Инструменты для поиска стеганографии

В данном разделе будет приведено несколько примеров доступного в настоящее время программного обеспечения, которое может обнатужить присутствие программ стеганографии, обнаружить подозрительные файлы-контейнеры, и разрушить сообщения, скрытые при помощи стеганографии. Сайт StegoArchive.com содержит список многих программ стегоанализа

Обнаружение стеганографического программного обеспечения на исследуемом компьютере является важной частью последующего судебного анализа. Как показывает практика, многие программы для поиска стеганографии работают лучше, когда есть ключевая информация относительно типа использованных стеганографических алгоритмов. Обнаружение стеганографического программного обеспечения на компьютере даёт повод подозревать, что на исследуемом компьютере фактически имеются стеганографические файлы со скрытыми сообщениями. Кроме того, тип найденного стеганографического программного обеспечения непосредственно влияет на любой последующий стегоанализ ( например, наличие на анализируемом носителе программы S-Tools может указать на необходимость исследовать, на содержание стеганографических данных, файлы форматов GIF, BMP и WAV, тогда как программа JP Hide-&-Seek может побудить аналитика более пристальнее осмотреть JPEG-файлы).

Программное обеспечение Gargoyle ( ранее StegoDetect) компании WetStone Technologies может использоваться для обнаружения присутствия стеганографического программного обеспечения. Программа Gargoyle применяет собственный набор данных ( или хэш набор) всех файлов в известном стеганографическом программном обеспечении, сравнивая их с хэшами файлов, подлежащих поиску. Рис. 10 показывает результаты поиска программы Gargoyle в каталоге, где хранились стеганографические программы. Базы хэшей программы Gargoyle также могут использоваться для обнаружения присутствия криптографических программ, программ мгновенной передачи сообщений, клавиатурных шпионов, троянських программ, программ взлома пароля, и другого вредоносного программного обеспечения.

Рис. 10. Результаты поиска программы Gargoyle в одном из каталогов на НЖМД.

Программа Forensic Toolkit компании AccessData и программа EnCase компании Guidance Software может использовать наборы хэшей программ HashKeeper, Maresware и Национальной справочной библиотеки программного обеспечения (National Software Reference Library) для поиска большого разнообразия программ. В общем, их наборы хэшей предназначены исключить хэш известных «хороших» файлов из индексов поиска в течение судебного анализа. Программа Gargoyle также может импортировать эти наборы хэшей.

Обнаружение стеганографического программного обеспечения продолжает становиться более трудным процессом по ещё одной причине - небольшой раз мер программного обеспечения вместе с увеличивающейся емкостью сменных носителей.

Например, программа S-Tools требуют менее 600 Кб дискового пространства, и может выполняться непосредственно, без дополнительной установки, с накопителя на гибких магнитных дисках или USB- накопителя. При данных обстоятельствах, на НЖМД подозреваемого не будет найдено никаких артифактов этой программы.

Вторая важная функция программного обеспечения для обнаружения стеганографии – найти возможные файлы-контейнеры. В идеале, программное обеспечение для детектирования стеганографии также должно предоставлять некоторые ключи относительно стеганографического алгоритма, который использовался для скрытия информации в исследуемом файле, чтобы аналитик мог попытаться восстановить скрытую информацию.

Одна из самых распространённых программ для детектирования – программа stegdetect Нильса Провоса (Niels Provos). Программа stegdetect может детектировать информацию в изображениях формата JPEG, закодированную такими стеганографическими методами как: F5, Invisible Secrets , JPHide и JSteg. Рис. 11 показывает результаты из xsteg, графического интерфейса для программы stegdetect, при исследовании двух файлов на НЖМД – оригінального контейнера и графического файла, в формате JPEG содержащего стеганографические данные, показанного на Рис. 8. Обратите внимание, что стеганографический файл не только помечен как содержащий скрытую информацию, но программа также предполагает (правильно) используемый стеганографический метод - JPHide.

Рис. 11. Результаты из Xsteg при экспертизе двух исследуемых JPEG –файлов.

Программа Stego Watch компании WetStone Technologies анализирует файлы и даёт вероятностный ответ относительно того, какие из них являются стеганографическими носителями, а также, указывает вероятный алгоритм, использованный для скрытия стеганографических данных ( который, в свою очередь, предоставляет сведения о наиболее вероятностных методах для извлечения стеганографических данных). Анализ использует разнообразные выбираемые пользователем статистические тесты, основанные на характеристиках файлов-контейнеров, которые могли быть изменены различными стеганографическими методами.

Знание о наличии стеганографического программного обеспечения находящегося на исследуемом компьютере поможет аналитику выбрать наиболее подходящие статистические тесты.

Рис. 12 показывает результаты программы Stego Watch после исследования файла-контейнера в формате JPEG, показанного на Иллюстрации 8. Секция «Алгоритмы обнаружения стеганографии» (“ Steganography Detection Algorithms”) показывает статистические алгоритмы, используемые для анализа и те, которые дали положительные результаты для этого изображения. Как указано выше, программа Stego Watch правильно распознаёт стеганографическое программное обеспечение для работы с форматом JPEG, которое было использовано для сокрытия данных.

Рис. 12. Информация из программы Stego Watch о JPEG-файле, который, как подозревается, является стеганографическим контейнером.

Обнаружение стеганографии в файле, который, как подозревается, содержит её – относительно легко по сравнению с извлечением скрытых данных. Большая часть стеганографического программного обеспечения использует пароли для обеспечения секретности, рандомизацию и/или шифрование. Stegbreak, программа сопутствующая приложению stegdetect, использует для дешифрации скрытых данных, зашифрованных алгоритмами JSteg-Shell, JPHide и OutGuess, метод подбора по словарю, но, опять же, она применима только к JPEG- файлам. Подобно ей, программа Stego Break, сопутствующая программе Stego Watch компании WetStone, использует метод восстановление пароля исследуемых файлов по словарю.

Схемы обнаружения стеганографии не помогают непосредственно в восстановлении пароля. Процесс обнаружения соответствующих ключей – вот, где начинает действовать остальная часть судебных исследователей и экспертов.

Работая с уликами криминального дела, у судебного эксперта, вероятно, не будет никакой причины изменять какие-нибудь исследуемые файлы. Однако, при исследовании, которое является составной частью наблюдения за террористами, возможно, будет необходимо разрушить скрытую информацию, даже если её нельзя восстановить. Скрытое содержание, такое как стеганографические и цифровые водяные знаки, может быть атаковано несколькими способами, чтобы его можно быть удалить или изменить, и существует программное обеспечение, специально предназначенное для атаки на цифровые водяные знаки. Такие атаки имеют один из двух возможных эффектов - они либо уменьшают стеганографическую пропускную способность контейнера ( необходимую для избежания атаки) или полностью блокируют способность контейнера служить стеганографическим носителем.

Рассмотрим пример разрушения файлов содержащих стеганографические данные. Программа 2Mosaic Фабьена Петиткола (Fabien Petitcolas) использует так называемую «презентационную атаку», направленную прежде всего на изображения на веб-сайте. Программа 2Mosaic атакует систему создания цифрових водяных знаков, разбивая изображение на меньшие части изображения. На веб-сайте, несколько маленьких изображений располагаются друг за другом и выглядят так же, как и оригинальное большое изображение.

Рис. 13. Часть JPEG-изображения, созданного программой 2Mosaic, со скрытой картой аэропорта.

Рис. 13 показывает пример работы программы 2Mosaic с JPEG- изображением показанном на Рис. 8. В этом случае, файл-контейнер разбит на 165 частей, как показано выше (11 рядов по 15 частей исходного изображения). Метод программы 2Mosaic очевиден при использовании. Человек, который будет просматривать измененное изображение, немедленно узнает, что здесь что-то не в порядке.

Задание.

Сокрытие (размещение, внедрение)  текста в звуковом и графическом контейнере и его извлечение (программы S-Tools, Hermetic Stego)

1.Скрыть заданный текст в звуковом и графическом файлах (программа S-Tools). Текст рекомендуется набирать в текстовом редакторе Notepad (Блокнот). Пароль и метод шифрования нужно выбрать самостоятельно. Зашифрованный файл (начиненный контейнер) следует сохранить в собственной  папке.

В отчете необходимо привести максимально допустимый объем скрываемой информации в данных звуковом и графическом файлах, описать порядок сокрытия текстового файла в звуковом и графическом контейнере с помощью программы S-Tools, а также указать выбранный алгоритм шифрования и пароль.

2. Выполнить обратное преобразование, то есть извлечь скрытый текст из звукового и графического файла (начиненного контейнера) (программы S-Tools, Hermetic Stego). Извлеченный файл следует сохранить в своей папке. В отчете привести полученный текст, а также описать порядок извлечения скрытого текста из начиненного контейнера и сравнить программы, которые использовались для извлечения данных.

3. Самостоятельно найти программы для сокрытия и извлечения данных, привести пример работы и их описание в отчете.