stegoWiper: هجوم نشط قوي ومرن لتعطيل برمجيات التخفي الضارة

على مدى السنوات العشر الماضية، استخدمت العديد من المجموعات التهديدية برمجيات التخفي الضارة أو تقنيات أخرى قائمة على الإخفاء لمهاجمة المؤسسات من جميع القطاعات وفي جميع أنحاء العالم. بعض الأمثلة: APT15/Vixen Panda, APT23/Tropic Trooper, APT29/Cozy Bear, APT32/OceanLotus, APT34/OilRig, APT37/ScarCruft, APT38/Lazarus Group, Duqu Group, Turla, Vawtrack, Powload, Lokibot, Ursnif, IceID، إلخ.

يُظهر بحثنا (انظر APTs/) أن معظم المجموعات تستخدم تقنيات بسيطة جدًا (على الأقل من منظور أكاديمي) وأدوات معروفة لتجاوز دفاعات المحيط، على الرغم من أن المجموعات الأكثر تقدمًا تستخدم أيضًا الإخفاء لإخفاء اتصالات القيادة والتحكم (C&C) وتسريب البيانات. نحن نجادل بأن هذا الافتقار إلى التعقيد ليس بسبب نقص المعرفة بالإخفاء (بعض مجموعات APTs، مثل Turla، جربت بالفعل خوارزميات متقدمة)، ولكن ببساطة لأن المؤسسات غير قادرة على الدفاع عن نفسها، حتى ضد أبسط تقنيات الإخفاء.

لهذا السبب، قمنا بإنشاء stegoWiper، وهي أداة لتعطيل أي برمجيات تخفيضارة قائمة على الصور بشكل أعمى، من خلال مهاجمة أضعف نقطة في جميع خوارزميات الإخفاء: متانتها. لقد تحققنا من أنها قادرة على تعطيل جميع تقنيات وأدوات الإخفاء (Invoke-PSImage, F5, Steghide, openstego، ...) المستخدمة حاليًا، بالإضافة إلى الخوارزميات الأكثر تقدمًا المتاحة في الأدبيات الأكاديمية، القائمة على التشفير المصفوفي، الأوراق الرطبة، إلخ (مثل Hill, J-Uniward, Hugo). في الواقع، كلما كانت تقنية الإخفاء أكثر تعقيدًا، زاد التعطيل الذي ينتجه stegoWiper.

علاوة على ذلك، يسمح لنا هجومنا النشط بتعطيل أي حمولة إخفاء من جميع الصور المتبادلة بواسطة مؤسسة من خلال خدمة وكيل ويب ICAP (بروتوكول تكييف محتوى الإنترنت) (انظر c-icap/)، في الوقت الفعلي وبدون الحاجة إلى تحديد ما إذا كانت الصور تحتوي على بيانات مخفية أولاً.

الاستخدام والمعلمات

stegoWiper v0.1 - Cleans stego information from image files
                  (png, jpg, gif, bmp, svg)

Usage: ${myself} [-hvc <comment>] <input file> <output file>

Options:
  -h              Show this message and exit
  -v              Verbose mode
  -c <comment>    Add <comment> to output image file

أمثلة - كسر الإخفاء

stegowiper.sh -c "stegoWiped" ursnif.png ursnif_clean.png

يحتوي دليل examples/ على عدة صور أساسية تم استخدامها لإخفاء معلومات سرية باستخدام خوارزميات إخفاء مختلفة، بالإضافة إلى نتائج تنظيفها باستخدام stegoWiper.

كيف يعمل؟

يقوم stegoWiper بإزالة جميع تعليقات البيانات الوصفية من ملف الإدخال، ويضيف أيضًا بعض الضوضاء غير المحسوسة إلى الصورة (لا يهم إذا كانت تتضمن حقًا حمولة مخفية أم لا). إذا كانت الصورة تحتوي على حمولة إخفائية، فإن هذه الضوضاء العشوائية تغيرها، لذلك إذا حاولت استخراجها، فإما أن تفشل أو تكون تالفة، وبالتالي تفشل برمجيات التخفي الضارة في التنفيذ.

لقد اختبرنا عدة أنواع (منتظم، بواسون، لابلاس، اندفاعي، مضاعف) ومستويات من الضوضاء، وأفضلها من حيث تعطيل الحمولة وتقليل التأثير على صورة الإدخال هو الضوضاء الغاوسية (انظر tests/ لملخص لتجاربنا). ومن الجدير بالذكر أيضًا أنه نظرًا لأن الضوضاء عشوائية وموزعة في جميع أنحاء الصورة، لا يمكن للمهاجمين معرفة كيفية تجنبها. هذا مهم لأن مؤلفين آخرين اقترحوا تغييرات حتمية (مثل مسح أقل بت أهمية لجميع البكسلات)، لذلك يمكن للمهاجمين تجاوزها بسهولة (على سبيل المثال، فقط باستخدام ثاني أقل بت أهمية).

المؤلف والترخيص

تم تطوير هذا المشروع بواسطة الدكتور ألفونسو مونيوز والدكتور مانويل أوروينيا. يتم إصدار الكود بموجب رخصة جنو العمومية العامة الإصدار الثالث.