Обнаружение скрытых данных (стегоанализ)

Стегоанализ — это наука об обнаружении скрытых данных, противоположность стеганографии. Его цель не обязательно состоит в чтении полезной нагрузки: сначала нужно ответить на более простой вопрос — содержит ли этот файл вообще скрытые данные?

Стегоанализ важен для защитников, поскольку скрытые данные обходят средства на основе сигнатур. Вредоносная полезная нагрузка, тайно помещённая внутрь безобидного изображения, пройдёт проверку антивирусом и фильтром предотвращения утечек данных — именно в этом и заключается смысл сокрытия.

Обнаружение варьируется от простой задачи, например выявления добавленных файлов, до чрезвычайно сложной — статистического обнаружения встраивания с хорошо защищённым ключом и дробной скоростью.

Стегоанализ классифицируют по тому, что известно аналитику, по аналогии с криптоанализом:

• Только стегообъект доступен только подозрительный файл; это самый сложный и наиболее распространённый случай.
• Известный контейнер доступен также исходный чистый контейнер; сравнение сразу выявляет изменения.
• Известное сообщение скрытое сообщение известно и используется для поиска метода встраивания.
• Выбранный стегообъект аналитик может запустить инструмент встраивания, чтобы изучить его характерный след.

В реальных условиях чаще всего выполняется обнаружение в режиме только стегообъекта, поэтому статистические методы так важны: исходный файл для сравнения обычно недоступен.

Прежде чем переходить к сложной статистике, проверьте основы. Многие любительские попытки обнаруживаются при простой проверке структуры:

• Размер файла больше, чем ожидается для видимого содержимого.
• Данные в хвосте содержимое после маркера конца файла формата.
• Встроенные файлы ZIP-архив или исполняемый файл, извлечённый из изображения.
• Читаемые строки открытый текст, которого не должно быть в медиафайле.

Инструменты вроде binwalk, strings и file обнаруживают такие признаки за считаные секунды.

Форматы изображений и документов содержат поля метаданных — теги EXIF, блоки комментариев и XMP, где можно хранить произвольный текст. Сокрытие данных в этих полях — примитивный, но распространённый приём, поскольку программы просмотра никогда их не отображают.

Всегда проверяйте метаданные:

• поля комментария EXIF, UserComment и ImageDescription;
• блоки комментариев JPEG/PNG;
• потоки объектов PDF и свойства документа.

Это место для сокрытия с наименьшими затратами, поэтому аналитик обычно проверяет его одним из первых.

Мощный метод обнаружения LSB — это анализ битовых плоскостей. 8-битное изображение можно разделить на 8 слоёв — по одному на каждую позицию бита. Старшие битовые плоскости содержат узнаваемое изображение, а младшая битовая плоскость обычно выглядит как случайный шум.

В чистом изображении на плоскость LSB влияют естественный шум сенсора и текстура. При встраивании данных с использованием полного LSB эта плоскость часто демонстрирует структуру — регулярные узоры, блоки или заметные очертания скрытой полезной нагрузки.

Инструменты вроде StegSolve и zsteg позволяют просматривать отдельные битовые плоскости и находить такие аномалии визуально.

Наиболее надёжное обнаружение — статистическое: скрытые данные слегка нарушают естественное распределение значений пикселей или коэффициентов. Встраивание битов сглаживает случайность таким образом, что это можно обнаружить математически.

Основные методы:

• Атака хи-квадрат обнаруживает, что пары значений, например 200/201, начинают встречаться с одинаковой частотой, что нехарактерно для настоящих изображений.
• Анализ RS (обычных/особых) оценивает долю встраивания, инвертируя биты LSB и измеряя реакцию сглаженности изображения.
• Анализ пар выборок исследует взаимосвязи между соседними выборками.

Эти методы работают даже при зашифрованной полезной нагрузке, поскольку обнаруживают сам факт встраивания, а не сообщение.

Атака хи-квадрат использует определённую уязвимость последовательного встраивания LSB. В естественном изображении значения 200 и 201 встречаются с разной частотой. Однако встраивание LSB переключается между ними в зависимости от случайных битов полезной нагрузки, из-за чего каждая пара значений, называемая парой значений (PoV), обычно начинает встречаться с примерно одинаковой частотой.

Проверка хи-квадрат измеряет, насколько частоты этих пар близки к равенству. Высокая вероятность равенства для множества пар указывает на встраивание. Выполняя проверку на всё больших участках изображения, аналитик может даже оценить, какой объём данных был скрыт и где их встраивание прекращается.

В современном стегоанализе всё чаще используется машинное обучение. Вместо одной фиксированной статистической характеристики классификатор обучается различать чистые и стегоизображения на основе множества примеров.

• Классическое машинное обучение извлекает богатые наборы признаков, например признаки SPAM или SRM, отражающие взаимосвязи между пикселями, а затем обучает классификатор.
• Глубокое обучение использует свёрточные нейронные сети, которые самостоятельно извлекают признаки обнаружения из исходных изображений.

Машинное обучение хорошо выявляет адаптивную стеганографию, способную обходить созданные вручную статистические методы, однако для него нужны репрезентативные обучающие данные, а методы, которых оно никогда не встречало, могут его обойти — это противостояние продолжается.

Иногда проще всего обнаружить не данные, а инструмент, с помощью которого они были скрыты. Многие программы стеганографии оставляют узнаваемые артефакты:

• характерные байтовые сигнатуры или маркеры в файле;
• характерное соотношение ёмкости и качества;
• известные заголовки инструментов вроде steghide, OpenStego или OutGuess.

Специализированные средства обнаружения, такие как StegExpose и stegdetect, проверяют изображения на наличие отпечатков популярных инструментов встраивания. На конечных устройствах само обнаружение факта установки или запуска инструмента стеганографии уже является сильным признаком.

Если надёжно обнаружить скрытые данные невозможно, их всё равно можно нейтрализовать. Активный стегоанализ уничтожает полезные нагрузки, не требуя их поиска:

• Перекодирование — повторно сжимайте каждое изображение, например в новый JPEG, на шлюзе, уничтожая наивно встроенные данные LSB.
• Изменение размера/обрезка — повторная выборка изменяет значение каждого пикселя.
• Удаление метаданных — удаляйте все поля EXIF и комментариев.
• Нормализация формата — преобразуйте все загружаемые файлы в один канонический формат.

Это практическая защита для почтовых шлюзов и платформ с пользовательским содержимым: исходите из того, что сокрытие возможно, и заранее удаляйте его следы.

Объединим всё в рабочий процесс защитника, начиная с самых дешёвых проверок:

• 1. Структура запустите file, binwalk, strings для поиска данных, добавленных в конец файла или встроенных в него.
• 2. Метаданные проверьте поля EXIF и комментариев с помощью exiftool.
• 3. Визуальный анализ выполните анализ битовых плоскостей с помощью zsteg или StegSolve.
• 4. Статистический анализ примените проверку хи-квадрат, анализ RS и средства обнаружения инструментов.
• 5. Машинное обучение выполняйте проверку классификатором в больших масштабах.
• 6. Активная защита если обнаружение ненадёжно, выполните очистку перекодированием.

Ни одна отдельная проверка не даёт окончательного результата; уверенность появляется при совместном применении нескольких методов.

Вы узнали, как аналитики находят скрытые полезные нагрузки.

• Стегоанализ сначала выясняет, существуют ли скрытые данные, а не что именно они содержат: в большинстве случаев анализ ограничивается обнаружением стеганографии.
• Начинайте с недорогих структурных проверок и проверок метаданных: file, binwalk, strings, exiftool.
• Анализ битовых плоскостей (zsteg, StegSolve) выявляет структуру в плоскости LSB, выдающую факт встраивания.
• Статистические методы — анализ хи-квадрат и RS — обнаруживают сам факт встраивания даже в зашифрованных полезных нагрузках.
• Машинное обучение выявляет адаптивную стеганографию, способную обходить фиксированные статистические методы.
• Средства обнаружения инструментов и активный стегоанализ (перекодирование, удаление метаданных) выявляют или нейтрализуют полезные нагрузки.
• Применяйте методы по уровням, начиная с самых дешёвых, чтобы надёжно обнаруживать скрытые данные.

Далее мы рассмотрим скрытые каналы и способы, которыми злоумышленники выводят данные.