⚡ Stegseek

Stegseek es un cracker de steghide extremadamente rápido que se puede usar para extraer datos ocultos de archivos. Está construido como un fork del proyecto steghide original y, como resultado, es miles de veces más rápido que otros crackers y puede recorrer la totalidad de rockyou.txt* en menos de 2 segundos.

Stegseek también se puede usar para extraer metadatos de steghide sin contraseña, lo que se puede usar para comprobar si un archivo contiene datos de steghide.

rockyou.txt es una lista de contraseñas muy conocida con más de 14 millones de contraseñas.

Demo: contraseña aleatoria de rockyou.txt (en tiempo real)

Salta a Rendimiento para algunos números en bruto.

🔧 Instalación

Las siguientes instrucciones te guían a través del proceso de instalación. Alternativamente, puedes ejecutar Stegseek en un contenedor Docker. Salta a Docker para obtener instrucciones.

Lanzamientos

Linux

En sistemas recientes de Ubuntu y otros basados en Debian, puedes usar el paquete .deb proporcionado para la instalación:

1. Descarga la última versión de Stegseek
2. Instala el archivo .deb usando sudo apt install ./stegseek_0.6-1.deb

En otros sistemas tendrás que compilar Stegseek tú mismo. Consulta BUILD.md para más información.

Windows

Lamentablemente, no se admite la compilación de Stegseek como una aplicación nativa de Windows. En su lugar, debes ejecutar Stegseek usando WSL. Se recomienda la distribución de Ubuntu WSL para una compatibilidad óptima.
Una vez que hayas configurado WSL, Stegseek se puede instalar usando las instrucciones de Linux anteriores.

Por defecto, WSL monta la unidad C:\ en /mnt/c/, que puedes usar para acceder fácilmente a tus archivos.

▶️ Usando Stegseek

Cracking

La característica más importante de stegseek es el cracking de listas de palabras:

stegseek [stegofile.jpg] [wordlist.txt]

Este modo simplemente probará todas las contraseñas de la lista de palabras proporcionada contra el stegofile proporcionado.

Detección y extracción sin contraseña (CVE-2021-27211)

Stegseek también se puede usar para detectar y extraer cualquier dato (meta) no cifrado de una imagen steghide. Esto aprovecha el hecho de que el generador de números aleatorios usado en steghide solo tiene 2^32 semillas posibles, que se pueden forzar por fuerza bruta en cuestión de minutos.

stegseek --seed [stegofile.jpg]

Este comando te dirá:

• Si este archivo realmente contiene contenido steghide.
• Cuánto contenido oculto contiene el archivo.
• Cómo se cifró el contenido.

Si tienes (mucha) suerte y el archivo fue codificado sin cifrado, ¡este modo incluso recuperará el archivo codificado por ti!

La siguiente demo presenta un desafío de X-MAS CTF 2020. Se ocultó una bandera usando una contraseña aleatoria segura, pero sin cifrado habilitado. En unos minutos, Stegseek puede recuperar el archivo incrustado sin necesidad de adivinar la contraseña correcta.

Argumentos disponibles

Usa stegseek --help para obtener la lista completa de opciones disponibles:

=== StegSeek Help ===
To crack a stegofile:
stegseek [stegofile.jpg] [wordlist.txt]

Commands:
 --crack                 Crack a stego file using a wordlist. This is the default mode.
 --seed                  Crack a stego file by attempting all embedding patterns.
                         This mode can be used to detect a file encoded by steghide.
                         In case the file was encoded without encryption, this mode will
                         even recover the embedded file.
Positional arguments:
 --crack [stegofile.jpg] [wordlist.txt] [output.txt]
 --seed  [stegofile.jpg] [output.txt]

Keyword arguments:
 -sf, --stegofile        select stego file
 -wl, --wordlist         select the wordlist file
 -xf, --extractfile      select file name for extracted data
 -t, --threads           set the number of threads. Defaults to the number of cores.
 -f, --force             overwrite existing files
 -v, --verbose           display detailed information
 -q, --quiet             hide performance metrics (can improve performance)
 -s, --skipdefault       don't add guesses to the wordlist (empty password, filename, ...)
 -n, --nocolor           disable colors in output
 -c, --continue          continue cracking after a result has been found.
                         (A stego file might contain multiple embedded files)
 -a, --accessible        simplify the output to be more screen reader friendly

Use "stegseek --help -v" to include steghide's help.

Stegseek incluye casi toda la funcionalidad de steghide, por lo que también se puede usar para incrustar o extraer datos de forma normal. La única salvedad es que los comandos deben usar el formato --command.
Por ejemplo, steghide embed [...] se convierte en stegseek --embed [...].

Argumentos posicionales

• stegseek --embed <data> <coverfile> [<stegofile>]
• stegseek --extract <stegofile> [<output>]

🐳 Docker

También puedes ejecutar Stegseek como contenedor Docker:

docker run --rm -it -v "$(pwd):/steg" rickdejager/stegseek [stegofile.jpg] [wordlist.txt]

Esto requiere que la lista de palabras y el stegofile estén ubicados en el directorio de trabajo actual, ya que esa carpeta se monta en /steg dentro del contenedor.

📈 Rendimiento

Aquí es donde Stegseek realmente brilla. Como se prometió, comencemos con la afirmación de "rockyou.txt en solo 2 segundos".
Todos estos números se midieron en un portátil con un Intel i7-7700HQ CPU a 2.80GHz y 8 GB de RAM.

RockYou.txt

Elegí la última contraseña en rockyou.txt sin caracteres de control: "␣␣␣␣␣␣␣1" (7 espacios seguidos de '1').
Esta contraseña está en la línea 14344383 de 14344391

> StegSeek 0.6 - https://github.com/RickdeJager/StegSeek

[i] Found passphrase: "       1"          
[i] Original filename: "secret.txt".
[i] Extracting to "7spaces1.jpg.out".


real	0m1,211s
user	0m9,488s
sys	0m0,084s

Y ahí está, más de 14 millones de contraseñas en menos de 2 segundos 😍.

¿Cómo se compara esto con otras herramientas?

Para probar el rendimiento de otras herramientas, creé varios archivos stego con diferentes contraseñas, tomadas de rockyou.txt. Ejecuté cada una de las herramientas con su configuración predeterminada, excepto Stegbrute donde aumenté el hilo para una comparación justa.

[p] = tiempo proyectado basado en resultados anteriores.

Para comparar la velocidad de cada herramienta, veamos la última fila de la tabla (de lo contrario, Stegseek termina antes de que todos los hilos hayan comenzado).

A esta escala, Stegseek es más de 12 000 veces más rápido que Stegcracker y más de 7000 veces más rápido que Stegbrute.

📓 Registro de cambios

v0.6

2021-04-18
mejoras:

• Corregido el cracking BMP para archivos con una paleta grande.
• Añadida una bandera --continue para buscar múltiples archivos ocultos.
• Añadida una bandera --accessible para hacer la CLI más amigable para lectores de pantalla
• Se hizo la CLI más consistente, se añadieron colores.
• --crack y --seed ahora devuelven códigos de salida adecuados para facilitar la escritura de scripts.
• Menor sobrecarga de rendimiento para las métricas.
• corregidas las banderas del compilador para la compilación predeterminada.

v0.5

2020-12-28
mejoras:

• Usa mucha menos memoria (el uso de memoria ya no está vinculado a la longitud de la lista de palabras)
• La lista de palabras se carga sobre la marcha, por lo que podemos empezar a crackear inmediatamente.
• Corregida la alta tasa de falsos positivos en --seed

v0.4

2020-12-01
mejoras:

• Añadido cracking de semillas para permitir la extracción de datos sin contraseña
• Revisado el analizador para permitir argumentos posicionales
• cracks rockyou.txt en 2 segundos

v0.4.1

2020-12-23
Corregido un error por el cual stegseek fallaba al encontrar una contraseña en raras ocasiones.

v0.3

2020-11-08
mejoras:

• Se hizo el enhebrado libre de bloqueos para que múltiples hilos se utilicen de manera más eficiente
• Añadido el argumento -xf a --crack, usado para especificar la ubicación del archivo extraído
• Se hizo el paquete .deb compatible con Debian/Kali
• cracks rockyou.txt en 4 segundos

v0.2

2020-11-05
mejoras:

• Abandonar una frase de contraseña una vez que un solo bit del magic falla al decodificar
• Eliminadas las costosas asignaciones de BitString / EmbData
• Mejorado el rendimiento del selector
• cracks rockyou.txt en 5 segundos.

v0.1

2020-11-04
Lanzamiento inicial, características:

• Solo carga el archivo stego una vez, a diferencia de los crackers convencionales
• Enhebrado basado en workpool
• Intenta crackear los primeros 3 bytes primero, antes de intentar el descifrado completo
• Añadido paquete .deb y contenedor docker
• cracks rockyou.txt en 41 segundos.