mindcrypt/stegowiperUna herramienta potente y flexible para aplicar ataques activos con el fin de interrumpir stegomalware
Durante los últimos 10 años, muchos grupos de amenazas han empleado stegomalware u otras técnicas basadas en esteganografía para atacar organizaciones de todos los sectores y en todas las regiones del mundo. Algunos ejemplos son: APT15/Vixen Panda, APT23/Tropic Trooper, APT29/Cozy Bear, APT32/OceanLotus, APT34/OilRig, APT37/ScarCruft, APT38/Lazarus Group, Duqu Group, Turla, Vawtrack, Powload, Lokibot, Ursnif, IceID, etc.
Nuestra investigación (ver APTs/) muestra que la mayoría de los grupos están empleando técnicas muy simples (al menos desde una perspectiva académica) y herramientas conocidas para eludir las defensas perimetrales, aunque los grupos más avanzados también utilizan esteganografía para ocultar la comunicación C&C y la exfiltración de datos. Argumentamos que esta falta de sofisticación no se debe a la falta de conocimiento en esteganografía (algunos APT, como Turla, ya han experimentado con algoritmos avanzados), sino simplemente porque las organizaciones no son capaces de defenderse, incluso contra las técnicas de esteganografía más simples.
Por esta razón, hemos creado stegoWiper, una herramienta para interrumpir ciegamente cualquier stegomalware basado en imágenes, atacando el punto más débil de todos los algoritmos de esteganografía: su robustez. Hemos comprobado que es capaz de interrumpir todas las técnicas y herramientas de esteganografía (Invoke-PSImage, F5, Steghide, openstego, ...) empleadas hoy en día, así como los algoritmos más avanzados disponibles en la literatura académica, basados en cifrado matricial, wet-papers, etc. (por ejemplo, Hill, J-Uniward, Hugo). De hecho, cuanto más sofisticada es una técnica de esteganografía, mayor es la interrupción que produce stegoWiper.
Además, nuestro ataque activo nos permite interrumpir cualquier payload de esteganografía de todas las imágenes intercambiadas por una organización mediante un servicio proxy web ICAP (Internet Content Adaptation Protocol) (ver c-icap/), en tiempo real y sin tener que identificar primero si las imágenes contienen datos ocultos.
stegoWiper v0.1 - Cleans stego information from image files
(png, jpg, gif, bmp, svg)
Usage: ${myself} [-hvc <comment>] <input file> <output file>
Options:
-h Show this message and exit
-v Verbose mode
-c <comment> Add <comment> to output image file
stegowiper.sh -c "stegoWiped" ursnif.png ursnif_clean.png
El directorio examples/ incluye varias imágenes base que se han empleado para ocultar información secreta usando diferentes algoritmos de esteganografía, así como el resultado de limpiarlas con stegoWiper.
stegoWiper elimina todos los comentarios de metadatos del archivo de entrada, y también añade algo de ruido imperceptible a la imagen (no importa si realmente incluye un payload oculto o no). Si la imagen contiene un payload esteganográfico, este ruido aleatorio lo altera, por lo que si intenta extraerlo, fallará o se corromperá, y el stegomalware no se ejecutará.
Hemos probado varios tipos (Uniforme, Poisson, Laplaciano, Impulsivo, Multiplicativo) y niveles de ruido, y el mejor en términos de interrupción del payload y reducción del impacto en la imagen de entrada es el Gaussiano (ver tests/ para un resumen de nuestros experimentos). También vale la pena señalar que, dado que el ruido es aleatorio y está distribuido por toda la imagen, los atacantes no pueden saber cómo evitarlo. Esto es importante porque otros autores han propuesto alteraciones deterministas (como limpiar el bit menos significativo de todos los píxeles), por lo que los atacantes pueden eludirlas fácilmente (por ejemplo, usando el segundo bit menos significativo).
Este proyecto ha sido desarrollado por el Dr. Alfonso Muñoz y el Dr. Manuel Urueña. El código se publica bajo la Licencia Pública General de GNU v3.