vorhanden sein könnten, und entfernen Sie sie vorsorglich.

Fassen wir dies zu einem Ablauf für Verteidiger zusammen, beginnend mit den kostengünstigsten Prüfungen:

• 1. Struktur: Führen Sie file, binwalk und strings aus, um angehängte oder eingebettete Daten zu finden.
• 2. Metadaten: Untersuchen Sie EXIF- und Kommentarfelder mit exiftool.
• 3. Visuell: Bit-Ebenen-Analyse mit zsteg oder StegSolve.
• 4. Statistisch: Chi-Quadrat-/RS-Analyse und Tool-Detektoren.
• 5. ML: Prüfung durch Klassifikatoren in großem Maßstab.
• 6. Aktive Abwehr: Wenn die Erkennung unsicher ist, bereinigen Sie die Daten durch Neukodierung.

Kein einzelner Test ist beweiskräftig; zuverlässige Ergebnisse entstehen durch die Kombination mehrerer Verfahren.

Überprüfen Sie Ihr Verständnis der statistischen Erkennung.

Sie haben gelernt, wie Analysten verborgene Nutzdaten aufspüren.

• Steganalyse fragt zunächst, ob versteckte Daten vorhanden sind, nicht, was sie aussagen; in den meisten Fällen handelt es sich um stego-only.
• Beginnen Sie mit kostengünstigen Struktur- und Metadatenprüfungen: file, binwalk, strings, exiftool.
• Die Bit-Ebenen-Analyse (zsteg, StegSolve) macht Strukturen in der LSB-Ebene sichtbar, die eine Einbettung verraten.
• Statistische Methoden wie Chi-Quadrat- und RS-Analyse erkennen den Einbettungsvorgang auch bei verschlüsselten Nutzdaten.
• Maschinelles Lernen erkennt adaptive Steganografie, die feste statistische Verfahren überlistet.
• Tool-Detektoren und aktive Steganalyse (Neukodierung, Entfernen von Metadaten) identifizieren oder neutralisieren Nutzdaten.
• Kombinieren Sie die Verfahren, beginnend mit den kostengünstigsten, um eine zuverlässige Erkennung zu erreichen.

Als Nächstes betrachten wir verdeckte Kanäle und wie Angreifer Daten exfiltrieren.