Den voksende trussel fra netværksbaseret Steganografi

Tilbage i 2011 opdagede forskere ved Laboratory of Cryptography and System Security i Budapest, Ungarn, en usædvanlig form for ondsindet software. Denne malware indlejrer sig i Microsoft Windows-maskiner, indsamler information især om industrielle kontrolsystemer og sender den derefter over internettet til dets kommando- og kontrolcenter. Efter 36 dage fjerner malwaren automatisk sig selv, hvilket gør den særlig svær at finde.

De kaldte dette malware Duqu fordi den opretter filer med præfikset ~DQ.

Softwaren var usædvanlig på flere måder. For det første bemærkede sikkerhedsforskere, at Duqu har en bemærkelsesværdig lighed med Stuxnet-malwaren, der angiveligt er udviklet af amerikanske og israelske cyberkrigshold til at angribe Irans nukleare kapaciteter. Et sikkerhedshold sagde, at det var næsten identisk med Stuxnet, men med det helt andet formål at indsamle information frem for at angribe.

Det mest spændende er dog måden, hvorpå Duqu sender information tilbage til sit kontrolcenter. Den krypterer først denne information og indlejrer den derefter i en JPEG-fil, så den ligner et uskyldigt billede, en praksis kendt som steganografi. Mens kryptering beskytter information, skjuler steganografi eksistensen af ​​en meddelelse i første omgang.

Forskere studerer stadig Duqu for at finde ud af præcis dens formål og forstå, hvem der har skabt den. Men det faktum, at denne malware bruger steganografi til at sende information over internettet, er en del af en bekymrende tendens. I 2008 var det amerikanske justitsministerium et offer for steganografi, da følsomme finansielle detaljer angiveligt blev lækket skjult inde i JPEG-billeder. I 2002 blev det konstateret, at en børnepornografisk ring udvekslede information ved hjælp af steganografi. Og en russisk spionring opdaget i New York er kendt for at have brugt steganografi til at sende information tilbage til sine mestre.

Det rejser en række vigtige spørgsmål. Hvor udbredt er internetbaseret steganografi, hvilken slags teknikker udnytter den, og hvordan kan den bekæmpes?

I dag får vi et delvist svar takket være Steffen Wendzels arbejde ved cyberforsvarsforskningsgruppen ved Fraunhofer Institute for Communication, Information Processing and Ergonomics i Bonn, Tyskland, og et par venner. Disse fyre giver et overblik over, hvordan malware skjuler hemmelige oplysninger inden for almindelige netværkstransmissioner og viser, at antallet af forskellige metoder er steget dramatisk i de senere år.

Deres særlige fokus er på netværkssteganografi – at skjule information inden for almindelige netværkstransmissioner snarere end på USB-sticks eller i fysiske billeder og så videre. De peger på, at den netværkssteganografi er særligt attraktiv, fordi der i princippet ikke er nogen grænse for mængden af ​​information, der kan sendes, i modsætning til for eksempel på en USB-stick.

Desuden er mulighederne for at skjule information i netværkstransmissioner vokset i et hastigt tempo. Især har en række tilgange rettet sig mod IP-telefoniprogrammer som Skype, der er blevet stadig mere populære i de senere år.

Tidligere har netværkssteganografer udnyttet TCP/IP-protokollerne, som har overskrifter, der indeholder information til at dirigere data rundt på internettet. Disse overskrifter har også ubrugte felter, der relativt nemt kan bruges til at transportere skjult information.

Wendzel og co siger, at fokus for angreb i de senere år har ændret sig mod højere lag applikationer og tjenester såsom Skype, Bit Torrent og Google-søgning og mod nye netværksmiljøer såsom cloud computing. På det seneste har vi oplevet en ændring i valget af skjulte databærere, siger de.

For eksempel er en fremgangsmåde kaldet transcoding steganography eller TranSteg, at komprimere taledata, så de fylder mindre, og at bruge den plads, dette frigør, til at bære skjulte data.

Et andet angreb på taledata er at identificere de datapakker, der er forbundet med stilheden mellem ordene. Disse kan så pakkes med skjulte data.

En alternativ tilgang er at angribe Google-søgninger, som viser en liste over de 10 mest populære relaterede søgesætninger, efterhånden som brugeren skriver. Et angreb opsnapper forslagene fra Googles servere og tilføjer et unikt ord til slutningen af ​​hver af de 10 foreslåede sætninger. Modtageren udtrækker simpelthen disse tilføjede ord og konverterer dem til en besked ved hjælp af en tidligere delt opslagstabel.

Den måske mest bekymrende tendens er den voksende kapacitet af smartphones, som i dag har funktioner, som kun var tilgængelige på stationære og bærbare computere i den seneste tid. Smarttelefoner tilbyder en bred vifte af steganografiske muligheder på grund af deres evne til at optage og sende lyd, video, stillbilleder samt tekstfiler af forskellig art. Hvad mere er, de er naturligvis mobile og kan automatisk oprette forbindelse til en række forskellige netværk.

Mest skræmmende af alt er disse enheder unikt sårbare. Sikkerhedslagene, der bruges i mobile OS'er, viser sig at være knap nok, siger Wendzel og co.

En form for malware kaldet SoundComber fanger personlige data, såsom de cifre, der indtastes i en smartphones tastatur under et telefonopkald, og transmitterer dem derefter ved hjælp af en af ​​en række forskellige metoder, såsom foruddefinerede vibrationsmønstre, ved ændringer i lydstyrkeniveauet. ringetonen, ved at låse og låse skærmen op og så videre.

Alt dette udgør en væsentlig trussel. Der er mere end hundrede teknikker tilbage, der overfører hemmelige data ved hjælp af metainformation, såsom header-elementer eller timingen af ​​netværkspakker, siger Wendzel og co.

Problemet er selvfølgelig at få øje på computere, der er inficeret med steganografisk malware, enten ved direkte at søge efter selve malwaren eller ved at lede efter de afslørende tegn på steganografi i de data, de transmitterer.

Det er lettere sagt end gjort. Anti-malware-software leder generelt efter et foruddefineret sæt filer, der vides at være problematiske. Der er også software, der tilbyder datalækagebeskyttelse, som normaliserer den trafik, der udsendes i håb om, at dette forhindrer netværkssteganografi. Andre systemer bruger maskinlæring til at opdage de afslørende tegn på steganografi.

Men ingen af ​​disse tilgange er perfekte eller i nærheden af ​​det. Modforanstaltninger kan ikke behandle alle disse tilgængelige skjuleteknikker samtidigt på grund af kompleksiteten og mangfoldigheden af ​​protokoller og tjenester, siger Wendzel og co.

De påpeger, at før en modforanstaltning, der gør dette, kan bygges, bliver forskere nødt til at komme med et nyt sæt grundlæggende tilgange til at imødegå de nyligt udviklede former for steganografi.

En ting er sikker: Detektion og forebyggelse af netværkssteganografi vil blive stadig mere udfordrende, efterhånden som truslen fra malware såsom Duqu spreder sig. Vær advaret!

Ref: arxiv.org/abs/1407.2029 : Skjult og ukontrolleret – om fremkomsten af ​​netværkssteganografiske trusler

skjule