Principais conclusões
- As ameaças baseadas em esteganografia ocultam cargas maliciosas no interior de ficheiros com aspeto normal: imagens, documentos, ficheiros de áudio e muito mais.
- Um estudo da ARES 2024, submetido a revisão por pares, documentou 106 casos de stegomalware e concluiu que o stegomalware conhecido recorre a um conjunto relativamente pequeno de padrões recorrentes e métodos de ocultação.
- A Positive Technologies informou que a campanha SteganoAmor utilizou esteganografia em mais de 320 ataques dirigidos a empresas em 31 países e em vários setores.
- Uma abordagem que privilegia a prevenção elimina o esconderijo antes mesmo de o ficheiro chegar ao utilizador. A tecnologia Deep CDR™ remove blocos de metadados, como o iTXt, e regenera os dados de píxeis durante a reconstrução, eliminando cargas úteis ocultas enquanto a imagem continua a ser apresentada normalmente.
A esteganografia é um vetor de ameaça no mundo real
A esteganografia é a prática de ocultar informação no interior de outro suporte que não suscite suspeitas. Num contexto de ataque moderno, a esteganografia consiste em esconder uma carga maliciosa no interior de um ficheiro comum (uma imagem, um clip de áudio, um documento), de forma a que o suporte pareça e funcione de maneira totalmente normal. O ficheiro é apresentado conforme esperado, passa na validação de formato e não suscita quaisquer indícios de comportamento anómalo. A carga maliciosa está simplesmente lá, à espera, invisível para tudo o que não a procure especificamente.
Existem provas claras de que esta técnica está a ser utilizada ativamente. Um estudo da ARES 2024, submetido a revisão por pares, analisou 106 casos documentados em 133 relatórios de inteligência sobre ameaças e concluiu que o stegomalware conhecido se baseia num conjunto relativamente pequeno de padrões recorrentes e métodos de ocultação. A Positive Technologies também relatou que a campanha SteganoAmor utilizou esteganografia em mais de 320 ataques dirigidos a empresas em 31 países e em vários setores.
Para os responsáveis pelas áreas de TI e segurança, a mensagem é clara: a esteganografia não é uma ameaça teórica. Trata-se de uma técnica prática e comprovada que está a ser utilizada para ocultar cargas maliciosas no interior de ficheiros de aspeto normal enviados por e-mail.
Como funciona, na prática, a esteganografia baseada em imagens
As imagens são um dos formatos de suporte mais frequentemente utilizados de forma abusiva e, ao analisar de perto a forma como os atacantes as utilizam, revelam-se duas técnicas distintas de ocultação que, muitas vezes, são designadas pelo mesmo nome.
A primeira é a esteganografia no sentido estrito: a incorporação de dados nos valores dos píxeis que compõem a própria imagem. O método mais comum é a incorporação por LSB (bit menos significativo). Cada pixel é armazenado como um conjunto de valores numéricos de cor, e o bit de ordem mais baixa de cada valor não contribui praticamente em nada para a forma como essa cor aparece no ecrã. Os atacantes sobrescrevem esses bits com fragmentos de uma carga útil codificada, espalhando-a por milhares ou milhões de píxeis. A diferença visual permanece impercetível ao olho humano, o ficheiro mantém-se totalmente válido e a carga útil reside nos próprios dados da imagem, em vez de num campo separado que um scanner possa destacar para inspeção. A investigação sobre ameaças confirma que esta é a abordagem mais frequentemente documentada na prática, tendo o estudo ARES 2024 concluído que os ficheiros PNG (Portable Network Graphics) e JPG são os suportes multimédia mais frequentemente utilizados para este fim e que a incorporação LSB se encontra entre os métodos de ocultação mais recorrentes.
A segunda técnica oculta dados na estrutura do ficheiro que envolve a imagem. Os formatos de imagem combinam dados obrigatórios, que contêm tudo o que a imagem necessita para ser apresentada, com blocos opcionais de metadados que contêm informações suplementares, tais como nomes de autores, descrições ou avisos de direitos de autor. Os programas de visualização ignoram completamente esses blocos opcionais, pelo que qualquer coisa armazenada nesses blocos não altera a imagem apresentada. Os ficheiros PNG incluem um desses blocos opcionais chamado iTXt, originalmente concebido para metadados de texto, e os atacantes armazenam cargas úteis codificadas nesse local, sabendo que nada no fluxo normal de processamento de ficheiros irá alguma vez ler esses dados. Os investigadores de segurança classificam isto como ocultação de dados estrutural, uma técnica muito semelhante à esteganografia ao nível do pixel, e os relatórios de ameaças costumam agrupar ambas sob a designação de «stegomalware».
O mesmo princípio aplica-se para além das imagens. Os ficheiros de áudio possuem estruturas de metadados que podem conter dados ocultos sem afetar a reprodução. Os ficheiros de vídeo apresentam lacunas semelhantes. Os formatos de documentos podem ocultar dados em campos de metadados, espaços em branco ou estruturas de formatação. O formato de suporte muda, mas a lógica permanece a mesma.
O que todos estes casos têm em comum: o ficheiro portador continua válido, funcional e inalterado, tanto visualmente como auditivamente. Não há nada que uma ferramenta de deteção que procure comportamentos suspeitos possa encontrar, porque não existe qualquer comportamento suspeito.
Num ataque típico por e-mail baseado em esteganografia, a imagem não chega sozinha. Chega acompanhada de um documento malicioso (na maioria das vezes, um ficheiro do Office) que contém uma macro: um pequeno programa incorporado no documento que é executado automaticamente quando o ficheiro é aberto. Essa macro é o executor. Ela recupera a imagem portadora, lê os seus bytes em bruto, extrai a carga útil codificada dos metadados, descodifica-a e executa-a. A imagem em si é um mecanismo de armazenamento que nunca executa nada.
Por que razão os controlos baseados na deteção não detectam a esteganografia
A segurança baseada na deteção assenta numa pergunta simples: isto parece malicioso? Funciona através da análise de ficheiros à procura de assinaturas de ameaças conhecidas, indicadores comportamentais e anomalias estruturais. Quando algo corresponde a um padrão associado a atividade maliciosa, é sinalizado.
A esteganografia foi concebida especificamente para contornar essa questão. O ficheiro portador é estruturalmente válido. É apresentado corretamente. Não contém código executável, nem scripts suspeitos, nem assinaturas de malware reconhecíveis.
Esta não é uma lacuna que uma melhor deteção consiga colmatar. Trata-se de uma incompatibilidade estrutural entre aquilo que as ferramentas de deteção foram concebidas para detetar e aquilo para que a esteganografia foi concebida. A ameaça passa por todas as verificações, não ao contornar o scanner, mas ao não lhe dar nada para detetar.
Como a tecnologia Deep CDR™ impede cargas úteis esteganográficas
A tecnologia Deep CDR™ OPSWAT não procura determinar se um ficheiro é malicioso. Em vez disso, aplica uma abordagem que privilegia a prevenção: desconstruir o ficheiro, remover o conteúdo potencialmente malicioso e reconstruir uma versão limpa e utilizável.
No caso de um ficheiro PNG que contenha dados ocultos no seu bloco iTXt, a tecnologia Deep CDR™ reconstrói o ficheiro sem qualquer conteúdo iTXt. No caso de cargas úteis incorporadas ao nível do pixel, a tecnologia Deep CDR™ regenera os dados da imagem durante a reconstrução, eliminando qualquer carga útil distribuída pelos valores dos pixels, ao mesmo tempo que preserva a qualidade visual. O ficheiro PNG limpo continua a estar em conformidade com as especificações e é apresentado normalmente, com a carga útil oculta eliminada em ambos os casos. Essa é a principal diferença entre deteção e prevenção: a deteção tenta reconhecer a ameaça, enquanto a tecnologia Deep CDR™ remove a superfície de ataque oculta antes de o ficheiro chegar ao utilizador.
Esta abordagem que privilegia a prevenção foi validada pela SE Labs, que reconheceu a tecnologia Deep CDR™ como a primeira solução de CDR de sempre a atingir uma pontuação de 100% em proteção e precisão.
Incorporar a análise de anexos de vulnerabilidades «zero-day» com o MetaDefender™ Aether
A tecnologia Deep CDR™ neutraliza conteúdos ativos e incorporados. No entanto, alguns anexos suspeitos continuam a exigir uma inspeção comportamental mais aprofundada. O MetaDefender™ Aether alargaEmail Security OPSWAT Email Security análise de anexos de dia zero, utilizando sandboxing adaptativo e inteligência de ameaças integrada para revelar comportamentos maliciosos em ficheiros evasivos ou desconhecidos e apresentar um único veredicto fiável para um bloqueio, triagem e resposta mais rápidos. Com uma taxa de deteção de dia zero de 99,9%, o Aether ajuda a colmatar a lacuna residual deixada apenas pela higienização e pela análise múltipla.
Como OPSWAT uma abordagem em várias camadas à Email Security
O MetaDefender™ Email Security oferece deteção e prevenção combinadas através de dois modelos de implementação concebidos para diferentes ambientes.
O MetaDefender™ Email Gateway Security é implementado como software à frente dos servidores de correio existentes, ao nível do SMTP/MX. Aplica a tecnologia Deep CDR™ a mais de 200 tipos de ficheiros, MetaDefender para sandboxing adaptativo e inspeção comportamental mais aprofundada de anexos suspeitos, Multiscanning Metascan™ Multiscanning mais de 30 motores antivírus para uma ampla cobertura de ameaças conhecidas, a tecnologia Proactive DLP™ e o Predictive Alin AI, um motor baseado em IA que prevê, em milésimos de segundo, se um ficheiro contém malware, com uma taxa de falsos positivos de 0,1%.
Email Security MetaDefender™ Cloud Email Security complementa os ambientes do Microsoft 365 e é implementado em poucos minutos, sem que seja necessário alterar os registos MX existentes. Para combater a esteganografia baseada em imagens e outras ameaças veiculadas por ficheiros, aplica a tecnologia Deep CDR™, MetaDefender para a análise de anexos de dia zero e uma inspeção comportamental mais aprofundada de ficheiros suspeitos, o Metascan Multiscanning até 17 motores antivírus e a IA preditiva Alin.
A linha de fundo
As ameaças baseadas em esteganografia constituem uma preocupação concreta para as organizações que dependem do e-mail como principal canal de comunicação. Quando os atacantes conseguem ocultar cargas maliciosas dentro de ficheiros de aspeto normal, as organizações precisam de mais do que apenas a deteção. Uma abordagem que privilegia a prevenção mitiga esse risco, eliminando a superfície de ataque oculta antes mesmo de o ficheiro chegar ao utilizador.
