Detección de datos ocultos (esteganálisis)

El estegoanálisis es la ciencia de detectar datos ocultos y constituye la contraparte de la esteganografía. Su objetivo no es necesariamente leer la carga útil, sino responder primero a una pregunta más sencilla: ¿contiene este archivo datos ocultos?

El estegoanálisis es importante para los defensores porque los datos ocultos eluden las herramientas basadas en firmas. Una carga útil maliciosa introducida clandestinamente en una imagen aparentemente inocente pasará un análisis antivirus y un filtro de prevención de pérdida de datos; ocultarla es precisamente el objetivo.

La detección abarca desde casos triviales (detectar archivos añadidos) hasta casos extremadamente difíciles (la detección estadística de una inserción con tasa fraccionaria y una clave bien protegida).

El estegoanálisis se clasifica según lo que sabe el analista, de forma similar al criptoanálisis:

• Solo estego: solo está disponible el archivo sospechoso; es el caso más difícil y habitual.
• Portador conocido: también está disponible el portador original y limpio; la comparación revela los cambios al instante.
• Mensaje conocido: se conoce el mensaje oculto y se utiliza para encontrar el método de inserción.
• Estego elegido: el analista puede ejecutar la herramienta de inserción para estudiar su firma.

La mayor parte de la detección en el mundo real se realiza en el escenario de solo estego, por lo que los métodos estadísticos son tan importantes: rara vez se dispone del original para compararlo.

Antes de analizar estadísticas sofisticadas, compruebe lo básico. Muchos intentos de aficionados se detectan mediante una sencilla inspección estructural:

• Tamaño del archivo mayor de lo esperado para el contenido visible.
• Datos finales contenido después del marcador de fin de archivo del formato.
• Archivos incrustados un ZIP o ejecutable extraído de una imagen.
• Cadenas legibles texto sin formato que no debería estar en un archivo multimedia.

Herramientas como binwalk, strings y file detectan estos elementos en segundos.

Los formatos de imagen y documento tienen campos de metadatos: etiquetas EXIF, bloques de comentarios y XMP que pueden contener texto arbitrario. Ocultar datos aquí es rudimentario, pero común, porque los visores nunca los muestran.

Inspeccione siempre los metadatos:

• Campos EXIF de comentario, UserComment e ImageDescription.
• Fragmentos de comentarios JPEG/PNG.
• Flujos de objetos de PDF y propiedades del documento.

Este es el lugar que requiere menos esfuerzo y, por tanto, uno de los primeros que examina un analista.

Una técnica eficaz para detectar LSB es el análisis de planos de bits. Una imagen de 8 bits puede dividirse en 8 capas, una por cada posición de bit. Los planos de bits de orden más alto contienen la imagen reconocible; el plano de bits menos significativo normalmente parece ruido aleatorio.

En una imagen limpia, el plano LSB está influido por el ruido natural del sensor y la textura. Cuando se incrustan datos usando LSB completo, ese plano suele mostrar estructura: patrones regulares, bloques o contornos visibles de la carga útil oculta.

Herramientas como StegSolve y zsteg permiten ver planos de bits individuales para detectar estas anomalías a simple vista.

La detección más sólida es la estadística: los datos ocultos alteran sutilmente la distribución natural de los valores de píxel o de coeficiente. La incrustación de bits aplana la aleatoriedad de formas que las matemáticas pueden detectar.

Métodos principales:

• El ataque de chi-cuadrado detecta que pares de valores, como 200/201, se vuelven igual de frecuentes, algo poco natural en imágenes reales.
• El análisis RS (Regular/Singular) estima la tasa de incrustación invirtiendo los LSB y midiendo cómo responde la uniformidad de la imagen.
• El análisis de pares de muestras examina las relaciones entre muestras adyacentes.

Estos métodos funcionan incluso cuando la carga útil está cifrada, porque detectan el acto de incrustar datos, no el mensaje.

El ataque de chi-cuadrado aprovecha una debilidad específica de la incrustación secuencial mediante LSB. En una imagen natural, los valores 200 y 201 aparecen con frecuencias distintas. Pero la incrustación mediante LSB alterna entre ellos según los bits aleatorios de la carga útil, lo que tiende a hacer que cada par de valores, denominado Pair of Values, o PoV, tenga una frecuencia aproximadamente igual.

La prueba de chi-cuadrado mide hasta qué punto estos pares se aproximan a una frecuencia igual. Una probabilidad alta de igualdad en muchos pares indica una incrustación. Al ejecutar la prueba sobre porciones cada vez mayores de la imagen, un analista puede incluso estimar cuántos datos se ocultaron y dónde termina la ocultación.

El esteganálisis moderno utiliza cada vez más el aprendizaje automático. En lugar de una única estadística fija, un clasificador aprende a distinguir imágenes limpias de imágenes estego a partir de muchos ejemplos.

• El ML clásico extrae conjuntos completos de características, como las características SPAM o SRM, que capturan relaciones entre píxeles, y después entrena un clasificador.
• El aprendizaje profundo utiliza redes neuronales convolucionales que aprenden las características de detección directamente de imágenes sin procesar.

El ML destaca en la detección de esteganografía adaptativa que derrota las estadísticas diseñadas manualmente, pero requiere datos de entrenamiento representativos y puede ser evadido por métodos que nunca ha visto: la lucha del gato y el ratón continúa.

A veces, la detección más sencilla consiste en identificar la herramienta y no los datos. Muchos programas de esteganografía dejan rastros reconocibles:

• Firmas o marcadores de bytes específicos en el archivo.
• Compromisos característicos entre capacidad y calidad.
• Encabezados conocidos de herramientas como steghide, OpenStego o OutGuess.

Detectores especializados como StegExpose y stegdetect examinan las imágenes en busca de las huellas de herramientas de incrustación populares. En los equipos terminales, detectar simplemente que se ha instalado o ejecutado una herramienta de esteganografía ya es un indicador importante.

Cuando no pueda detectar de forma fiable los datos ocultos, aún puede neutralizarlos. El esteganálisis activo destruye las cargas útiles sin necesidad de encontrarlas:

• Recodificación recomprimir cada imagen, por ejemplo, en un JPEG nuevo, en la puerta de enlace para destruir los datos LSB básicos.
• Redimensionamiento/recorte el remuestreo altera todos los valores de píxel.
• Eliminación de metadatos eliminar todos los campos EXIF y de comentarios.
• Normalización del formato convertir todas las cargas a un único formato canónico.

Esta es una defensa práctica para las puertas de enlace de correo electrónico y las plataformas de contenido: suponga que puede existir ocultación y elimínela de forma preventiva.

Reúna todo en un flujo de trabajo para defensores, empezando por las comprobaciones más baratas:

• 1. Estructura ejecute file, binwalk y strings para detectar datos añadidos o incrustados.
• 2. Metadatos inspeccione los campos EXIF y de comentarios con exiftool.
• 3. Visual realice un análisis de planos de bits con zsteg o StegSolve.
• 4. Estadística realice un análisis de chi-cuadrado o RS y utilice detectores de herramientas.
• 5. ML realice un cribado mediante clasificadores a gran escala.
• 6. Defensa activa cuando la detección no sea segura, sanee mediante recodificación.

Ninguna prueba aislada es concluyente; la confianza se obtiene combinándolas por capas.

Compruebe su comprensión de la detección estadística.

Ha aprendido cómo encuentran los analistas las cargas útiles ocultas.

• El esteganálisis primero pregunta si existen datos ocultos, no qué dicen: en la mayoría de los casos, son solo estego.
• Empiece con comprobaciones estructurales y de metadatos económicas: file, binwalk, strings, exiftool.
• El análisis de planos de bits (zsteg, StegSolve) revela una estructura en el plano LSB que delata la incrustación.
• Los métodos estadísticos, como el chi-cuadrado y el análisis RS, detectan el acto de incrustar datos incluso en cargas útiles cifradas.
• El aprendizaje automático detecta esteganografía adaptativa que derrota las estadísticas fijas.
• Los detectores de herramientas y el esteganálisis activo (recodificación y eliminación de metadatos) identifican o neutralizan las cargas útiles.
• Aplique las técnicas por capas, empezando por las más económicas, para lograr una detección fiable.

A continuación, veremos los canales encubiertos y cómo los atacantes exfiltran datos.