Esteganálisis: detección de mensajes ocultos

La técnica de estegoanálisis más básica consiste simplemente en observar detenidamente una imagen sospechosa. Ampliar la imagen hasta el nivel de píxel y examinar regiones de color uniforme puede revelar artefactos de bloque o patrones de ruido incoherentes con el contenido de la imagen. Convertir la imagen a escala de grises, ajustar el contraste y examinar los histogramas de color puede revelar anomalías que sugieran que se ha realizado una incrustación esteganográfica en regiones específicas.

La prueba de chi cuadrado es una prueba estadística clásica para detectar esteganografía LSB. Las imágenes naturales tienen distribuciones características de valores de color, en las que los pares de valores adyacentes par-impar aparecen con una frecuencia similar. La incrustación LSB cambia los valores impares a pares o viceversa, creando desequilibrios detectables en estos pares. El estadístico chi cuadrado mide la desviación respecto a las frecuencias esperadas de los pares y aumenta significativamente cuando se detecta una incrustación.

El análisis de pares de muestras es un detector LSB más sofisticado que estima la longitud del mensaje incrustado, no solo si se ha producido una incrustación. Cuenta las transiciones entre pares de valores de píxeles vecinos y modela cómo cambian esos recuentos con distintas cantidades de datos incrustados. Al ajustar los recuentos observados al modelo, un analista puede estimar qué fracción de la capacidad del portador se ha utilizado.

Las métricas de calidad de imagen como PSNR (relación señal-ruido máxima) y SSIM (índice de similitud estructural) comparan una imagen sospechosa con una referencia limpia asumida o con un modelo estadístico de imágenes naturales. Un PSNR muy alto sugiere una modificación mínima; una distribución de ruido anómalamente uniforme por toda la imagen, en lugar de concentrada en regiones complejas, sugiere una manipulación LSB sistemática y no ruido natural de la cámara.

El análisis RS divide los píxeles de una imagen en grupos y los clasifica como Regulares, Singulares o No utilizables según cómo cambia su medida de suavidad al invertir los LSB. En las imágenes naturales, la proporción de grupos Regulares supera ligeramente a la de grupos Singulares. La incrustación LSB iguala estas proporciones de una manera predecible. Medir los valores R y S antes y después de invertir los LSB proporciona un detector robusto que estima la tasa de incrustación.

El estegoanálisis dirigido está diseñado para detectar una herramienta o un algoritmo de esteganografía específicos aprovechando su firma estadística particular. El estegoanálisis ciego, también denominado estegoanálisis universal, intenta detectar cualquier contenido oculto sin saber qué herramienta se utilizó. Los métodos ciegos suelen extraer cientos de características estadísticas de la imagen y utilizar clasificadores de aprendizaje automático entrenados con imágenes limpias y estego conocidas.

El estegoanálisis moderno utiliza redes neuronales convolucionales entrenadas con grandes conjuntos de datos de imágenes limpias y estego. La CNN aprende a identificar las sutiles diferencias estadísticas de segundo orden introducidas por la incrustación esteganográfica. Los modelos como SRNet y Yedroudj-Net logran tasas de detección muy altas frente a las herramientas de esteganografía actuales, incluso con tasas de incrustación bajas de 0,1 bits por píxel. La carrera entre incrustación y detección continúa.

StegExpose es una herramienta de estegoanálisis por lotes y de código abierto que ejecuta varios algoritmos de detección sobre un conjunto de imágenes y combina las puntuaciones. Implementa chi cuadrado, análisis RS, conjuntos primarios y análisis de pares de muestras, y produce una puntuación de probabilidad combinada. Los equipos de seguridad la utilizan para analizar grandes repositorios de imágenes en busca de posibles exfiltraciones de datos. Es eficaz contra herramientas habituales como Steghide, OpenStego y Outguess.

Muchas herramientas de esteganografía dejan artefactos característicos que van más allá de las anomalías estadísticas. Steghide, por ejemplo, produce un patrón específico en los primeros bytes de los archivos WAV modificados. OpenPuff modifica la cabecera del archivo de una forma reconocible. Estas firmas de herramientas permiten al software forense identificar no solo que se utilizó esteganografía, sino también qué herramienta específica se empleó, lo que ayuda a orientar el intento de extracción.

Los archivos cuyo tamaño es inesperadamente grande para su tipo de contenido pueden indicar la presencia de una carga útil oculta. Una captura de pantalla PNG que tenga el doble del tamaño esperado para sus dimensiones puede contener un archivo comprimido oculto. Comparar los tamaños reales de los archivos con los tamaños esperados según las dimensiones, la profundidad de color y los ajustes de compresión proporciona un método rápido de triaje para identificar archivos sospechosos antes de realizar un estegoanálisis detallado.

Las investigaciones de informática forense buscan indicios de instalación o uso de herramientas de esteganografía, no solo los propios archivos portadores. El historial del navegador con visitas a páginas de descarga de software de esteganografía, aplicaciones instaladas como OpenStego y archivos temporales de operaciones esteganográficas pueden ser indicadores forenses. Las entradas del registro de Windows pueden registrar archivos abiertos recientemente que se utilizaron como portadores o como fuentes de datos ocultos.

El estegoanálisis abarca desde la inspección visual hasta sofisticados clasificadores de aprendizaje automático. El chi cuadrado y el análisis RS son detectores estadísticos clásicos de la incrustación LSB. El análisis de pares de muestras estima la tasa de incrustación. Las CNN de aprendizaje automático logran tasas de detección elevadas frente a las herramientas modernas. StegExpose combina varias pruebas para analizar archivos por lotes. Las firmas de herramientas y las anomalías en el tamaño de los archivos proporcionan indicadores forenses adicionales más allá del análisis puramente estadístico.