Esteganografía

Según Wikipedia:

La esteganografía trata el estudio y aplicación de técnicas que permiten ocultar mensajes u objetos, dentro de otros, llamados portadores, para que no se perciba su existencia. Es decir, se procura ocultar mensajes dentro de otros objetos y de esta forma establecer un canal encubierto de comunicación, de modo que el propio acto de la comunicación pase inadvertido para observadores que tienen acceso a ese canal.

Básicos

#

Strings

#

La más básica de todas, permite buscar datos en el documento que puedan interpretarse como strings representables en varias codificaciones (ASCII, UTF16, UTF32, etc.). Si un archivo tiene strings estáticas dentro, el programa las detectará.

Por defecto, strings busca cadenas en ASCII. Un script básico que automatiza el buscarlas también en otras codificaciones puede ser este:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55

#!/bin/bash

filename="$1"
if [ -z "$filename" ]; then
	echo "--- Strings Custom ---"
	echo "Uso: $0 [file]"
	exit 1
fi
if [ ! -f "$filename" ]; then
	echo "El archivo \"$filename\" no existe."
	exit 2
fi

MSB=$(file "$filename" | grep "MSB") #Si MSB está vacío -> El programa usa little endian
ascii=$(strings "$filename")
sevenbit=$(strings -e s "$filename")
sevenbit_filtered=$(grep -vxF -f <(printf '%s\n' "$ascii") <(printf '%s\n' "$sevenbit"))

# Determinar qué hacer en función de endianness
if [ -z "$MSB" ]; then
	echo "El programa $filename está en Little Endian"
	utf16=$(strings -e l "$filename")
       	utf32=$(strings -e L "$filename")
else
	echo "El programa $filename está en Big Endian"
	utf16=$(strings -e b "$filename")
	utf32=$(strings -e B "$filename")
fi

#Mostrar resultados
if [ ! -z "$ascii" ]; then
	echo "------------------------------------"
	echo "STRINGS EN ASCII"
	echo "------------------------------------"
	echo "$ascii"
fi
if [ ! -z "$sevenbit_filtered" ]; then
        echo "------------------------------------"
        echo "STRINGS EN 7-BIT (Sin repetir de ASCII)"
        echo "------------------------------------"
        echo "$sevenbit_filtered"
fi
if [ ! -z "$utf16" ]; then
        echo "------------------------------------"
        echo "STRINGS EN UTF16" 
        echo "------------------------------------"
	echo "$utf16"
fi
if [ ! -z "$utf32" ]; then
        echo "------------------------------------"
        echo "STRINGS EN UTF32" 
        echo "------------------------------------"
	echo "$utf32"
fi
echo "------------------------------------"

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12

$ strings IMAG0006.jpg | grep -i --context=5 SECRETO
...[SNIP]...
K"~I
3fRH`
nB4'
Ru[q5
TEXTO_SECRETO_:)
T!Nr
)p\.B
Zx~X
YKl!
bc-me

File

#

Otra de las básicas, permite simplemente ver el tipo de archivo.

1
2

$ file IMAG0006.jpg          
IMAG0006.jpg: JPEG image data, JFIF standard 1.01, aspect ratio, density 1x1, segment length 16, progressive, precision 8, 1920x1279, components 3

Binwalk

#

Va mirando los bytes del archivo de uno en uno buscando Magic Bytes (firmas de archivos). Si detecta que hay una firma de archivo específico dentro de otro archivo, avisa y marca en qué dirección está.

1
2
3
4
5

# Ver si hay archivos dentro. Si solo aparece el tipo de archivo del archivo "externo", no hay nada raro.
$ binwalk [ARCHIVO]

# Para extraer el archivo si aparece alguno dentro.
$ binwalk -e [ARCHIVO]

Inserción y extracción

#

Steghide (JPEG,BMP,WAV)

#

La herramienta de esteganografía más habitual. Si hay algún archivo .jpg o .wav y se sospecha que hay algo dentro oculto con contraseña, es la herramienta adecuada.

• Soporta JPEG, BMP, WAV y AU.

Para esconder un archivo no sobrescribe directamente el LSB de cada píxel como otras herramientas básicas de esteganografía sino que intercambia píxeles o muestras de audio que tienen valores casi idénticos. Modifica ligeramente la distribución estadística de la imagen, un análisis podría detectar que hay algo escondido aunque no pueda descifrarlo.

Para ocultar datos (pide contraseña luego y cifra con AES el secreto):

1

$ steghide embed -ef secreto.txt -cf imagen_original.jpg -sf imagen_final_portadora.jpg

Para sacar datos:

1

$ steghide extract -sf imagen_final_portadora.jpg

Siempre pide contraseña para descifrar porque de primeras no sabe si hay algo escondido o no. Recomendable probar primero con una contraseña vacía, si no funciona buscarla de alguna manera o sacarla a fuerza bruta con Stegseek.

Stegseek (Bruteforcing)

#

Programa para sacar la contraseña de un archivo oculto cifrado con Steghide a fuerza bruta. Soporta los mismos tipos de archivo que Steghide.

Para intentar crackear una contraseña:

1

$ stegseek IMAG0006.jpg /usr/share/wordlists/rockyou.txt

Si no encuentra la contraseña, puede ser porque no esté en la wordlist o porque realmente no haya nada escondido en el archivo.

Outguess (JPEG)

#

Otra herramienta como Steghide pero que usa un algoritmo diferente que le permite mantener las estadísticas de la imagen exactamente igual para evadir la detección mediante análisis. Fue usada en los puzzles de Cicada 3301.

En imágenes normales existe una correlación espacial alta entre píxeles vecinos (p.ej, una pared entera del mismo color). Cuando Outguess mete un bit oculto, modifica un coeficiente, y para mantener el histograma igual, busca otro pixel al azar y lo cambia en sentido inverso. Esto significa que se rompe la correlación local entre píxeles, y aunque herramientas con algoritmos clásicos no le pillen porque la distribución sigue igual, otras herramientas más avanzadas como Aletheia sí pueden detectarlo.

• Soporta JPEG

Ocultar datos:

1

$ outguess -k "PASSWORD" -d secreto.txt imagen.jpg imagen_con_archivo.jpg

Extraer datos sin contraseña:

1
2

$ outguess -r imagen_con_archivo.jpg output.txt
# Si el archivo escondido en realidad usaba contraseña, simplemente soltará datos binarios sin sentido.

Extraer datos con contraseña:

1

$ outguess -k "PASSWORD" -r imagen_con_archivo.jpg output.txt

Detección

#

Hay varios métodos para intentar detectar anomalías en archivos y poder centrar las sospechas en algunos de ellos.

Ejemplo: Test Chi-Cuadrado

#

Por ejemplo, uno de los análisis que funcionan bien en archivos escondidos mediante la técnica de LSB en imágenes es el test de bondad de ajuste Chi-Cuadrado (\(\chi^2\)) de Pearson. Este test permite ver si, dada una muestra de datos, dichos datos se ajustan adecuadamente en frecuencia a los esperados que tendría la distribución estadística teórica con la que se les compara.

En una imagen digital normal (sin alterar), la frecuencia de un color oscuro (p.ej, valor de píxel 20) y de su siguiente inmediato (valor de píxel 21) suele ser bastante asimétrica. Uno puede aparecer 600 veces y el otro 30. Esto significa que el LSB suele tener un bit ganador (0 o 1) muy marcado.

Si alguien inyecta archivos en esos píxeles, los bits del archivo se meten en los bits menos significativos de la imagen (LSB), y, al haber tantos, tienden a terminar igualándose, la distribución se acerca a un 50/50.

El test de bondad de ajuste en este caso compara la frecuencia observada con la frecuencia esperada si el archivo tuviera datos ocultos. Si el p-valor resultante es alto de forma sostenida a lo largo de todo el archivo, es casi seguro que hay datos ocultos.

Ahora bien, este método solo funciona bien contra algoritmos LSB en formatos sin pérdida (PNG o BMP).

Zsteg (PNG, BMP)

#

Detección de esteganografía en archivos sin pérdida. Ejecuta algoritmos estadísticos de forma automática, incluido el Chi-Cuadrado.

Para analizar con todos los métodos disponibles (-a):

1

zsteg -a filename.png imagen_sospechosa.png

Aletheia (ML)

#

Framework de código abierto. Usa modelos estadísticos y además machine learning con modelos disponibles para descargar para poder detectar esteganografía en cualquier tipo de archivo. Más info aquí.

Puede detectar imágenes con datos ocultos generados con Outguess.

Para buscar información en un archivo:

1

./aletheia.py auto imagen.jpg

Una herramienta para ocultar datos mediante esteganografía, del mismo autor, y que busca ser resistente incluso a Aletheia es HStego.