La esteganografía es la práctica de ocultar un mensaje o datos secretos dentro de un soporte de apariencia normal, como una imagen, un archivo de audio o el tráfico de red, para que nadie sospeche que existen.
Cómo funciona la esteganografía
A diferencia del cifrado, que vuelve ilegible un mensaje pero visible, la esteganografía oculta el propio hecho de que el mensaje existe. La idea es antigua (Heródoto describió mensajes escondidos bajo la cera de tablillas de escritura), pero entre las técnicas digitales están:
- inserción en el bit menos significativo (LSB): modificar los bits más bajos de los valores de píxeles o muestras de audio, algo imperceptible para el ojo o el oído;
- añadir datos tras el final de un archivo de imagen u ocultarlos en los metadatos;
- codificar datos en campos no utilizados de cabeceras de protocolos, en consultas DNS o en la temporización de los paquetes de red;
- usar espacios en blanco o caracteres invisibles en un texto.
La esteganografía suele combinarse con cifrado para que incluso los datos extraídos sean ilegibles. Su detección se denomina estegoanálisis.
Cómo la usan los atacantes
MITRE ATT&CK recoge la esteganografía como forma de ofuscación (T1027.003) y como manera de ocultar el tráfico de control (T1001.002). Ejemplos:
- el kit de exploits Stegano, descrito por ESET en 2016, escondía script malicioso en los píxeles de banners distribuidos mediante malvertising;
- los loaders de malware descargan imágenes PNG o JPEG aparentemente inofensivas que contienen cifrada la siguiente fase;
- algunos implantes reciben órdenes de un servidor C2 ocultas en imágenes publicadas en webs públicas o redes sociales;
- los insiders pueden sacar datos confidenciales escondidos en imágenes.
Cómo defenderse
- Confiar en la detección de comportamiento en los endpoints: la carga oculta tiene que ejecutarse en algún momento.
- Usar desarme y reconstrucción de contenido (CDR) para recodificar imágenes y documentos en la pasarela.
- Vigilar descargas de imágenes inusuales por parte de scripts y el tráfico saliente anómalo.
