Стеганография — способ скрыть секретное сообщение или данные внутри безобидного на вид носителя, например изображения, аудиофайла или сетевого трафика, так чтобы никто не заподозрил само существование скрытого содержимого.
Как работает стеганография
В отличие от шифрования, которое делает сообщение нечитаемым, но заметным, стеганография скрывает сам факт его существования. Идея древняя — Геродот описывал послания, спрятанные под воском на табличках для письма, — а цифровые методы включают:
- Встраивание в младшие биты (LSB) — изменение младших битов значений пикселей или аудиосэмплов, незаметное для глаза и уха;
- добавление данных после конца файла изображения или в метаданные;
- кодирование данных в неиспользуемых полях заголовков протоколов, DNS-запросах или во временных интервалах между сетевыми пакетами;
- использование пробелов и невидимых символов в тексте.
Стеганографию часто сочетают с шифрованием, чтобы даже извлечённые данные остались нечитаемыми. Её обнаружением занимается стегоанализ.
Как атакующие используют стеганографию
MITRE ATT&CK относит стеганографию и к обфускации (T1027.003), и к способам сокрытия управляющего трафика (T1001.002). Примеры:
- набор эксплойтов Stegano, описанный ESET в 2016 году, прятал вредоносный скрипт в пикселях рекламных баннеров, распространявшихся через малвертайзинг;
- загрузчики вредоносов скачивают безобидные на вид PNG- или JPEG-изображения с зашифрованной полезной нагрузкой следующего этапа;
- некоторые импланты получают команды от C2-сервера, спрятанные в картинках на публичных сайтах или в соцсетях;
- инсайдеры могут выносить конфиденциальные данные внутри изображений.
Как защититься
- Полагаться на поведенческое обнаружение на конечных точках — скрытая нагрузка рано или поздно должна запуститься.
- Применять технологию обезвреживания и реконструкции контента (CDR), перекодирующую изображения и документы на шлюзе.
- Отслеживать необычные загрузки изображений скриптами и аномальный исходящий трафик.
Синонимы:
цифровая стеганография, steganography
