Detectando dados ocultos (esteganálise)

A esteganálise é a ciência de detectar dados ocultos — o contraponto da esteganografia. Seu objetivo não é necessariamente ler a carga útil, mas primeiro responder a uma pergunta mais simples: este arquivo contém dados ocultos?

A esteganálise é importante para os defensores porque os dados ocultos escapam das ferramentas baseadas em assinaturas. Uma carga útil maliciosa transportada furtivamente dentro de uma imagem inocente passará por uma verificação antivírus e por um filtro de prevenção contra perda de dados — ocultar é justamente o objetivo.

A detecção vai do trivial (identificar arquivos anexados) ao extremamente difícil (detectar estatisticamente uma incorporação de taxa fracionária protegida por uma chave bem configurada).

A esteganálise é classificada de acordo com o que o analista sabe, à semelhança da criptoanálise:

• Somente estego: apenas o arquivo suspeito está disponível — o caso mais difícil e mais comum.
• Cobertura conhecida: a cobertura original e limpa também está disponível; compará-la revela as alterações instantaneamente.
• Mensagem conhecida: a mensagem oculta é conhecida e é usada para descobrir o método de incorporação.
• Estego escolhido: o analista pode executar a ferramenta de incorporação para estudar sua assinatura.

A maior parte da detecção no mundo real é do tipo somente estego, por isso os métodos estatísticos são tão importantes: raramente se tem o original para comparar.

Antes de analisar estatísticas sofisticadas, verifique o básico. Muitas tentativas amadoras são detectadas por uma simples inspeção estrutural:

• Tamanho do arquivo maior do que o esperado para o conteúdo visível.
• Dados excedentes conteúdo após o marcador de fim do arquivo.
• Arquivos incorporados um ZIP ou executável extraído de uma imagem.
• Cadeias de texto legíveis texto sem formatação que não deveria estar em um arquivo de mídia.

Ferramentas como binwalk, strings e file detectam esses casos em segundos.

Os formatos de imagem e documento têm campos de metadados: etiquetas EXIF, blocos de comentários e XMP, que podem conter texto arbitrário. Ocultar dados nesses campos é algo rudimentar, mas comum, porque os visualizadores nunca os exibem.

Sempre inspecione os metadados:

• Campos de comentário EXIF, UserComment e ImageDescription.
• Blocos de comentários de JPEG/PNG.
• Fluxos de objetos e propriedades de documentos em PDF.

Este é o local de ocultação que exige menos esforço e, por isso, um dos primeiros lugares que um analista verifica.

Uma técnica poderosa para detectar LSB é a análise de planos de bits. Uma imagem de 8 bits pode ser dividida em 8 camadas, uma para cada posição de bit. Os planos de bits mais significativos carregam a imagem reconhecível; o plano de bits menos significativo normalmente se parece com ruído aleatório.

Em uma imagem íntegra, o plano LSB é influenciado pelo ruído natural do sensor e pela textura. Quando os dados são incorporados usando LSB completo, esse plano costuma apresentar estrutura: padrões regulares, blocos ou contornos visíveis da carga útil oculta.

Ferramentas como StegSolve e zsteg permitem visualizar planos de bits individuais para identificar essas anomalias a olho nu.

A detecção mais eficaz é estatística: os dados ocultos perturbam sutilmente a distribuição natural dos valores de pixels ou coeficientes. A inserção de bits uniformiza a aleatoriedade de maneiras que a matemática consegue detectar.

Principais métodos:

• Ataque qui-quadrado detecta que pares de valores, como 200/201, passam a ocorrer com a mesma frequência, algo que não é natural em imagens reais.
• Análise RS (Regular/Singular) estima a taxa de inserção invertendo bits LSB e medindo como a suavidade da imagem reage.
• Análise de pares de amostras examina as relações entre amostras adjacentes.

Esses métodos funcionam mesmo quando a carga útil está criptografada, porque detectam o ato de inserir os dados, não a mensagem.

O ataque qui-quadrado explora uma fraqueza específica da inserção sequencial de LSB. Em uma imagem natural, os valores 200 e 201 ocorrem com frequências diferentes. Porém, a inserção de LSB alterna entre eles com base em bits aleatórios da carga útil, o que tende a tornar cada par de valores, chamado de Par de Valores ou PoV, aproximadamente igual em frequência.

O teste qui-quadrado mede o quanto esses pares se aproximam de uma frequência igual. Uma alta probabilidade de igualdade em muitos pares indica uma inserção. Ao executar o teste em partes cada vez maiores da imagem, um analista pode até estimar quanto dado foi ocultado e onde a ocultação termina.

A esteganálise moderna usa cada vez mais o aprendizado de máquina. Em vez de uma única estatística fixa, um classificador aprende a diferença entre imagens íntegras e imagens com esteganografia a partir de muitos exemplos.

• O aprendizado de máquina clássico extrai conjuntos ricos de características, como as características de SPAM ou SRM, que capturam relações entre pixels, e depois treina um classificador.
• O aprendizado profundo usa redes neurais convolucionais que aprendem diretamente as características de detecção a partir de imagens brutas.

O aprendizado de máquina é excelente para detectar esteganografia adaptativa, que derrota estatísticas elaboradas manualmente, mas exige dados de treinamento representativos e pode ser enganado por métodos que nunca encontrou: a disputa continua.

Às vezes, a detecção mais fácil consiste em identificar a ferramenta, e não os dados. Muitos programas de esteganografia deixam artefatos reconhecíveis:

• Assinaturas ou marcadores específicos de bytes no arquivo.
• Compromissos característicos entre capacidade e qualidade.
• Cabeçalhos conhecidos de ferramentas como steghide, OpenStego ou OutGuess.

Detectores especializados, como StegExpose e stegdetect, examinam imagens em busca das impressões digitais de ferramentas populares de inserção. Nos dispositivos finais, detectar simplesmente que uma ferramenta de esteganografia foi instalada ou executada já é um forte indicador.

Quando não é possível detectar dados ocultos com confiabilidade, ainda é possível neutralizá-los. A esteganálise ativa destrói as cargas úteis sem precisar encontrá-las:

• Recodificação recomprime todas as imagens no gateway, por exemplo, usando um JPEG novo, destruindo dados LSB ingênuos.
• Redimensionamento/recorte a reamostragem altera o valor de cada pixel.
• Remoção de metadados remove todos os campos EXIF e de comentários.
• Normalização de formato converte todos os envios para um único formato canônico.

Esta é uma defesa prática para gateways de e-mail e plataformas de conteúdo: presuma que pode haver ocultação e remova-a preventivamente.

Reúna tudo em um fluxo de trabalho de defesa, começando pelas verificações mais baratas:

• 1. Estrutura execute file, binwalk e strings para procurar dados anexados ou incorporados.
• 2. Metadados inspecione os campos EXIF e de comentários com exiftool.
• 3. Visual faça uma análise de planos de bits com zsteg ou StegSolve.
• 4. Estatística faça análises qui-quadrado e RS e use detectores de ferramentas.
• 5. Aprendizado de máquina faça uma triagem com classificadores em larga escala.
• 6. Defesa ativa quando a detecção for incerta, faça a sanitização por meio de recodificação.

Nenhum teste isolado é conclusivo; a confiança vem da combinação deles.

Teste sua compreensão da detecção estatística.

Você aprendeu como os analistas encontram cargas úteis ocultas.

• Esteganálise primeiro pergunta se existem dados ocultos, não o que eles dizem; na maioria dos casos, são apenas esteganográficos.
• Comece com verificações estruturais e de metadados de baixo custo: file, binwalk, strings e exiftool.
• A análise de planos de bits (zsteg, StegSolve) revela uma estrutura no plano LSB que denuncia a inserção.
• Os métodos estatísticos, como as análises qui-quadrado e RS, detectam o ato de inserir dados mesmo em cargas úteis criptografadas.
• O aprendizado de máquina detecta esteganografia adaptativa que derrota estatísticas fixas.
• Detectores de ferramentas e a esteganálise ativa, como recodificação e remoção de metadados, identificam ou neutralizam cargas úteis.
• Combine as técnicas começando pelas mais baratas para obter uma detecção confiável.

Em seguida, veremos os canais encobertos e como os invasores exfiltram dados.