Rosnące zagrożenie steganografii opartej na sieci

W 2011 roku badacze z Laboratorium Kryptografii i Bezpieczeństwa Systemu w Budapeszcie na Węgrzech odkryli niezwykłą formę złośliwego oprogramowania. Szkodnik ten osadza się w komputerach z systemem Microsoft Windows, gromadzi informacje w szczególności o przemysłowych systemach sterowania, a następnie przesyła je przez Internet do swojego centrum dowodzenia i kontroli. Po 36 dniach złośliwe oprogramowanie automatycznie usuwa się, co sprawia, że ​​jest szczególnie trudne do znalezienia.

Nazwali to złośliwym oprogramowaniem Duqu ponieważ tworzy pliki z prefiksem ~DQ.

Oprogramowanie było niezwykłe pod wieloma względami. Po pierwsze, analitycy bezpieczeństwa zauważyli, że Duqu jest niezwykle podobny do szkodliwego oprogramowania Stuxnet, które rzekomo zostało opracowane przez amerykańskie i izraelskie zespoły ds. cyberwojny w celu ataku na potencjał nuklearny Iranu. Jeden z zespołów ds. bezpieczeństwa powiedział, że jest prawie identyczny jak Stuxnet, ale ma zupełnie inny cel, polegający na gromadzeniu informacji, a nie atakowaniu.

Najbardziej intrygujący jest jednak sposób, w jaki Duqu przekazuje informacje z powrotem do swojego centrum kontroli. Najpierw szyfruje te informacje, a następnie osadza je w pliku JPEG, dzięki czemu wygląda jak niewinny obraz, co jest praktyką znaną jako steganografia. Podczas gdy szyfrowanie chroni informacje, steganografia przede wszystkim ukrywa istnienie wiadomości.

Naukowcy wciąż badają Duqu, aby dokładnie określić jego cel i zrozumieć, kto go stworzył. Jednak fakt, że to złośliwe oprogramowanie wykorzystuje steganografię do wysyłania informacji przez Internet, jest częścią niepokojącego trendu. W 2008 roku Departament Sprawiedliwości USA padł ofiarą steganografii, gdy poufne dane finansowe rzekomo wyciekły ukryte w obrazach JPEG. W 2002 roku odkryto, że grupa zajmująca się pornografią dziecięcą wymienia informacje za pomocą steganografii. Wiadomo też, że rosyjska siatka szpiegowska odkryta w Nowym Jorku wykorzystywała steganografię do wysyłania informacji z powrotem do swoich właścicieli.

Rodzi to szereg ważnych pytań. Jak szeroko rozpowszechniona jest steganografia internetowa, jakie techniki wykorzystuje i jak można z nią walczyć?

Dziś otrzymujemy częściową odpowiedź dzięki pracy Steffena Wendzela z grupy badawczej ds. cyberobrony w Instytucie Komunikacji, Przetwarzania Informacji i Ergonomii im. Fraunhofera w Bonn w Niemczech oraz kilku przyjaciołom. Ci goście przedstawiają ogólny zarys sposobu, w jaki złośliwe oprogramowanie ukrywa tajne informacje w zwykłych transmisjach sieciowych i pokazują, że liczba różnych metod dramatycznie wzrosła w ostatnich latach.

Ich szczególny nacisk kładziony jest na steganografię sieciową – ukrywanie informacji w zwykłych transmisjach sieciowych, a nie na pamięciach USB lub w fizycznych obrazach i tak dalej. Wskazują, że ta steganografia sieciowa jest szczególnie atrakcyjna, ponieważ co do zasady nie ma ograniczeń co do ilości informacji, które można przesłać, w przeciwieństwie na przykład do pamięci USB.

Co więcej, możliwości ukrycia informacji w transmisjach sieciowych rosną w szybkim tempie. W szczególności wiele podejść jest ukierunkowanych na programy telefonii IP, takie jak Skype, które w ostatnich latach stają się coraz bardziej popularne.

W przeszłości steganografowie sieciowi wykorzystywali protokoły TCP/IP, które miały nagłówki zawierające informacje do routingu danych w Internecie. Te nagłówki mają również nieużywane pola, których można użyć do stosunkowo łatwego przenoszenia ukrytych informacji.

Wendzel i spółka twierdzą, że w ostatnich latach punkt ciężkości ataku zmienił się w kierunku aplikacji i usług wyższych warstw, takich jak Skype, Bit Torrent i wyszukiwarka Google, a także w kierunku nowych środowisk sieciowych, takich jak przetwarzanie w chmurze. Ostatnio doświadczyliśmy zmiany w wyborze ukrytych nośników danych, mówią.

Na przykład jedno podejście zwane steganografią transkodowania lub TranSteg polega na kompresowaniu danych mowy tak, aby zajmowały mniej miejsca i wykorzystywaniu zwolnionej przestrzeni do przenoszenia ukrytych danych.

Innym atakiem na dane mowy jest identyfikacja pakietów danych związanych z ciszą między słowami. Można je następnie zapakować z ukrytymi danymi.

Alternatywnym podejściem jest atakowanie wyszukiwarek Google, które wyświetlają listę 10 najpopularniejszych powiązanych wyszukiwanych fraz podczas wpisywania przez użytkownika. Jeden atak przechwytuje sugestie z serwerów Google i dodaje unikalne słowo na końcu każdej z 10 sugerowanych fraz. Odbiorca po prostu wyodrębnia te dodane słowa i konwertuje je na wiadomość przy użyciu wcześniej udostępnionej tabeli wyszukiwania.

Być może najbardziej niepokojącym trendem są rosnące możliwości smartfonów, które dziś mają możliwości dostępne tylko na komputerach stacjonarnych i laptopach w niedalekiej przeszłości. Smartfony oferują wachlarz możliwości steganograficznych ze względu na ich zdolność do nagrywania i wysyłania audio, wideo, zdjęć, a także różnego rodzaju plików tekstowych. Co więcej, są oczywiście mobilne i mogą automatycznie łączyć się z różnymi sieciami.

Najbardziej przerażające ze wszystkich, te urządzenia są wyjątkowo wrażliwe. Warstwy bezpieczeństwa stosowane w mobilnych systemach operacyjnych okazują się ledwo wystarczające, mówią Wendzel i spółka.

Jedna z form złośliwego oprogramowania o nazwie SoundComber przechwytuje dane osobowe, takie jak cyfry wprowadzane do klawiatury smartfona podczas połączenia telefonicznego, a następnie przesyła je przy użyciu dowolnej z wielu różnych metod, takich jak predefiniowane wzorce wibracji, poprzez zmiany poziomu głośności dzwonka, blokując i odblokowując ekran itd.

Wszystko to stanowi poważne zagrożenie. Pozostało ponad sto technik, które przesyłają tajne dane za pomocą metainformacji, takich jak elementy nagłówka lub czas pakietów sieciowych, powiedzmy Wendzel i spółka.

Problem polega oczywiście na dostrzeżeniu komputerów zainfekowanych złośliwym oprogramowaniem steganograficznym albo poprzez bezpośrednie wyszukiwanie samego złośliwego oprogramowania, albo poprzez szukanie charakterystycznych oznak steganografii w przesyłanych danych.

Łatwiej powiedzieć niż zrobić. Oprogramowanie chroniące przed złośliwym oprogramowaniem zazwyczaj szuka wstępnie zdefiniowanego zestawu plików, o których wiadomo, że są problematyczne. Istnieje również oprogramowanie, które oferuje ochronę przed wyciekiem danych, która normalizuje nadawany ruch w nadziei, że zapobiegnie to steganografii sieci. Inne systemy wykorzystują uczenie maszynowe do wykrywania charakterystycznych oznak steganografii.

Jednak żadne z tych podejść nie jest idealne ani bliskie. Środki zaradcze nie mogą jednocześnie rozwiązać wszystkich tych dostępnych technik ukrywania ze względu na złożoność i różnorodność protokołów i usług, mówią Wendzel i spółka.

Wskazują, że zanim będzie można zbudować środek zaradczy, który to robi, naukowcy będą musieli wymyślić nowy zestaw podstawowych podejść do przeciwdziałania nowo ewoluującym formom steganografii.

Jedno jest pewne: wykrywanie i zapobieganie steganografii sieci będzie stawało się coraz większym wyzwaniem w miarę rozprzestrzeniania się zagrożenia ze strony złośliwego oprogramowania, takiego jak Duqu. Być ostrzeżonym!

Nr ref.: arxiv.org/abs/1407.2029 : Ukryte i niekontrolowane – o pojawieniu się sieciowych zagrożeń steganograficznych

ukryć