Détecter les données cachées (stéganalyse)

La stéganalyse est la science de la détection des données dissimulées, le pendant de la stéganographie. Son objectif n'est pas nécessairement de lire la charge utile, mais d'abord de répondre à une question plus simple : ce fichier contient-il des données dissimulées ?

La stéganalyse est importante pour les défenseurs, car les données dissimulées échappent aux outils fondés sur des signatures. Une charge utile malveillante dissimulée dans une image anodine passera une analyse antivirus et un filtre de prévention des fuites de données : la dissimulation est précisément le but recherché.

La détection va de la tâche triviale (repérer des fichiers ajoutés) à la tâche extrêmement difficile (détection statistique d'une insertion à taux fractionnaire protégée par une clé bien choisie).

La stéganalyse est classée en fonction de ce que sait l'analyste, à l'image de la cryptanalyse :

• Stégo-seul : seul le fichier suspect est disponible ; c'est le cas le plus difficile et le plus courant.
• Support connu : le support original vierge est également disponible ; la comparaison révèle instantanément les modifications.
• Message connu : le message dissimulé est connu et sert à trouver la méthode d'insertion.
• Stégo choisi : l'analyste peut exécuter l'outil d'insertion pour étudier sa signature.

Dans le monde réel, la plupart des détections relèvent du cas stégo-seul, ce qui explique l'importance des méthodes statistiques : vous disposez rarement de l'original pour effectuer une comparaison.

Avant de recourir à des statistiques complexes, vérifiez les bases. De nombreuses tentatives d’amateurs sont repérées par une simple inspection structurelle :

• Taille du fichier supérieure à ce que le contenu visible laisse prévoir.
• Données en fin de fichier présentes après le marqueur de fin du format.
• Fichiers intégrés : un ZIP ou un fichier exécutable extrait d’une image.
• Chaînes lisibles : du texte en clair qui ne devrait pas se trouver dans un fichier multimédia.

Des outils comme binwalk, strings et fichier les détectent en quelques secondes.

Les formats d’image et de document comportent des champs de métadonnées : balises EXIF, blocs de commentaires et XMP, qui peuvent contenir du texte quelconque. Dissimulées à cet endroit, les données sont faciles à repérer, mais cette méthode reste courante, car les visionneuses ne les affichent jamais.

Inspectez toujours les métadonnées :

• Les champs de commentaire EXIF, UserComment et ImageDescription.
• Les blocs de commentaire JPEG/PNG.
• Les flux d’objets PDF et les propriétés du document.

C’est l’emplacement de dissimulation qui nécessite le moins d’effort et, par conséquent, l’un des premiers endroits qu’un analyste examine.

Une technique puissante pour détecter les LSB est l’analyse par plans de bits. Une image de 8 bits peut être divisée en 8 couches, une par position de bit. Les plans de bits de poids fort portent l’image reconnaissable ; le plan de bits de poids faible ressemble normalement à du bruit aléatoire.

Dans une image saine, le plan LSB est influencé par le bruit naturel du capteur et la texture. Lorsque des données sont intégrées en utilisant tous les LSB, ce plan présente souvent une structure : motifs réguliers, blocs ou contours visibles de la charge utile dissimulée.

Des outils comme StegSolve et zsteg permettent d’afficher les plans de bits individuellement afin de repérer ces anomalies à l’œil nu.

La détection la plus fiable est statistique : les données dissimulées perturbent subtilement la distribution naturelle des valeurs de pixels ou de coefficients. L’intégration de bits aplatit les distributions aléatoires d’une manière que les mathématiques peuvent détecter.

Méthodes principales :

• Attaque du chi carré : détecte que des paires de valeurs, comme 200/201, deviennent aussi fréquentes l’une que l’autre, ce qui est anormal dans les images réelles.
• Analyse RS (régulières/singulières) : estime le taux d’intégration en inversant les LSB et en mesurant la réaction de la régularité de l’image.
• Analyse des paires d’échantillons : examine les relations entre des échantillons adjacents.

Ces méthodes fonctionnent même lorsque la charge utile est chiffrée, car elles détectent l’intégration elle-même, et non le message.

L’attaque du chi carré exploite une faiblesse précise de l’intégration séquentielle des LSB. Dans une image naturelle, les valeurs 200 et 201 apparaissent à des fréquences différentes. Mais l’intégration des LSB fait alterner ces deux valeurs selon les bits aléatoires de la charge utile, ce qui tend à rendre chaque paire de valeurs, appelée paire de valeurs, ou PoV, à peu près aussi fréquente que l’autre.

Le test du chi carré mesure à quel point ces paires ont des fréquences proches de l’égalité. Une forte probabilité d’égalité sur de nombreuses paires signale une intégration. En exécutant le test sur des portions de plus en plus grandes de l’image, un analyste peut même estimer la quantité de données dissimulées et déterminer où elles s’arrêtent.

La stéganalyse moderne utilise de plus en plus l’apprentissage automatique. Au lieu de s’appuyer sur une seule statistique fixe, un classificateur apprend à distinguer les images saines des images stéganographiques à partir de nombreux exemples.

• L’apprentissage automatique classique extrait des ensembles riches de caractéristiques, comme les caractéristiques SPAM ou SRM, qui décrivent les relations entre les pixels, puis entraîne un classificateur.
• L’apprentissage profond utilise des réseaux neuronaux convolutifs qui apprennent directement les caractéristiques de détection à partir d’images brutes.

L’apprentissage automatique excelle à détecter la stéganographie adaptative qui déjoue les statistiques conçues manuellement, mais il nécessite des données d’apprentissage représentatives et peut être contourné par des méthodes qu’il n’a jamais rencontrées : le jeu du chat et de la souris continue.

Parfois, la détection la plus simple consiste à identifier l’outil plutôt que les données. De nombreux programmes de stéganographie laissent des artefacts reconnaissables :

• Des signatures ou des marqueurs d’octets spécifiques dans le fichier.
• Des compromis caractéristiques entre capacité et qualité.
• Des en-têtes connus provenant d’outils comme steghide, OpenStego ou OutGuess.

Des détecteurs spécialisés tels que StegExpose et stegdetect examinent les images à la recherche des empreintes des outils d’intégration courants. Sur les terminaux, détecter simplement qu’un outil de stéganographie a été installé ou exécuté constitue déjà un indicateur fort.

Lorsque vous ne pouvez pas détecter de manière fiable les données dissimulées, vous pouvez tout de même les neutraliser. La stéganalyse active détruit les charges utiles sans qu’il soit nécessaire de les trouver :

• Réencodage : recompresser chaque image, par exemple dans un nouveau JPEG, au niveau de la passerelle afin de détruire les données LSB rudimentaires.
• Redimensionnement/recadrage : le rééchantillonnage modifie chaque valeur de pixel.
• Suppression des métadonnées : supprimer tous les champs EXIF et de commentaire.
• Normalisation du format : convertir tous les téléversements vers un format canonique unique.

Il s’agit d’une défense pratique pour les passerelles de messagerie et les plateformes de contenu : partez du principe qu’une dissimulation peut exister et supprimez-la par précaution.

Rassemblez ces éléments dans une procédure de défense, en commençant par les vérifications les moins coûteuses :

• 1. Structure exécuter file, binwalk et strings pour rechercher des données ajoutées ou intégrées.
• 2. Métadonnées inspecter les champs EXIF et de commentaire avec exiftool.
• 3. Visuel effectuer une analyse par plans de bits avec zsteg ou StegSolve.
• 4. Statistique effectuer une analyse du chi carré ou RS et utiliser des détecteurs d’outils.
• 5. Apprentissage automatique effectuer un filtrage par classificateur à grande échelle.
• 6. Défense active lorsque la détection est incertaine, assainir les fichiers par réencodage.

Aucune vérification unique n’est concluante ; la confiance vient de la combinaison de plusieurs méthodes.

Évaluez votre compréhension de la détection statistique.

Vous avez appris comment les analystes repèrent les charges utiles dissimulées.

• La stéganalyse cherche d’abord à déterminer si des données dissimulées existent, et non ce qu’elles disent ; dans la plupart des cas, il s’agit uniquement de stéganographie.
• Commencez par des vérifications peu coûteuses de la structure et des métadonnées : fichier, binwalk, strings, exiftool.
• L’analyse par plans de bits (zsteg, StegSolve) révèle dans le plan LSB une structure qui trahit l’intégration.
• Les méthodes statistiques, notamment le chi carré et l’analyse RS, détectent l’intégration même lorsque les charges utiles sont chiffrées.
• L’apprentissage automatique détecte la stéganographie adaptative qui déjoue les statistiques fixes.
• Les détecteurs d’outils et la stéganalyse active (réencodage, suppression des métadonnées) identifient ou neutralisent les charges utiles.
• Combinez les techniques en commençant par les moins coûteuses afin d’obtenir une détection fiable.

Ensuite, nous examinerons les canaux clandestins et la manière dont les attaquants exfiltrent des données.