mindcrypt/stegowiperステゴマルウェアを妨害するためのアクティブ攻撃を適用する、強力で柔軟なツール
過去10年にわたり、多くの脅威グループがステゴマルウェアやその他のステガノグラフィ技術を利用して、世界中のあらゆるセクターの組織を攻撃してきました。例として、APT15/Vixen Panda、APT23/Tropic Trooper、APT29/Cozy Bear、APT32/OceanLotus、APT34/OilRig、APT37/ScarCruft、APT38/Lazarus Group、Duqu Group、Turla、Vawtrack、Powload、Lokibot、Ursnif、IceIDなどがあります。
私たちの調査（APTs/を参照）によると、ほとんどのグループは非常に単純な技術（少なくとも学術的な観点からは）と既知のツールを用いて境界防御を回避していますが、より高度なグループはC&C通信やデータ漏洩を隠すためにステガノグラフィも使用しています。私たちは、この技術の乏しさはステガノグラフィの知識不足によるものではなく（Turlaのような一部のAPTはすでに高度なアルゴリズムを試しています）、単に組織が最も単純なステガノグラフィ技術でさえ防御できないことに起因すると考えています。
このため、私たちはstegoWiperを開発しました。これは、すべてのステガノグラフィアルゴリズムの弱点であるロバスト性を攻撃することで、画像ベースのステゴマルウェアを盲目的に破壊するツールです。現在使用されているすべてのステガノグラフィ技術とツール（Invoke-PSImage、F5、Steghide、openstegoなど）、および学術文献で利用可能な行列暗号、ウェットペーパーなどに基づく最も高度なアルゴリズム（例：Hill、J-Uniward、Hugo）を破壊できることを確認しています。実際、ステガノグラフィ技術が高度であればあるほど、stegoWiperはより大きな破壊をもたらします。
さらに、私たちのアクティブ攻撃により、WebプロキシICAP（Internet Content Adaptation Protocol）サービス（c-icap/を参照）を介して、組織内でやり取りされるすべての画像からリアルタイムで、画像に隠しデータが含まれているかどうかを事前に識別することなく、ステガノグラフィペイロードを破壊できます。
stegoWiper v0.1 - Cleans stego information from image files
(png, jpg, gif, bmp, svg)
Usage: ${myself} [-hvc <comment>] <input file> <output file>
Options:
-h Show this message and exit
-v Verbose mode
-c <comment> Add <comment> to output image file
stegowiper.sh -c "stegoWiped" ursnif.png ursnif_clean.png
examples/ディレクトリには、さまざまなステガノグラフィアルゴリズムを使用して秘密情報を隠すために使用されたいくつかのベース画像と、stegoWiperでそれらをクリーンした結果が含まれています。
stegoWiperは入力ファイルからすべてのメタデータコメントを削除し、また画像に知覚できないノイズを追加します（実際に隠しペイロードが含まれているかどうかは関係ありません）。画像にステガノグラフィペイロードが含まれている場合、このランダムノイズがそれを変化させるため、抽出しようとすると失敗するか破損し、ステゴマルウェアの実行に失敗します。
私たちはいくつかの種類（一様、ポアソン、ラプラシアン、インパルス、乗法）とレベルのノイズをテストし、ペイロード破壊と入力画像への影響低減のバランスにおいて最も優れているのはガウスノイズであることを確認しました（実験の概要はtests/を参照）。また、ノイズはランダムで画像全体に分布しているため、攻撃者はそれを回避する方法を知ることができない点にも注目すべきです。これは、他の研究者が決定論的な改変（例：全ピクセルの最下位ビットをクリアする）を提案しているため重要であり、攻撃者は簡単にそれを回避できます（例：2番目の最下位ビットを使用するだけ）。
このプロジェクトは、Dr. Alfonso MuñozとDr. Manuel Urueñaによって開発されました。コードはGNU General Public License v3の下で公開されています。