Стеганография

Содержание:

Ilook Investigator

Продукт понравится всем хакерам этого мира, поскольку распространяется бесплатно и (achtung!) только работникам правоохранительных органов. По количеству функций можно сравнить с FTK Imager и File Signature Header. Есть возможность создать образ проверяемых файлов, смонтировать их, проверить по hash set file signature header (все с возможностью добавления, редактирования). По сравнению с предыдущими программами, интерфейс может показаться антиюзабилитным (беда многих бесплатных и/или программ, разработанных для государства), но это дело наживное и жизнь не отравляет. Правда, информации о программе в сети – нуль. Техподдержки – нуль. Демо-версий – отрицательное число. А чтобы пообщаться с другими пользователями, вам придется пробить аську 9-го управления ;).

Устранение неполадок при открытии файлов STEGANO

Общие проблемы с открытием файлов STEGANO

Unknown Software не установлен

Дважды щелкнув по файлу STEGANO вы можете увидеть системное диалоговое окно, в котором сообщается «Не удается открыть этот тип файла». В этом случае обычно это связано с тем, что на вашем компьютере не установлено Unknown Software для %%os%%. Так как ваша операционная система не знает, что делать с этим файлом, вы не сможете открыть его дважды щелкнув на него.

Совет: Если вам извстна другая программа, которая может открыть файл STEGANO, вы можете попробовать открыть данный файл, выбрав это приложение из списка возможных программ.

Установлена неправильная версия Unknown Software

В некоторых случаях у вас может быть более новая (или более старая) версия файла Steganographic Image File, не поддерживаемая установленной версией приложения. При отсутствии правильной версии ПО Unknown Software (или любой из других программ, перечисленных выше), может потребоваться загрузить другую версию ПО или одного из других прикладных программных средств, перечисленных выше. Такая проблема чаще всего возникает при работе в более старой версии прикладного программного средства с файлом, созданным в более новой версии, который старая версия не может распознать.

Совет: Иногда вы можете получить общее представление о версии файла STEGANO, щелкнув правой кнопкой мыши на файл, а затем выбрав «Свойства» (Windows) или «Получить информацию» (Mac OSX).

Резюме: В любом случае, большинство проблем, возникающих во время открытия файлов STEGANO, связаны с отсутствием на вашем компьютере установленного правильного прикладного программного средства.

Даже если на вашем компьютере уже установлено Unknown Software или другое программное обеспечение, связанное с STEGANO, вы все равно можете столкнуться с проблемами во время открытия файлов Steganographic Image File. Если проблемы открытия файлов STEGANO до сих пор не устранены, возможно, причина кроется в других проблемах, не позволяющих открыть эти файлы. Такие проблемы включают (представлены в порядке от наиболее до наименее распространенных):

Task – 2: Great Number

They gave this question and we were asked to find the flag.

FLAG = ( 31337 +  X  ) / 31337

NOTE: You should get ascii text !
NOTE2: We re-uploaded correct ‘X’.

and the value of X was 20609038575248457690773428127436065356620526665061920

I thought I have to break my head to solve this math challenge, but it was not after looking at the hint given in the source page. The hint was “<!– h–>”. Decode it to hex! Before that, it is good to divide before you add anything! I divided the value of X after adding 1 with 31337. Then convert the resulting integer to hex and finally decode the hex string, you will see the flag!

&amp;gt;&amp;gt;&amp;gt;20609038575248457690773428127436065356620526665061920/31337+1
657658313662713651299531803536907341373473104161L
&amp;gt;&amp;gt;&amp;gt;hex(657658313662713651299531803536907341373473104161)
'0x73326b31345f576f77536f426967496e74212121L'
&amp;gt;&amp;gt;&amp;gt;&amp;quot;73326b31345f576f77536f426967496e74212121&amp;quot;.decode(&amp;quot;hex&amp;quot;)
's2k14_WowSoBigInt!!!'

The Flag was : ‘s2k14_WowSoBigInt!!!’

Обнаружение стегосообщения

Алгоритм устойчив к визуальным атакам. Однако статистические атаки на JSteg надежно определяют наличие скрытого сообщения. JSteg заменяет биты, и, следовательно, вносит зависимость в частоту появления значений в НЗБ. Как показывает рис. 1, JSteg оказывает влияние на пары частот появления коэффициентов JPEG.
Пусть ci{\displaystyle c_{i}} – гистограмма коэффициентов JPEG. Предположение для измененного изображения заключается в том, что смежные частоты c2i,c2i+1{\displaystyle c_{2i}, c_{2i+1}} одинаковы. Для определения ожидаемого распределения вычисляется среднее арифметическое

ni∗=c2i+c2i+12(1){\displaystyle n_i^* = \frac{c_{2i}+c_{2i+1}}{2} \quad \quad \color{Maroon} (1) \,\!}

Полученное значение сравнивается с эмпирическим распределением

ni=c2i(2){\displaystyle n_i = c_{2i} \quad \quad \color{Maroon} (2) \,\!}

Разница между распределениями ni{\displaystyle n_i} и ni∗{\displaystyle n_i^*} представлена в виде

χ2=∑i=1k(ni−ni∗)2(3){\displaystyle \chi^2 = \sum_{i=1}^k {(n_i — n_i^*)^2} \quad \quad \color{Maroon} (3) \,\!}

с k−1{\displaystyle k-1} степеней свободы,

где k{\displaystyle k} — число различных категорий в гистограмме.

Рис. 2 показывает статистическую атаку на JSteg стеганограмму (с 50% заполнением контейнера, т.е. 7680 байт). Диаграмма представляет вероятность внедрения

p=1−12k−12Γ(k−12)∫χ2e−t2tk−12dt(4){\displaystyle p = 1 — {1 \over 2^{{k-1 \over 2}}} \Gamma ({k-1 \over 2}) \int_0^{\chi^2} e^{{-t \over 2}} t^{{k-1 \over 2}} dt \quad \quad \color{Maroon} (4) \,\!}

The command stegano-lsb¶

Hide and reveal a message with the LSB method.

Display help

$ stegano-lsb --help
usage: stegano-lsb -h {hide,reveal} ...

positional arguments:
  {hide,reveal}  sub-command help
    hide         hide help
    reveal       reveal help

optional arguments:
  -h, --help     show this help message and exit

$ stegano-lsb hide --help
usage: stegano-lsb hide -h -i INPUT_IMAGE_FILE -e {UTF-8,UTF-32LE}]
                    (-m SECRET_MESSAGE | -f SECRET_FILE) -o
                    OUTPUT_IMAGE_FILE

optional arguments:
  -h, --help            show this help message and exit
  -i INPUT_IMAGE_FILE, --input INPUT_IMAGE_FILE
                        Input image file.
  -e {UTF-8,UTF-32LE}, --encoding {UTF-8,UTF-32LE}
                        Specify the encoding of the message to hide. UTF-8
                        (default) or UTF-32LE.
  -m SECRET_MESSAGE     Your secret message to hide (non binary).
  -f SECRET_FILE        Your secret to hide (Text or any binary file).
  -o OUTPUT_IMAGE_FILE, --output OUTPUT_IMAGE_FILE
                        Output image containing the secret.

$ stegano-lsb reveal --help
usage: stegano-lsb reveal -h -i INPUT_IMAGE_FILE -e {UTF-8,UTF-32LE}]
                          -o SECRET_BINARY

optional arguments:
  -h, --help            show this help message and exit
  -i INPUT_IMAGE_FILE, --input INPUT_IMAGE_FILE
                        Input image file.
  -e {UTF-8,UTF-32LE}, --encoding {UTF-8,UTF-32LE}
                        Specify the encoding of the message to reveal. UTF-8
                        (default) or UTF-32LE.
  -o SECRET_BINARY      Output for the binary secret (Text or any binary
                        file).

Hide and reveal a text message

$ stegano-lsb hide -i ./tests/sample-files/Lenna.png -m 'Hello World!' -o ./Lenna_enc.png
$ stegano-lsb reveal -i ./Lenna_enc.png
Hello World!

Specify an encoding

$ stegano-lsb hide -i ./tests/sample-files/Lenna.png -m 'I love  and .' -e UTF-32LE -o ./Lenna_enc.png
$ stegano-lsb reveal -i ./Lenna_enc.png
I love  and .

The default encoding is UTF-8.

Task 5 – Do not Stop the Run

I couldn’t submit the flag before the contest time! But happy that I solved it!


➜  CTF  dig do.not.sleep @ctf.secure.edu.pl                                                                                                                                                      

;;DiG 9.9.5-3-Ubuntu &amp;amp;amp;lt;&amp;amp;amp;lt;&amp;amp;amp;gt;&amp;amp;amp;gt; do.not.sleep @ctf.secure.edu.pl
;; global options: +cmd
;; Got answer:
;; &amp;lt;&amp;lt;HEADER&amp;gt;&amp;gt;- opcode: QUERY, status: NOERROR, id: 11453
;; flags: qr aa; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;do.not.sleep.            IN    A

;; ANSWER SECTION:
do.not.sleep.        1    IN    CNAME    0.step.do.not.sleep.

;; Query time: 195 msec
;; SERVER: 195.187.4.199#53(195.187.4.199)
;; WHEN: Fri Oct 17 00:40:04 IST 2014
;; MSG SIZE  rcvd: 75

Find the IP addresses of the subdomains and find it’s alias, you will get the flag ( I am assuming what I found is the correct flag since the flag format specified in the rules page is found to be s2k14_* (<-readable text!!!) and it matches mine except for the underscore(“_”))


0.step.do.not.sleep has address 45.92.24.97
0.step.do.not.sleep is an alias for 1.step.do.not.sleep.
0.step.do.not.sleep has address 16.39.74.97
0.step.do.not.sleep is an alias for 1.step.do.not.sleep.
s2k14.do.not.sleep is an alias for 0.step.do.not.sleep.

~~<strike>The Flag was the alias of a domain name! s2k14.do.not.sleep</strike>~~

Steganography 101

First things first, always use binwalk or foremost to isolate files from any other embedded stuff.

And of course use (ASCII, UTF8, UTF16) or on the file, before anything advanced.
Remember that, by default, strings decode ASCII characters, but you can set it to gather Unicode strings or to handle other types of encoding such as 32-bit big/little endian (e.g. the option will have the strings command handle 16-bit little endian encoding).
Read “Strings, Strings, Are Wonderful Things” from the SANS blog.

Check plaintext sections, comments (, )
Hex Editors are your best friend now. We suggest hexedit for the console or Bless Hex Editor if you like it with a GUI. Check for suspicious magic bytes, correct file length, and use to extract concatenated files (“skip” will be the starting position, “count” the number of bytes from the “skip” position to extract)
Use exiftool to extract EXIF data
Use TinEye to upload and search for the image. Select “best match” and hopefully you get the original image. XORing should do the rest of the job. Also use from the ImageMagick suite, plenty of params available here (e.g. -compose src).
Another steganographic approach is to hide the information in the first rows of pixel of the image. See this chal for more details.
Use pngcheck for PNGs to check for any corruption or anomalous sections PNGs can contain a variety of data ‘chunks’ that are optional (non-critical) as far as rendering is concerned.
- bKGD gives the default background color. It is intended for use when there is no better choice available, such as in standalone image viewers (but not web browsers; see below for more details)
- cHRM gives the chromaticity coordinates of the display primaries and white point
- gAMA specifies gamma
- hIST can store the histogram, or total amount of each color in the image
- iCCP is an ICC color profile
- iTXt contains UTF-8 text, compressed or not, with an optional language tag. iTXt chunk with the keyword
- pHYs holds the intended pixel size and/or aspect ratio of the image
- sBIT (significant bits) indicates the color-accuracy of the source data
- sPLT suggests a palette to use if the full range of colors is unavailable
- sRGB indicates that the standard sRGB color space is used
- sTER stereo-image indicator chunk for stereoscopic images
- tEXt can store text that can be represented in ISO/IEC 8859-1, with one name=value pair for each chunk
- tIME stores the time that the image was last changed
- tRNS contains transparency information. For indexed images, it stores alpha channel values for one or more palette entries. For truecolor and grayscale images, it stores a single pixel value that is to be regarded as fully transparent
- zTXt contains compressed text with the same limits as tEXt
If the image is relatively small check the palette (use ). Be aware that sometimes colors are not preserved. In this case use the extra parameter.
If there are large portions of the image that look the same colour check with a Bucket Fill (in gimp also remember to set the threshold to 0 when filling) for anything hidden, or play with the curves. Use Grain extract to check for watermarks.
If you see Adobe Suite/CC metadata with , be sure to open the image with the corresponding program in order to not lose layers informations. If some layer are overlapped, gimp or other image viewers usually will merge all the visible layers in once.
If you happen to extract a file with binwalk, but this is not the flag, you should check with an hex editor for other data before/after the file.
Look for some gzipped data (), or possible file signature/magic bytes (google it!), and extract ‘em with . Remember that if decompressing with doesn’t work (e.g. incorrect header check), you may try to decompress it chunk by chunk with this script.
If you need to plot raw binary data to an image (bitmap/png) with given width and height, you can easily use from ImageMagick.

you may have problem viewing the output with a standard image viewer, so be sure to use gimp or convert it again . An example of challenge where this technique is useful.

Use the steganabara tool and amplify the LSB of the image sequentially to check for anything hidden. Remember to zoom in and also look at the borders of the image. If similar colours get amplified radically different data may be hidden there.
Stegsolve (a simple jar ) is also pretty useful to extract data (based on bitplanes) and analyze images, allowing you to go through dozens of color filters to try to uncover hidden text.
Outguess

OpenStego is another GUI tool used for Random LSB.
StegHide, to extract embedded data from stg.jpg: .
StegSpy will detect steganography and the program used to hide the message, checking for classical steganographical schemes.

PNG/BMP изображения

Нам дано изображение. Попробуем по некоторым факторам определить, как нам решить этот таск.

Монотонное изображение

Если вам дали монотонное изображение, то чаще всего в ней находятся водяные знаки.

Водяные знакиЧтобы узнать, есть ли на ней водяные знаки, есть несколько вариантов

PainterСамый простой вариант — открыть изображение в Painter (или любом другом редакторе изображений).

Далее заливкой тыкнуть каким-нибудь контрастным цветом. В данном случае лучше всего белым.

Информация об изображенииВ некоторых программах-просмотрах картинок есть статистика по цветам/пикселям.
Таким образом мы можем узнать, что картинка не монотонна и на ней присутствуют пиксели разных цветов.На этом этапе суть в том, чтобы определить следующий этап:) Тут может быть как морзянка, так и бинарный код (1001010), о чем пойдет в соответствующей последующей главе.

ДругоеЕсть еще утилиты, помогающие в поиске водяных знаков, такая как StegSolve. Их мы рассмотрим в соответствующей теме.

Обыкновенное изображение

Нам дано обыкновенное ничем не выделяющееся изображение.

Попиксельное вычитание из оригиналаТут нам следует найти оригинал изображения.

Поиск оригинала изображенияДля этого есть несколько способов.Сретства для поиска изображений:

Воспользуемся google поиском:

Находим в картинках изображение такого же размера и скачиваем его.Далее нам остается с помощью какой-либо библиотеки написать программу,которая пройдется по двум изображениям и выделит отличающиеся пиксели.Лично я сделал со StegSolve, речь о котором пойдет в соседнем разделе.

Разноцветные пиксели

Пиксели двух цветовЕсли у вас предоставлено изображение с пикселями двух цветов, то первое что попробуем сделать — это перевести пиксели в байты.Приведу пример с прошедших соревнований Break In CTF 2016 — таск You Can(t) See Me.Нам дана картинка color.png:

Последовательность действий:

взято с сайта http://itsecwiki.org/

Устройство программы

Target URL — url цели.

Work Method — обыкновенно для брута используются GET запросы (как в браузерах) — но в некоторых тасках могут помочь и POST запросы.

Number of threads — означает количество потоков.

Select scanning type — выбираем тип словаря, по которому будет осуществляться перебор. List based brute force — перебор по заранее подготовленным словарям. Pure Brute Force — перепор по автоматически-генерируемым словарям.

File with list of dirs/files — если в предыдущем пункте вы выбрали List based brute force, то тогда в этом пункте вам нужно указать по какому словарю будет идти перебор.

Char set, Min length, Max length — если вы выбирали Pure Brute Force, то этот пункт обозначает по какому регулярному выражению будет проходить генерация словаря.

Далее идут настройки, которые и так понятны — нажимаете кнопку Start и ждете пока DirBuster пройдется по словарю.

Стеганография: Немного теории

Прежде всего предлагаю рассмотреть основные алгоритмы, которые используются для стеганографии.

Методы типа LSB (Least Significiant Bit, наименьший значащий бит) и аналогичные. Их суть заключается в замене последних значащих битов в контейнере (изображения, аудио или видеозаписи) на биты скрываемого сообщения. Возьмем в качестве примера графический файл. Наглядно это выглядит следующим образом: мы меняем младшие биты в коде цвета пикселя на картинке. Если считать, что код цвета имеет 32-битное значение, то замена 0 на 1 или наоборот не приведет к сколько-нибудь существенному искажению картинки, ощутимому для органов восприятия человека. А между тем в этих битах для большой картинки можно что-то спрятать.

Рассмотрим небольшой пример. Допустим, имеется 8-битное изображение в градациях серого. 00h (00000000Ь) обозначает черный цвет, FFh (11111111Ь) — белый. Всего имеется 256 градаций ( ). Также предположим, что сообщение состоит из 1 байта — например, 01101011Ь. При использовании двух младших бит в описаниях пикселей нам потребуется 4 пикселя. Допустим, они черного цвета. Тогда пиксели, содержащие скрытое сообщение, будут выглядеть следующим образом: 00000001 00000010 00000010 00000011. Тогда цвет пикселей изменится: первого — на 1/255, второго и третьего — на 2/255 и четвертого — на 3/255. Такие градации, мало того, что незаметны для человека, могут вообще не отобразиться при использовании низкокачественных устройств вывода.

Цифровая стеганография

Стоит отметить, что методы LSB являются неустойчивыми к разного рода «шуму»

Например, в случае если на передаваемый контент накладываются какие-либо «мусорные» биты, это искажает как исходный контент, так и (что для нас особенно важно) скрытое сообщение. Иногда оно даже становится нечитаемым

Аналогичная методика используется и для других форматов.

Еще один метод заключается в так называемом впаивании скрытой информации. В данном случае происходит наложение скрываемого изображения (звука, иногда текста) поверх оригинала. Простейший пример — надпись белым цветом на белом же фоне в PDF-документе. Злоумышленники обычно не используют данный метод по причине относительной простоты обнаружения автоматическими методами. Однако данный метод зачастую применяется при создании «водяных знаков» для защиты авторства контента. В этом случае данные знаки, как правило, не скрываются.

И третий метод — использование особенностей форматов файлов. К примеру, это может быть запись информации в метаданные, используемые данным форматом файла, или в различные другие, не используемые зарезервированные поля. Например, это может быть документ Microsoft Word, внутри которого будет спрятана информация, никак не отображаемая при открытии данного документа.

Аудио стеганография

Еще один способ сокрытия информации применим только к аудиофайлам — это эхо-метод. Он использует неравномерные промежутки между эхо-сигналами для кодирования последовательности значений. В общем случае возможно создание условий, при которых данные сигналы будут незаметны для человеческого восприятия. Эхо-сигнал характеризуется тремя параметрами: начальной амплитудой, степенью затухания и задержкой. При достижении некоего порога между сигналом и эхом они смешиваются. В этой точке человеческое ухо не может уже отличить эти два сигнала. Для обозначения логического нуля и единицы используется две различных задержки. Они обе должны быть меньше, чем порог чувствительности уха слушателя к получаемому эху.

Однако на практике этот метод тоже не слишком надежен, так как не всегда можно точно определить, когда был передан ноль, а когда единица, и в результате велика вероятность искажения скрытых данных.

Другой вариант использования стеганографии в аудиофайлах — фазовое кодирование (phase coding). Происходит замена исходного звукового элемента на относительную фазу, которая и является секретным сообщением. Фаза подряд идущих элементов должна быть добавлена таким образом, чтобы сохранить относительную фазу между исходными элементами, в противном случае возникнет искажение, заметное для человеческого уха.

На сегодняшний день фазовое кодирование является одним из самых эффективных методов скрытия информации.

ProDiscover

Необходимый для работы минимум в программе присутствует, но для полного анализа всё равно понадобится дополнительный софт. Программа может работать как с диском, так и с образом, также позволяет работу в сети. Возможна проверка файлов по File signature header (не путайте с одноименной программой) и hash set (базы контрольных сумм файлов), но сам результат отображения не даёт никаких дополнительных сведениий о данных. Программа лишь высказывает своё подозрение о тех или иных файлах, ничем не подкрепляя свою точку зрения. Стоит ли ей доверять? Дело каждого, но я, честно говоря, не рекомендовал бы юзать данный софт.

Статистические методы анализа: RS-метод

Еще один статистический метод обнаружения заполненных стегоконтейнеров был предложен Джессикой Фридрих, Мирославом Гольяном и Андреасом Пфитцманом в 2001 году. Он называется RS-метод, где RS означает «регулярный-сингулярный».

Все изображение разделяется на множество групп пикселей, далее для каждой группы применяется специальная флиппинг-процедура. На основании значения функции-дескриминанта до и после применения флиппинга все группы делятся на регулярные, сингулярные и неиспользуемые.

Алгоритм основывается на предположении, что количество регулярных и сингулярных групп пикселей в оригинальном изображении и в изображении после применения флиппинга должно быть примерно равным. Если количество таких групп существенно меняется в процессе применения флиппинга, это значит, что исследуемое изображение является заполненным контейнером.

По шагам алгоритм работает следующим образом:

Изображение разделяется на группы из n pixels (x₁, …, x_n).
Описывается т.н. дискриминант-функция, которая сопоставляет каждой группе пикселей G = (x₁, …, x_n). действительное число f(x₁, …, x_n) ? R.
Мы можем определить дискриминант-функцию для группы пикселей (x₁, …, x_n) следующим образом:
Также мы определяем функцию флиппинга, имеющую следующие свойства:

На основании значений дискриминант-фукнции до и после флиппинга, все группы пикселей делятся на регулярные, сингулярные и неиспользуемые:

Мы провели исследование и этого метода тоже, получив следующие результаты. Мы использовали те же заполненный и пустой контейнеры, что и в предыдущем опыте.

Оригинальное изображение	Визуальная атака	Атака «хи-квадрат», 10 зон

Обратим внимание, что этот метод атаки не выносит бинарного вердикта «содержит ли этот контейнер внедренное сообщение», вместо этого он определяет примерную длину внедренного сообщения (в процентах). Из результатов выше понятно, что для пустого сообщения этот метод вынес вердикт о заполнении менее 1% контейнера, а для заполненного — о заполнении примерно 44% контейнера

Очевидно, что результаты слегка неточные. Обратим внимание на заполненный контейнер: из визуальной атаки однозначно следует, что заполнено более 50% контейнера, в то время как RS-атака говорит нам, что заполнено 44% контейнера. Поэтому мы можем применять этот метод если установим некий «порог срабатывания»: наши эксперименты показали, что 10% является достаточным порогом надежности. Если RS-атака утверждает, что более 10% контейнера заполнено — можно доверять этому вердикту и маркировать контейнер как заполненный

Из результатов выше понятно, что для пустого сообщения этот метод вынес вердикт о заполнении менее 1% контейнера, а для заполненного — о заполнении примерно 44% контейнера. Очевидно, что результаты слегка неточные

Обратим внимание на заполненный контейнер: из визуальной атаки однозначно следует, что заполнено более 50% контейнера, в то время как RS-атака говорит нам, что заполнено 44% контейнера. Поэтому мы можем применять этот метод если установим некий «порог срабатывания»: наши эксперименты показали, что 10% является достаточным порогом надежности

Если RS-атака утверждает, что более 10% контейнера заполнено — можно доверять этому вердикту и маркировать контейнер как заполненный.

Теперь пришло время выяснить, пригодны ли два рассмотренных способа для тестирования в реальных условиях на контейнерах Zero.T, сообщение в которых имеют обычную энтропию.

Мы провели соответствующие тесты и вот результаты:

Оригинальное изображение	Атака «хи-квадрат»	RS-атака

Очевидно, что на изображениях с низкой энтропией атака типа «хи-квадрат» не применима — результаты или неудовлетворительные, или не вполне точные, зато RS-атака отработала отлично: в обеих случаях было определено наличие скрытого сообщения. Но что же делать если автоматические методы анализа показали отсутствие внедренного сообщения, а мы все еще подозреваем это?

Можно использовать конкретные процедуры для извлечения полезной нагрузки, разработанные для конкретных семейств вредоносного ПО. Так, для рассмотренного в этой статье загрузчика Zero.T мы написали собственную процедуру экстракции внедренного сообщения, которая схематично работает следующим образом:

	+
=

Очевидно, что, если в итоге мы получили валидный результат (в данном случае — исполняемый файл), исходное изображение было контейнером.

Выводы

Мы отмечаем сильный положительный тренд: все больше и больше разработчиков вредоносного ПО начинает использовать стеганографию, в том числе — для сокрытия коммуникации с командным центром и для загрузки модулей. Это дает результат, ведь процедуры анализа контейнеров вероятностные и дорогие, следовательно, большинство защитных решений не могут себе позволить обрабатывать все объекты, которые потенциально могут быть заполненными контейнерами.

Однако решения есть, они основаны на комбинировании различных способов анализа, высокоскоростных предетектах, исследовании метаданных потенциально заполненного контейнера и т.п. Такие решения сейчас нашей компанией реализуются в нашей платформе защиты от таргетированных атак — КАТА. Ее использование позволяет сотруднику службы информационной безопасности своевременно узнать о возможной таргетированной атаке на защищаемый периметр и/или эксфильтрации данных из него.