Steganografie ist das Verstecken einer geheimen Nachricht oder von Daten in einem unauffälligen Trägermedium wie einem Bild, einer Audiodatei oder Netzwerkverkehr, sodass niemand den verborgenen Inhalt vermutet.
Wie Steganografie funktioniert
Anders als Verschlüsselung, die eine Nachricht unlesbar, aber sichtbar macht, verbirgt Steganografie schon die Existenz der Nachricht. Die Idee ist uralt – Herodot beschrieb Botschaften, die unter dem Wachs von Schreibtafeln versteckt waren –, digitale Verfahren sind unter anderem:
- LSB-Einbettung (Least Significant Bit) – Ändern der niederwertigsten Bits von Pixel- oder Audiowerten, was für Auge und Ohr nicht wahrnehmbar ist;
- Anhängen von Daten hinter das Ende einer Bilddatei oder Verstecken in Metadaten;
- Kodieren von Daten in ungenutzten Protokoll-Headerfeldern, DNS-Anfragen oder im Timing von Netzwerkpaketen;
- Leerzeichen oder unsichtbare Zeichen in Texten.
Steganografie wird oft mit Verschlüsselung kombiniert, damit selbst extrahierte Daten unlesbar bleiben. Ihre Aufdeckung heißt Steganalyse.
Wie Angreifer Steganografie nutzen
MITRE ATT&CK führt Steganografie sowohl als Form der Obfuskation (T1027.003) als auch als Methode zum Verbergen von Steuerungsverkehr (T1001.002). Beispiele:
- Das Exploit-Kit Stegano, 2016 von ESET beschrieben, versteckte Schadskript in den Pixeln von Werbebannern, die per Malvertising verbreitet wurden;
- Malware-Loader laden harmlos wirkende PNG- oder JPEG-Bilder herunter, die die verschlüsselte nächste Stufe enthalten;
- manche Implantate erhalten Befehle eines C2-Servers, versteckt in Bildern auf öffentlichen Websites oder in sozialen Netzwerken;
- Insider können vertrauliche Daten in Bildern hinausschmuggeln.
So schützen Sie sich
- Auf Verhaltenserkennung an Endpunkten setzen – die versteckte Nutzlast muss irgendwann ausgeführt werden.
- Content Disarm and Reconstruction (CDR) nutzen, um Bilder und Dokumente am Gateway neu zu kodieren.
- Auf ungewöhnliche Bilddownloads durch Skripte und auffälligen ausgehenden Verkehr achten.
