Cum tehnologia Deep CDR™ previne amenințările bazate pe steganografie încorporate în fișierele imagine

• Amenințările bazate pe steganografie ascund conținuturi dăunătoare în fișiere cu aspect obișnuit: imagini, documente, fișiere audio și altele.
• Un studiu ARES 2024, supus evaluării inter pares, a documentat 106 cazuri de stegomalware și a constatat că programele de acest tip cunoscute se bazează pe un set relativ restrâns de modele recurente și metode de ascundere.
• Compania Positive Technologies a raportat că campania SteganoAmor a utilizat steganografia în peste 320 de atacuri îndreptate împotriva unor companii din 31 de țări și din diverse sectoare.
• O abordare axată pe prevenire elimină ascunzătoarea înainte ca fișierul să ajungă la utilizator. Tehnologia Deep CDR™ extrage blocuri de metadate, precum iTXt, și regenerează datele de pixeli în timpul reconstrucției, eliminând încărcăturile ascunse în timp ce imaginea continuă să se afișeze în mod normal.

Steganografia este practica de a ascunde informații în interiorul unui alt suport care nu trezește suspiciuni. În contextul atacurilor moderne, steganografia înseamnă ascunderea unei încărcături malicioase în interiorul unui fișier obișnuit (o imagine, un clip audio, un document) într-un mod care face ca suportul să arate și să funcționeze în mod complet normal. Fișierul se afișează conform așteptărilor, trece de validarea formatului și nu ridică semnale de alarmă legate de comportament. Încărcătura malicioasă se află pur și simplu acolo, așteptând, invizibilă pentru orice nu o caută în mod specific.

Există dovezi clare că această tehnică este utilizată în mod activ. Un studiu publicat în revista ARES 2024, supus evaluării inter pares, a analizat 106 cazuri documentate din 133 de rapoarte de informații privind amenințările și a constatat că programele de tip stegomalware cunoscute se bazează pe un set relativ restrâns de tipare recurente și metode de ascundere. De asemenea, Positive Technologies a raportat că campania SteganoAmor a utilizat steganografia în peste 320 de atacuri care au vizat companii din 31 de țări și din diverse sectoare.

Pentru responsabilii din domeniul IT și al securității, mesajul este clar: steganografia nu reprezintă o amenințare teoretică. Este o tehnică practică și documentată, utilizată pentru a ascunde încărcături maligne în fișiere cu aspect obișnuit, transmise prin e-mail.

Imaginile reprezintă unul dintre cele mai frecvent utilizate în mod abuziv formate-vectori, iar o analiză atentă a modului în care atacatorii le folosesc relevă două tehnici distincte de ascundere care sunt adesea denumite în același mod.

Prima este steganografia în sens strict: încorporarea datelor în valorile pixelilor care alcătuiesc imaginea însăși. Cea mai comună metodă este încorporarea prin LSB (bitul cel mai puțin semnificativ). Fiecare pixel este stocat ca un set de valori numerice de culoare, iar bitul de ordinul cel mai mic al fiecărei valori nu contribuie aproape deloc la modul în care acea culoare apare pe ecran. Atacatorii suprascrie acești biți cu fragmente dintr-o încărcătură codificată, împrăștiind-o pe mii sau milioane de pixeli. Diferența vizuală rămâne imperceptibilă pentru ochiul uman, fișierul rămâne pe deplin valid, iar încărcătura se află în interiorul datelor imaginii în sine, în loc să fie într-un câmp separat pe care un scaner l-ar putea selecta pentru inspecție. Cercetările privind amenințările confirmă că aceasta este abordarea documentată cel mai des în mediul real, studiul ARES 2024 constatând că fișierele PNG (Portable Network Graphics) și JPG sunt cele mai frecvent utilizate suporturi media, iar încorporarea LSB se numără printre metodele recurente de ascundere.

A doua tehnică ascunde datele în structura fișierului care înconjoară imaginea. Formatele de imagine combină datele obligatorii, care conțin tot ceea ce este necesar pentru redarea imaginii, cu blocuri opționale de metadate ce conțin informații suplimentare, precum numele autorilor, descrieri sau mențiuni privind drepturile de autor. Programele de redare ignoră complet aceste blocuri opționale, astfel încât orice este stocat acolo nu afectează în niciun fel imaginea afișată. Fișierele PNG includ un astfel de bloc opțional numit iTXt, conceput inițial pentru metadate textuale, iar atacatorii stochează acolo încărcături codificate, știind că nimic din fluxul normal de procesare a fișierelor nu va citi vreodată acele date. Cercetătorii în domeniul securității clasifică acest lucru drept ascundere structurală a datelor, o variantă apropiată a steganografiei la nivel de pixeli, iar rapoartele privind amenințările le grupează de obicei pe ambele sub eticheta de „stegomalware”.

Același principiu se aplică și dincolo de imagini. Fișierele audio au structuri de metadate care pot conține date ascunse fără a afecta redarea. Fișierele video prezintă lacune similare. Formatele de documente pot ascunde date în câmpurile de metadate, în spațiile albe sau în structurile de formatare. Formatul purtător se schimbă, dar logica rămâne aceeași.

Ce au toate acestea în comun: fișierul-purtător rămâne valabil, funcțional și neschimbat din punct de vedere vizual sau auditiv. Un instrument de detectare care caută comportamente suspecte nu are ce să găsească, deoarece nu există niciun comportament suspect.

Într-un atac tipic prin e-mail bazat pe steganografie, imaginea nu ajunge singură. Aceasta vine împreună cu un document rău intenționat (cel mai adesea un fișier Office) care conține o macro: un mic program încorporat în document care se execută automat la deschiderea fișierului. Această macro este elementul de execuție. Ea preia imaginea-purtătoare, îi citește octeții neprelucrați, extrage încărcătura codificată din metadate, o decodifică și o execută. Imaginea în sine este un mecanism de stocare care nu execută niciodată nimic.

Securitatea bazată pe detectare se bazează pe o întrebare simplă: pare a fi ceva rău intenționat? Aceasta funcționează prin scanarea fișierelor în căutarea semnăturilor de amenințări cunoscute, a indicatorilor comportamentali și a anomaliilor structurale. Atunci când ceva corespunde unui model asociat cu o activitate rău intenționată, acesta este semnalat.

Steganografia este concepută special pentru a contracara această întrebare. Fișierul-purtător este valid din punct de vedere structural. Se afișează corect. Nu conține cod executabil, nici scripturi suspecte, nici semnături de malware recunoscute.

Nu este vorba de o lacună care ar putea fi remediată prin îmbunătățirea metodelor de detectare. Este vorba de o neconcordanță structurală între ceea ce sunt concepute să identifice instrumentele de detectare și ceea ce reprezintă, de fapt, steganografia. Amenințarea trece de toate verificările nu prin înșelarea scanerului, ci prin faptul că nu îi oferă acestuia nimic de detectat.

Tehnologia Deep CDR™ OPSWAT nu încearcă să stabilească dacă un fișier este dăunător. În schimb, aceasta aplică o abordare axată pe prevenire: deconstruiește fișierul, elimină conținutul potențial dăunător și reconstruiește o versiune curată și funcțională.

În cazul unui fișier PNG care conține date ascunse în blocul iTXt, tehnologia Deep CDR™ reconstruiește fișierul fără niciun conținut iTXt. În cazul încărcăturilor utile încorporate la nivel de pixel, tehnologia Deep CDR™ regenerează datele imaginii în timpul reconstrucției, eliminând orice încărcătură utilă distribuită printre valorile pixelilor, păstrând în același timp calitatea vizuală. Fișierul PNG curățat rămâne conform cu specificațiile și se afișează normal, încărcătura utilă ascunsă fiind eliminată în orice caz. Aceasta este diferența fundamentală dintre detectare și prevenire: detectarea încearcă să recunoască amenințarea, în timp ce tehnologia Deep CDR™ elimină suprafața de atac ascunsă înainte ca fișierul să ajungă la utilizator.

Această abordare axată pe prevenire este validată de SE Labs, care a recunoscut tehnologia Deep CDR™ drept prima soluție CDR din istorie care a obținut un scor de 100% atât la protecție, cât și la precizie.

Tehnologia Deep CDR™ neutralizează conținutul activ și încorporat. Cu toate acestea, unele atașamente suspecte necesită în continuare o inspecție comportamentală mai aprofundată. MetaDefender™ Aether extindeEmail Security OPSWAT Email Security analiza atașamentelor de tip „zero-day”, utilizând tehnologia de izolare adaptivă (sandboxing) și informații integrate privind amenințările pentru a identifica comportamentul rău intenționat din fișierele evazive sau necunoscute și pentru a furniza un singur verdict de încredere, care permite blocarea, trierea și răspunsul mai rapide. Cu o rată de detectare a amenințărilor de tip „zero-day” de 99,9%, Aether contribuie la eliminarea lacunelor reziduale lăsate de sterilizare și scanarea multiplă utilizate separat.

MetaDefender™ Email Security oferă funcții combinate de detectare și prevenire prin intermediul a două modele de implementare concepute pentru medii diferite.

Soluția MetaDefender™ Email Gateway Security se implementează sub formă de software în fața serverelor de e-mail existente, la nivel SMTP/MX. Acesta aplică tehnologia Deep CDR™ pentru peste 200 de tipuri de fișiere, MetaDefender pentru izolare adaptivă în mediu sandbox și inspecție comportamentală aprofundată a atașamentelor suspecte, Metascan™ Multiscanning peste 30 de motoare antivirus pentru o acoperire extinsă a amenințărilor cunoscute, tehnologia Proactive DLP™ și Predictive Alin AI, un motor bazat pe inteligență artificială care prezice în milisecunde dacă un fișier conține malware, cu o rată de fals pozitiv de 0,1%.

Email Security MetaDefender™Email Security completează mediile Microsoft 365 și se implementează în câteva minute, fără a fi necesare modificări ale înregistrărilor MX existente. Pentru a combate steganografia bazată pe imagini și alte amenințări transmise prin fișiere, aceasta utilizează tehnologia Deep CDR™, MetaDefender pentru analiza atașamentelor de tip „zero-day” și o inspecție comportamentală mai aprofundată a fișierelor suspecte, Metascan Multiscanning până la 17 motoare antivirus, precum și inteligența artificială predictivă Alin AI.

Amenințările bazate pe steganografie reprezintă o preocupare concretă pentru organizațiile care utilizează e-mailul ca principal canal de comunicare. Atunci când atacatorii pot ascunde încărcături dăunătoare în fișiere cu aspect obișnuit, organizațiile au nevoie de mai mult decât simpla detectare. O abordare axată pe prevenire atenuează acest risc prin eliminarea suprafeței de atac ascunse înainte ca fișierul să ajungă la utilizator.