Автоматизированный инструмент обнаружения стеганографии, который сканирует веб-сайты, веб-серверы и локальные каталоги, используя AI-распознавание объектов/текста и глубокий анализ файлов изображений, аудио, PDF и бинарных файлов.
StegoScan.py — мощный инструмент нового поколения для автоматического обнаружения стеганографии на веб-сайтах, веб-серверах и в локальных каталогах, интегрирующий AI-распознавание объектов и текста с глубоким анализом файлов. В отличие от традиционных инструментов обнаружения стеганографии, которые ориентированы на ограниченный набор типов файлов или требуют ручной обработки, StegoScan.py предназначен для комплексного автоматического сканирования — сбора данных с веб-сайтов, анализа встроенных файлов и обнаружения скрытых сообщений в широком спектре форматов, включая PNG, JPG, BIN, PDF, DOCX, WAV и MP3.
Инструмент обладает возможностями сканирования веб-сайтов и веб-серверов, что делает его незаменимым для специалистов по безопасности, отслеживающих незаконный обмен данными, или правоохранительных органов, выслеживающих киберпреступников. Одна команда может проанализировать целые домены или диапазоны IP, извлекая и проверяя подозрительные медиафайлы и документы на наличие скрытых коммуникаций. Будь то обнаружение скрытых обменов на площадках даркнета, выявление встроенной пропаганды в кампаниях по дезинформации или раскрытие замаскированных инструкций в террористических сетях, StegoScan.py обеспечивает беспрецедентную видимость стеганографических угроз.
Одним из усовершенствований в обнаружении стеганографии стала интеграция AI-моделей, таких как YOLO и TrOCR, для обнаружения объектов и текста на изображениях и в аудиофайлах, которые ранее приходилось проверять вручную. Традиционные инструменты OCR (оптического распознавания символов) печально известны своей ненадёжностью, часто не распознавая даже простой текст, скрытый в изображениях, из-за шума, искажений или нестандартных шрифтов. StegoScan.py преодолевает это, предлагая опциональное AI-улучшенное обнаружение текста, что значительно повышает способность извлекать скрытые сообщения из изображений, отсканированных документов и даже спектрограмм аудиофайлов. Это меняет правила игры для судебных аналитиков, специалистов по кибербезопасности и правоохранительных органов, которым необходимо высоконадёжное извлечение текста из скомпрометированных медиа.
Ещё одна новая функция — глубокая распаковка файлов — важное достижение в стегоанализе. StegoScan.py не просто сканирует поверхность PDF и DOCX; он идёт дальше, извлекая и анализируя встроенные в них файлы. Это позволяет обнаружить стеганографический контент, скрытый внутри вложений или глубоко вложенных документов, устраняя серьёзное слепое пятно традиционных инструментов сканирования.
Объединяя несколько методов стегоанализа в единый тест, StegoScan.py обеспечивает детальный и многослойный анализ файлов, предоставляя командам безопасности, экспертам по цифровой криминалистике и исследователям кибербезопасности передовое решение для постоянно развивающейся цифровой угрозы. По мере того как методы стеганографии становятся всё более изощрёнными, традиционные инструменты перестают справляться — StegoScan.py гарантирует, что организации останутся на шаг впереди злоумышленников, обнаруживая то, что другие пропускают. Более подробное описание стеганографии и её использования см. в разделе «Предыстория и обоснование StegoScan».
StegoScan запускается, создавая собственное выделенное окружение Python, локальное рабочее пространство и устанавливая все необходимые инструменты и пакеты для работы своего набора функций анализа. После того как всё готово, он проверяет указанные IP-адреса (если выбраны), чтобы убедиться, что они принадлежат активным веб-серверам.
После подтверждения целей StegoScan приступает к работе — собирает все доступные файлы указанных типов с заданных IP-адресов и URL. Если выбран локальный каталог, файлы собираются и оттуда. Все собранные файлы аккуратно сортируются по типам и сохраняются в выбранном каталоге.
Затем StegoScan подготавливает каталог результатов и запускает свой набор тестов на обнаружение стеганографии. Более подробно о доступных тестах см. раздел «Тест стеганографии». По мере выявления скрытых данных файлы классифицируются и сохраняются в подпапках, соответствующих конкретному тесту, который их обнаружил. После завершения всех тестов StegoScan завершает процесс и заканчивает выполнение.
Возможности сканирования веб-сайтов и веб-серверов – В отличие от обычных инструментов стегоанализа, которые работают только со статическими файлами, StegoScan.py активно сканирует целые веб-сайты, диапазоны IP и веб-серверы на наличие скрытых сообщений. Будь то исследование площадок даркнета, форумов киберпреступников или взломанных корпоративных сайтов, он автоматизирует весь процесс извлечения и анализа файлов на предмет встроенного стеганографического контента. Больше не нужно вручную скачивать и сортировать — StegoScan сделает всё за вас!
AI-обнаружение объектов и текста на изображениях и аудиофайлах – Традиционное OCR (оптическое распознавание символов) ненадёжно, часто не справляется с искажённым текстом, нестандартными шрифтами или зашумлёнными изображениями. StegoScan.py интегрирует передовые AI-модели, такие как YOLO и TrOCR, для улучшения извлечения текста и обнаружения объектов, выявляя скрытые сообщения, которые стандартное OCR полностью пропускает. Даже спектрограммы аудио можно сканировать на предмет стеганографического контента, что даёт представление о скрытом обмене данными.
Глубокая распаковка файлов в PDF и DOCX – Большинство инструментов едва касаются поверхности при анализе документов, но StegoScan.py копает глубже! Он автоматически извлекает встроенные файлы, скрытые внутри PDF, DOCX и других сложных форматов, анализируя их на предмет стеганографических данных. Это устраняет серьёзное слепое пятно — скрытые полезные нагрузки, замаскированные внутри безобидных документов, больше не защищены от обнаружения. Больше никаких пропущенных скрытых файлов — если они там есть, StegoScan их найдёт.
Комбинированный тест инструментов для детального анализа файлов – StegoScan.py — это не просто одноразовый инструмент. Он объединяет несколько методов обнаружения стеганографии в один мощный тест, обеспечивая многослойный и тщательный анализ каждого сканируемого файла. Вместо того чтобы полагаться на один метод обнаружения (который легко обойти), StegoScan перекрёстно проверяет файлы несколькими методами, чтобы максимизировать точность обнаружения.
Автоматизирован и оптимизирован для Linux – Надоело бороться с зависимостями? StegoScan.py работает по принципу «включи и работай». Он автоматически устанавливает всё необходимое, обеспечивая плавный и эффективный процесс сканирования без ручной настройки. Создан для скорости и эффективности, он бесшовно работает на Linux, что делает его идеальным инструментом для специалистов по кибербезопасности, пентестеров и судебных аналитиков.
Веб-скрапинг и загрузка файлов – Автоматизирует извлечение и загрузку файлов определённых типов с URL, IP-адресов и диапазонов IP, обеспечивая крупномасштабный анализ веб-контента.
Извлечение и тестирование локальных каталогов – Сканирует локальные каталоги на наличие стеганографического контента, выявляя скрытые сообщения в хранящихся файлах.
Обработка изображений и стеганографический анализ – Выполняет углублённое стеганографическое тестирование изображений, используя несколько методов обнаружения для выявления скрытых данных.
Извлечение встроенных файлов из PDF и DOCX – Извлекает и анализирует изображения и встроенные файлы из документов PDF и DOCX — критически важный шаг в выявлении глубоко скрытого стеганографического контента.
Инструменты обнаружения стеганографии – Интегрирует stegano, stegdetect и zsteg для многослойного обнаружения скрытых сообщений в файлах изображений.
AI-обнаружение объектов и текста – Улучшает традиционные методы обнаружения с помощью AI-анализа:
YOLOv8 для высокоточного обнаружения объектов, идентификации встроенных изображений и символов.
TrOCR для продвинутого распознавания текста, извлечения текста из рукописных, стилизованных или искажённых шрифтов с повышенной точностью по сравнению со стандартными инструментами OCR.
Базовый анализ вредоносного ПО и ELF-файлов – Выполняет предварительный анализ безопасности ELF-бинарных файлов и других исполняемых файлов, помогая выявить потенциальные угрозы вредоносного ПО.
Анализ аудио- и бинарных файлов – Анализирует файлы WAV и MP3 на предмет скрытых стеганографических данных, включая сообщения, встроенные в спектрограммы или неслышимые частотные диапазоны.
Извлечение структуры бинарных файлов – Использует Binwalk для извлечения и проверки скрытых файлов, прошивок и встроенных данных внутри бинарных файлов.
Поддержка многопоточности – Оптимизирован для производительности, обеспечивая быстрое и эффективное сканирование больших наборов данных, что делает его идеальным для криминалистических расследований и крупномасштабных приложений кибербезопасности.
(Под некоторыми тестами находятся примеры файлов, использовавшиеся для тестирования инструмента, наглядно показывающие, что обнаружит тест и насколько незаметными могут быть файлы на коммуникационных сайтах)
Неизменённое изображение слева, "hello world", встроенное в изображение справа
Целостность изображения – Использует импорт Python Pillow для проверки целостности файлов PNG и JPG.
Hist – Использует импорт Python Matplotlib для генерации гистограмм, показывающих распределение значений RGB-цветов для файлов PNG и JPG.
Обнаружение объектов – Использует YOLOv8 и TrOCR для тестирования каждого слоя PNG- и JPG-файлов путём итеративного удаления младших битов и тестирования только красного, зелёного и синего фильтров на изображении.
Скрытое изображение кота, скрытое в младших битах, обнаруженное с помощью YOLOv8 [2]
Jpeg – Использует инструмент командной строки Linux Stegdetect для проверки JPG-файлов на наличие скрытых данных, встроенных в изображения с помощью таких методов, как jSteg, jphide, Outguess, F5 (анализ заголовков), invisible secrets, appendX и camouflage.
Png – Использует инструмент командной строки Linux Zsteg для проверки PNG на обнаружение LSB-стеганографии, проверку различных цветовых каналов (R, G, B, A) и их битовых плоскостей, обнаружение распространённых методов кодирования, используемых для сокрытия данных в изображениях, извлечение полезных данных, текстовых и ASCII-сообщений, а также анализ энтропии.
Неизменённое изображение слева, в правое изображение "встроена первая глава «Охоты на Снарка»" [1]
Целостность аудио – Использует импорт Python Wave для проверки целостности файлов MP3 и WAV.
Аудиообнаружение – Использует импорт Python Librosa для генерации спектрограмм аудиофайлов MP3 и WAV, которые затем обрабатываются через YOLOv8 и TrOCR для проверки на наличие изображений или сообщений, скрытых в отображении частотных значений файла за время его длительности.
[Прослушать аудио](https://github.com/LCBOWER33/StegoScan/blob/main/images/Drawing_of_the_word_Wikipedia.wav)
Скрытое текстовое сообщение внутри аудиофайла, обнаруженное с помощью TrOCR [2]
Binary – Использует инструмент командной строки Linux Binwalk для проверки бинарных файлов на наличие встроенных файлов и данных, идентификации известных сигнатур файлов внутри бинарника (например, ZIP, PNG, ELF и т.д.), обнаружения компонентов прошивки внутри бинарного образа, сжатых и зашифрованных данных, нахождения сжатых данных (например, LZMA, GZIP, BZIP2) внутри файлов, пометки зашифрованных или обфусцированных данных, сигнатур файловых систем, распознавания встроенных файловых систем (например, SquashFS, JFFS2, EXT, FAT), обнаружения скомпилированных исполняемых файлов (ELF, PE, Mach-O), идентификации загрузчиков и компонентов прошивки, а также анализа энтропии.
Прoверка ELF – Использует YARA-правила, магические байты, команду Linux file и анализ энтропии для проверки всех файлов на наличие встроенного вредоносного ПО.
-u, --url : Базовый URL(ы), IP-адрес(а) или диапазон(ы) IP для сбора файлов.
-t, --types : Список расширений файлов через запятую для загрузки (* для всех файлов).
-n, --num : Количество файлов для загрузки.
-o, --output : Выходной каталог.
-m, --mode : Режим тестирования для указания конкретных тестов (например, lsb,hist) или "all" для всех тестов.
-l, --local : Путь к локальному файлу или каталогу для анализа.
sudo python StegoScan.py -u "https://example.com" -t "*" -o "downloads" -m "all"
sudo python StegoScan.py -u "https://example.com" -t "jpg,png" -n 5 -o "downloads" -m "all"
sudo python StegoScan.py -l "path/to/local/files" -t "*" -o "downloads" -m "lsb,hist,png"
Хотя GUI всё ещё находится в разработке по интеграции в полную систему, вот текущая версия:
Все собранные файлы будут сохранены в выходном каталоге, указанном при выполнении.
Автоматически создаёт и устанавливает новое окружение для всех необходимых импортов Python.
Скрипт автоматически устанавливает poppler-utils, stegdetect, binwalk и zsteg.
Если обнаружен CUDA-совместимый GPU, используется ускорение GPU.
Расширить тест, включив Exiftool, StegSeek, StegExpose, OutGuess, StegoRAT, StegoSuite и WavSteg.
Расширить анализ вредоносного ПО с помощью дополнительных YARA-правил.
Улучшить обнаружение объектов с помощью продвинутых методов обработки изображений.
Стеганография — практика сокрытия сообщений внутри других, не вызывающих подозрений данных — заметно активизировалась в преступной деятельности. Развитие цифровых технологий позволило злоумышленникам встраивать незаконную информацию в, казалось бы, безобидные файлы, такие как изображения, аудио или видео. Например, поступали сообщения о том, что террористические организации использовали стеганографию для сокрытия инструкций внутри цифровых фотографий, размещённых в интернете. Кроме того, распространение голосовой связи через интернет-протокол (VoIP) привело к разработке методов, скрывающих данные внутри голосовых потоков, что делает обнаружение ещё более сложным.
В сфере общедоступных медиа стеганография также дала о себе знать. Помимо злонамеренного использования, она применяется и для законных целей, таких как цифровые водяные знаки, когда информация об авторских правах незаметно встраивается в медиафайлы для защиты прав интеллектуальной собственности. Этот метод позволяет создателям контента отслеживать распространение своих работ и бороться с несанкционированным использованием. Кроме того, появилась концепция социальной стеганографии, когда люди скрывают сообщения внутри культурных отсылок, идиом или контента поп-культуры, публикуемого в открытом доступе, делая скрытые сообщения видимыми только для определённой аудитории.
Учитывая растущее использование стеганографии в киберпреступности, терроризме и скрытых коммуникациях, крайне важно разрабатывать инструменты, способные сканировать веб-сайты на наличие этих скрытых сообщений. Преступники и злоумышленники используют цифровую стеганографию для тайного обмена данными, такими как украденные учётные данные, команды вредоносного ПО или незаконные инструкции, избегая обнаружения традиционными мерами кибербезопасности. Без возможности сканировать и анализировать веб-контент на наличие встроенных сообщений правоохранительные органы и агентства безопасности могут столкнуться с трудностями в отслеживании незаконной деятельности, что приведёт к потенциальным угрозам национальной безопасности, финансовым системам и личной конфиденциальности. Кроме того, с ростом дезинформации и скрытых кампаний влияния стеганографические методы могут быть использованы для распространения скрытой пропаганды или координации усилий по дезинформации. Внедрение механизмов сканирования поможет выявить и снизить эти риски, соблюдая баланс с вопросами конфиденциальности, гарантируя, что стеганография не будет использоваться в преступных целях.
[1] Detecting Steganographic Content on the Internet. 2002 paper by Niels Provos and Peter Honeyman published in Proceedings of the Network and Distributed System Security Symposium (San Diego, CA, 6–8 February 2002). NDSS 2002. Internet Society, Washington, D.C.
[2] «Steganography», Wikipedia, https://en.wikipedia.org/wiki/Steganography (дата обращения: 27 января 2025 г.).
Этот проект является открытым и доступен по лицензии MIT.
