Стеганографія — спосіб приховати секретне повідомлення чи дані всередині невинного на вигляд носія, наприклад зображення, аудіофайлу або мережевого трафіку, так щоб ніхто не запідозрив саме існування прихованого вмісту.
Як працює стеганографія
На відміну від шифрування, яке робить повідомлення нечитабельним, але помітним, стеганографія приховує сам факт його існування. Ідея давня — Геродот описував послання, сховані під воском на табличках для письма, — а цифрові методи охоплюють:
- Вбудовування в молодші біти (LSB) — зміну молодших бітів значень пікселів або аудіосемплів, непомітну для ока й вуха;
- додавання даних після кінця файлу зображення або в метадані;
- кодування даних у невикористаних полях заголовків протоколів, DNS-запитах чи часових інтервалах між мережевими пакетами;
- використання пробілів і невидимих символів у тексті.
Стеганографію часто поєднують із шифруванням, щоб навіть видобуті дані залишалися нечитабельними. Її виявленням займається стегоаналіз.
Як зловмисники використовують стеганографію
MITRE ATT&CK відносить стеганографію і до обфускації (T1027.003), і до способів приховування керувального трафіку (T1001.002). Приклади:
- набір експлойтів Stegano, описаний ESET 2016 року, ховав шкідливий скрипт у пікселях рекламних банерів, що поширювалися через малвертайзинг;
- завантажувачі шкідливого ПЗ отримують невинні на вигляд PNG- чи JPEG-зображення із зашифрованим корисним навантаженням наступного етапу;
- деякі імпланти отримують команди від C2-сервера, сховані в картинках на публічних сайтах або в соцмережах;
- інсайдери можуть виносити конфіденційні дані всередині зображень.
Як захиститися
- Покладатися на поведінкове виявлення на кінцевих точках — приховане навантаження рано чи пізно мусить запуститися.
- Застосовувати технологію знешкодження та реконструкції вмісту (CDR), яка перекодовує зображення й документи на шлюзі.
- Відстежувати незвичні завантаження зображень скриптами та аномальний вихідний трафік.
Синоніми:
цифрова стеганографія, steganography
