Steganalisi: rilevare messaggi nascosti

La tecnica di steganalisi più semplice consiste nell'esaminare attentamente un'immagine sospetta. L'ingrandimento fino al livello dei pixel e l'analisi delle aree di colore uniforme possono rivelare artefatti a blocchi o schemi di rumore incoerenti con il contenuto dell'immagine. La conversione in scala di grigi, la regolazione del contrasto e l'analisi degli istogrammi dei colori possono evidenziare anomalie che suggeriscono l'inserimento steganografico in regioni specifiche.

Il test del chi quadrato è un test statistico classico per la steganografia LSB. Le immagini naturali presentano distribuzioni caratteristiche dei valori dei colori, nelle quali le coppie adiacenti di valori pari e dispari compaiono con frequenza simile. L'inserimento tramite LSB modifica i valori dispari in valori pari o viceversa, creando squilibri rilevabili in queste coppie. La statistica del chi quadrato misura la deviazione dalle frequenze attese delle coppie e aumenta significativamente quando viene rilevato un inserimento.

L'analisi delle coppie di campioni è un rilevatore LSB più sofisticato, che stima la lunghezza del messaggio incorporato e non solo se è avvenuto un inserimento. Conta le transizioni tra coppie di valori di pixel adiacenti e modella il modo in cui tali conteggi cambiano con diverse quantità di dati incorporati. Adattando i conteggi osservati al modello, un analista può stimare quale frazione della capacità del contenitore è stata utilizzata.

Le metriche della qualità delle immagini, come PSNR (rapporto segnale/rumore di picco) e SSIM (indice di similarità strutturale), confrontano un'immagine sospetta con un riferimento presumibilmente integro oppure con un modello statistico di immagini naturali. Un PSNR molto elevato suggerisce una modifica minima; una distribuzione del rumore insolitamente uniforme nell'immagine, anziché concentrata nelle regioni complesse, suggerisce una manipolazione LSB sistematica invece del naturale rumore della fotocamera.

L'analisi RS divide i pixel dell'immagine in gruppi e li classifica come Regolari, Singolari o Inutilizzabili, in base a come cambia la loro misura di uniformità quando gli LSB vengono invertiti. Nelle immagini naturali, la proporzione dei gruppi Regolari supera leggermente quella dei gruppi Singolari. L'inserimento tramite LSB rende queste proporzioni più simili in modo prevedibile. La misurazione dei valori R e S prima e dopo l'inversione degli LSB fornisce un rilevatore affidabile che stima la percentuale di inserimento.

La steganalisi mirata è progettata per rilevare uno specifico strumento o algoritmo steganografico sfruttandone la particolare firma statistica. La steganalisi cieca, detta anche steganalisi universale, tenta di rilevare qualsiasi contenuto nascosto senza sapere quale strumento sia stato utilizzato. I metodi ciechi estraggono in genere centinaia di caratteristiche statistiche dall'immagine e utilizzano classificatori di machine learning addestrati su immagini pulite e immagini stego note.

La steganalisi moderna utilizza reti neurali convoluzionali addestrate su grandi insiemi di immagini pulite e stego. La CNN impara a identificare le sottili differenze statistiche di secondo ordine introdotte dall'inserimento steganografico. Modelli come SRNet e Yedroudj-Net raggiungono tassi di rilevamento molto elevati contro gli strumenti steganografici attuali, persino con basse percentuali di inserimento pari a 0,1 bit per pixel. La corsa agli armamenti tra tecniche di inserimento e rilevamento continua.

StegExpose è uno strumento open source di steganalisi batch che esegue più algoritmi di rilevamento su un insieme di immagini e combina i punteggi. Implementa il test del chi quadrato, l'analisi RS, gli insiemi primari e l'analisi delle coppie di campioni, producendo un punteggio di probabilità combinato. I team di sicurezza lo utilizzano per analizzare grandi archivi di immagini alla ricerca di potenziali esfiltrazioni di dati. È efficace contro strumenti comuni come Steghide, OpenStego e Outguess.

Molti strumenti di steganografia lasciano artefatti caratteristici oltre alle anomalie statistiche. Steghide, per esempio, produce uno schema specifico nei primi byte dei file WAV modificati. OpenPuff modifica l'intestazione del file in modo riconoscibile. Queste firme degli strumenti consentono al software forense di identificare non solo l'uso della steganografia, ma anche quale strumento specifico è stato utilizzato, aiutando a orientare il tentativo di estrazione.

File insolitamente grandi rispetto al proprio tipo di contenuto possono indicare la presenza di un payload nascosto. Uno screenshot PNG di dimensioni doppie rispetto a quelle previste potrebbe contenere un archivio nascosto. Il confronto tra le dimensioni effettive dei file e quelle previste in base a dimensioni, profondità di colore e impostazioni di compressione offre un rapido metodo di triage per identificare i file sospetti prima di eseguire una steganalisi dettagliata.

Le indagini di digital forensics cercano indizi dell'installazione o dell'uso di strumenti di steganografia, non solo i file contenitore. La cronologia del browser che mostra visite a pagine di download di software steganografico, applicazioni installate come OpenStego e file temporanei prodotti dalle operazioni steganografiche possono costituire indicatori forensi. Le voci del registro di sistema di Windows possono registrare i file aperti di recente che sono stati utilizzati come contenitori o come fonti di dati nascosti.

La steganalisi spazia dall'ispezione visiva a sofisticati classificatori di machine learning. L'analisi del chi quadrato e l'analisi RS sono rilevatori statistici classici dell'inserimento tramite LSB. L'analisi delle coppie di campioni stima la percentuale di inserimento. Le CNN di machine learning raggiungono tassi di rilevamento elevati contro gli strumenti moderni. StegExpose combina più test per l'analisi batch. Le firme degli strumenti e le anomalie delle dimensioni dei file forniscono ulteriori indicatori forensi oltre alla pura analisi statistica.