mindcrypt/stegowiperUn outil puissant et flexible pour appliquer des attaques actives afin de perturber les stegomalwares.
Au cours des 10 dernières années, de nombreux groupes de menaces ont utilisé des stegomalwares ou d'autres techniques basées sur la stéganographie pour attaquer des organisations de tous les secteurs et dans toutes les régions du monde. Quelques exemples sont : APT15/Vixen Panda, APT23/Tropic Trooper, APT29/Cozy Bear, APT32/OceanLotus, APT34/OilRig, APT37/ScarCruft, APT38/Lazarus Group, Duqu Group, Turla, Vawtrack, Powload, Lokibot, Ursnif, IceID, etc.
Nos recherches (voir APTs/) montrent que la plupart des groupes utilisent des techniques très simples (du moins d'un point de vue académique) et des outils connus pour contourner les défenses périmétriques, bien que des groupes plus avancés utilisent également la stéganographie pour cacher la communication C&C et l'exfiltration de données. Nous soutenons que ce manque de sophistication n'est pas dû à un manque de connaissances en stéganographie (certains APTs, comme Turla, ont déjà expérimenté des algorithmes avancés), mais simplement parce que les organisations ne sont pas capables de se défendre, même contre les techniques de stéganographie les plus simples.
Pour cette raison, nous avons créé stegoWiper, un outil pour perturber aveuglément tout stegomalware basé sur des images, en attaquant le point le plus faible de tous les algorithmes de stéganographie : leur robustesse. Nous avons vérifié qu'il est capable de perturber toutes les techniques et outils de stéganographie (Invoke-PSImage, F5, Steghide, openstego, ...) employés de nos jours, ainsi que les algorithmes les plus avancés disponibles dans la littérature académique, basés sur le chiffrement matriciel, les wet-papers, etc. (par exemple Hill, J-Uniward, Hugo). En fait, plus une technique de stéganographie est sophistiquée, plus stegoWiper produit de perturbation.
De plus, notre attaque active nous permet de perturber toute charge utile de stéganographie de toutes les images échangées par une organisation au moyen d'un service proxy web ICAP (Internet Content Adaptation Protocol) (voir c-icap/), en temps réel et sans avoir à identifier d'abord si les images contiennent des données cachées.
stegoWiper v0.1 - Cleans stego information from image files
(png, jpg, gif, bmp, svg)
Usage: ${myself} [-hvc <comment>] <input file> <output file>
Options:
-h Show this message and exit
-v Verbose mode
-c <comment> Add <comment> to output image file
stegowiper.sh -c "stegoWiped" ursnif.png ursnif_clean.png
Le répertoire examples/ contient plusieurs images de base qui ont été utilisées pour cacher des informations secrètes en utilisant différents algorithmes de stéganographie, ainsi que le résultat de leur nettoyage avec stegoWiper.
stegoWiper supprime tous les commentaires de métadonnées du fichier d'entrée, et ajoute également un bruit imperceptible à l'image (peu importe qu'elle contienne réellement une charge utile cachée ou non). Si l'image contient une charge utile stéganographique, ce bruit aléatoire l'altère, de sorte que si vous essayez de l'extraire, elle échouera ou sera corrompue, et le stegomalware ne pourra pas s'exécuter.
Nous avons testé plusieurs types (Uniforme, Poisson, Laplacien, Impulsionnel, Multiplicatif) et niveaux de bruit, et le meilleur en termes de perturbation de la charge utile et de réduction de l'impact sur l'image d'entrée est le bruit gaussien (voir tests/ pour un résumé de nos expériences). Il est également à noter que, puisque le bruit est aléatoire et distribué sur toute l'image, les attaquants ne peuvent pas savoir comment l'éviter. Ceci est important car d'autres auteurs ont proposé des altérations déterministes (comme effacer le bit le moins significatif de tous les pixels), de sorte que les attaquants peuvent facilement les contourner (par exemple en utilisant simplement le second bit le moins significatif).
Ce projet a été développé par Dr. Alfonso Muñoz et Dr. Manuel Urueña. Le code est publié sous la licence GNU General Public License v3.