Esteganálise: detectando mensagens ocultas

A técnica mais básica de esteganálise consiste simplesmente em observar atentamente uma imagem suspeita. Ampliar a imagem até o nível dos pixels e examinar regiões de cor uniforme pode revelar artefatos de blocos ou padrões de ruído incompatíveis com o conteúdo da imagem. Converter a imagem para tons de cinza, ajustar o contraste e examinar histogramas de cores pode revelar anomalias que sugerem que uma incorporação esteganográfica ocorreu em regiões específicas.

O teste do qui-quadrado é um teste estatístico clássico para esteganografia LSB. Imagens naturais têm distribuições características de valores de cor, nas quais pares adjacentes de valores pares e ímpares ocorrem com frequência semelhante. A incorporação por LSB altera valores ímpares para pares ou vice-versa, criando desequilíbrios detectáveis nesses pares. A estatística do qui-quadrado mede o desvio em relação às frequências esperadas dos pares e aumenta significativamente quando a incorporação é detectada.

A análise de pares de amostras é um detector de LSB mais sofisticado que estima o comprimento da mensagem incorporada, e não apenas se houve incorporação. Ela conta as transições entre pares de valores de pixels vizinhos e modela como essas contagens mudam com diferentes quantidades de dados incorporados. Ao ajustar as contagens observadas ao modelo, um analista pode estimar qual fração da capacidade do suporte foi utilizada.

Métricas de qualidade de imagem, como PSNR (relação sinal-ruído de pico) e SSIM (índice de similaridade estrutural), comparam uma imagem suspeita a uma referência presumidamente limpa ou a um modelo estatístico de imagens naturais. Um PSNR muito alto sugere uma modificação mínima; uma distribuição de ruído anormalmente uniforme pela imagem, em vez de concentrada em regiões complexas, sugere uma manipulação sistemática por LSB, não um ruído natural da câmera.

A análise RS divide os pixels da imagem em grupos e os classifica como Regulares, Singulares ou Inutilizáveis, com base em como sua medida de suavidade muda quando os LSBs são invertidos. Em imagens naturais, a proporção de grupos Regulares excede ligeiramente a de grupos Singulares. A incorporação por LSB iguala essas proporções de maneira previsível. Medir os valores R e S antes e depois da inversão dos LSBs fornece um detector robusto que estima a taxa de incorporação.

A esteganálise direcionada é desenvolvida para detectar uma ferramenta ou um algoritmo esteganográfico específico, explorando sua assinatura estatística particular. A esteganálise cega, também chamada de esteganálise universal, tenta detectar qualquer conteúdo oculto sem saber qual ferramenta foi usada. Os métodos cegos normalmente extraem centenas de características estatísticas da imagem e usam classificadores de aprendizado de máquina treinados com imagens limpas e imagens esteganográficas conhecidas.

A esteganálise moderna usa redes neurais convolucionais treinadas com grandes conjuntos de dados de imagens limpas e esteganográficas. A CNN aprende a identificar as sutis diferenças estatísticas de segunda ordem introduzidas pela incorporação esteganográfica. Modelos como SRNet e Yedroudj-Net alcançam taxas de detecção muito altas contra as ferramentas esteganográficas atuais, mesmo com baixas taxas de incorporação, de 0,1 bit por pixel. A disputa entre incorporação e detecção continua.

StegExpose é uma ferramenta de esteganálise em lote e de código aberto que executa vários algoritmos de detecção em um conjunto de imagens e combina as pontuações. Ela implementa qui-quadrado, análise RS, conjuntos primários e análise de pares de amostras, produzindo uma pontuação de probabilidade combinada. Equipes de segurança usam a ferramenta para examinar grandes repositórios de imagens em busca de possível exfiltração de dados. Ela é eficaz contra ferramentas comuns como Steghide, OpenStego e Outguess.

Muitas ferramentas de esteganografia deixam artefatos característicos além de anomalias estatísticas. Steghide, por exemplo, produz um padrão específico nos primeiros bytes de arquivos WAV modificados. OpenPuff modifica o cabeçalho do arquivo de uma maneira reconhecível. Essas assinaturas de ferramentas permitem que softwares forenses identifiquem não apenas se a esteganografia foi usada, mas também qual ferramenta específica foi empregada, o que ajuda a orientar a tentativa de extração.

Arquivos inesperadamente grandes para seu tipo de conteúdo podem indicar uma carga útil oculta. Uma captura de tela PNG com o dobro do tamanho esperado para suas dimensões pode conter um arquivo compactado oculto. Comparar os tamanhos reais dos arquivos com os tamanhos esperados com base nas dimensões, na profundidade de cor e nas configurações de compressão fornece um método rápido de triagem para identificar arquivos suspeitos antes de realizar uma esteganálise detalhada.

Investigações de perícia digital procuram sinais de instalação ou uso de ferramentas de esteganografia, não apenas os próprios arquivos de suporte. O histórico do navegador mostrando acessos a páginas de download de softwares de esteganografia, aplicativos instalados como OpenStego e arquivos temporários de operações esteganográficas podem ser indicadores forenses. Entradas do Registro no Windows podem registrar arquivos abertos recentemente que foram usados como suportes ou fontes de dados ocultos.

A esteganálise vai desde a inspeção visual até classificadores sofisticados de aprendizado de máquina. A análise qui-quadrado e a análise RS são detectores estatísticos clássicos de incorporação por LSB. A análise de pares de amostras estima a taxa de incorporação. CNNs de aprendizado de máquina alcançam altas taxas de detecção contra ferramentas modernas. StegExpose combina vários testes para realizar varreduras em lote. Assinaturas de ferramentas e anomalias no tamanho dos arquivos fornecem indicadores forenses adicionais além da análise puramente estatística.