In che modo la tecnologia Deep CDR™ previene le minacce basate sulla steganografia nascoste nei file immagine

• Le minacce basate sulla steganografia nascondono payload dannosi all'interno di file dall'aspetto normale: immagini, documenti, file audio e altro ancora.
• Uno studio pubblicato su ARES 2024 e sottoposto a revisione tra pari ha documentato 106 casi di stegomalware e ha rilevato che gli stegomalware noti si basano su un insieme relativamente ristretto di schemi ricorrenti e metodi di occultamento.
• Positive Technologies ha riferito che la campagna SteganoAmor ha utilizzato la steganografia in oltre 320 attacchi rivolti ad aziende di 31 paesi e di diversi settori.
• Un approccio incentrato sulla prevenzione elimina il nascondiglio prima ancora che il file raggiunga l'utente. La tecnologia Deep CDR™ rimuove i blocchi di metadati, come iTXt, e rigenera i dati dei pixel durante la ricostruzione, eliminando i payload nascosti mentre l'immagine continua a essere visualizzata normalmente.

La steganografia è la pratica che consiste nel nascondere informazioni all’interno di un altro supporto che non desti sospetti. Nel contesto degli attacchi moderni, la steganografia consiste nel nascondere un payload dannoso all’interno di un file ordinario (un’immagine, un clip audio, un documento) in modo tale che il supporto appaia e funzioni in modo del tutto normale. Il file viene visualizzato come previsto, supera la convalida del formato e non solleva alcun sospetto dal punto di vista comportamentale. Il payload è semplicemente lì, in attesa, invisibile a chiunque non lo stia cercando specificatamente.

Esistono prove evidenti che questa tecnica sia attualmente in uso. Uno studio pubblicato su ARES 2024 e sottoposto a revisione tra pari ha analizzato 106 casi documentati in 133 rapporti di intelligence sulle minacce, rilevando che lo stegomalware noto si basa su un insieme relativamente ristretto di schemi ricorrenti e metodi di occultamento. Anche Positive Technologies ha segnalato che la campagna SteganoAmor ha utilizzato la steganografia in oltre 320 attacchi rivolti ad aziende in 31 paesi e in diversi settori.

Per i responsabili IT e della sicurezza, il messaggio è chiaro: la steganografia non è una minaccia teorica. Si tratta di una tecnica concreta e documentata, utilizzata per nascondere payload dannosi all’interno di file dall’aspetto normale inviati tramite e-mail.

Le immagini sono uno dei formati vettore più comunemente sfruttati e, osservando attentamente il modo in cui gli autori degli attacchi le utilizzano, emergono due tecniche di occultamento distinte che spesso vengono indicate con lo stesso nome.

Il primo è la steganografia in senso stretto: l’incorporazione di dati all’interno dei valori dei pixel che compongono l’immagine stessa. Il metodo più comune è l’incorporazione LSB (bit meno significativo). Ogni pixel viene memorizzato come un insieme di valori numerici di colore, e il bit di ordine più basso di ciascun valore non contribuisce quasi per nulla all’aspetto di quel colore sullo schermo. Gli autori degli attacchi sovrascrivono quei bit con frammenti di un payload codificato, distribuendolo su migliaia o milioni di pixel. La differenza visiva rimane impercettibile all’occhio umano, il file rimane pienamente valido e il payload risiede all’interno dei dati dell’immagine stessa anziché in un campo separato che uno scanner potrebbe individuare per l’ispezione. Le ricerche sulle minacce confermano che questo è l’approccio documentato più spesso in ambito reale; lo studio ARES 2024 ha rilevato che i file PNG (Portable Network Graphics) e JPG sono i supporti multimediali più frequentemente utilizzati a scopo malevolo e che l’incorporamento LSB è tra i metodi di occultamento ricorrenti.

La seconda tecnica nasconde i dati nella struttura del file che circonda l’immagine. I formati immagine combinano i dati obbligatori, che contengono tutto ciò di cui l’immagine ha bisogno per essere visualizzata, con blocchi di metadati opzionali che contengono informazioni supplementari quali nomi degli autori, descrizioni o note sul copyright. I programmi di visualizzazione ignorano completamente questi blocchi opzionali, quindi qualsiasi cosa vi sia memorizzata non altera in alcun modo l’immagine visualizzata. I file PNG includono uno di questi blocchi opzionali denominato iTXt, originariamente progettato per i metadati testuali, e gli autori degli attacchi vi memorizzano payload codificati sapendo che nessun elemento della normale pipeline di gestione dei file leggerà mai quei dati. I ricercatori di sicurezza classificano questa tecnica come “occultamento strutturale dei dati”, strettamente affine alla steganografia a livello di pixel, e i rapporti sulle minacce in genere raggruppano entrambe sotto l’etichetta di “stegomalware”.

Lo stesso principio va oltre le immagini. I file audio presentano strutture di metadati in grado di contenere dati nascosti senza influire sulla riproduzione. Anche i file video presentano spazi simili. I formati dei documenti possono nascondere dati nei campi dei metadati, negli spazi bianchi o nelle strutture di formattazione. Il formato di supporto cambia, ma la logica rimane la stessa.

Ciò che accomuna tutti questi casi è che il file vettore rimane valido, funzionante e immutato dal punto di vista visivo o acustico. Uno strumento di rilevamento alla ricerca di comportamenti sospetti non ha nulla da individuare, poiché non vi è alcun comportamento sospetto.

In un tipico attacco via e-mail basato sulla steganografia, l’immagine non arriva da sola. Arriva insieme a un documento dannoso (il più delle volte un file di Office) che contiene una macro: un piccolo programma incorporato nel documento che si esegue automaticamente all’apertura del file. Quella macro è l’esecutore. Recupera l’immagine vettore, ne legge i byte grezzi, estrae il payload codificato dai metadati, lo decodifica e lo esegue. L’immagine stessa è un meccanismo di archiviazione che non esegue mai nulla.

La sicurezza basata sul rilevamento si fonda su una semplice domanda: questo sembra dannoso? Funziona analizzando i file alla ricerca di firme di minacce note, indicatori comportamentali e anomalie strutturali. Quando qualcosa corrisponde a un modello associato ad attività dannose, viene segnalato.

La steganografia è stata concepita proprio per eludere tale domanda. Il file vettore è strutturalmente valido. Viene visualizzato correttamente. Non contiene codice eseguibile, né script sospetti, né firme di malware riconoscibili.

Non si tratta di una lacuna che possa essere colmata da sistemi di rilevamento più efficaci. Si tratta piuttosto di un disallineamento strutturale tra ciò che gli strumenti di rilevamento sono progettati per individuare e ciò che la steganografia è concepita per essere. La minaccia supera ogni controllo non eludendo lo scanner, ma non fornendogli nulla da individuare.

La tecnologia Deep CDR™ OPSWAT non cerca di stabilire se un file sia dannoso. Adotta invece un approccio incentrato sulla prevenzione: scompone il file, rimuove i contenuti potenzialmente dannosi e ricostruisce una versione pulita e utilizzabile.

Nel caso di un file PNG che contenga dati nascosti nel proprio chunk iTXt, la tecnologia Deep CDR™ ricostruisce il file eliminando completamente il contenuto iTXt. Per i payload incorporati a livello di pixel, la tecnologia Deep CDR™ rigenera i dati dell’immagine durante la ricostruzione, neutralizzando qualsiasi payload distribuito tra i valori dei pixel e preservando al contempo la qualità visiva. Il file PNG ripulito rimane conforme alle specifiche e viene visualizzato normalmente, con il payload nascosto eliminato in entrambi i casi. Questa è la differenza fondamentale tra rilevamento e prevenzione: il rilevamento cerca di riconoscere la minaccia, mentre la tecnologia Deep CDR™ rimuove la superficie di attacco nascosta prima che il file raggiunga l’utente.

Questo approccio incentrato sulla prevenzione è stato convalidato da SE Labs, che ha riconosciuto la tecnologia Deep CDR™ come la prima soluzione CDR in assoluto a raggiungere un punteggio del 100% in termini di protezione e accuratezza.

La tecnologia Deep CDR™ neutralizza i contenuti attivi e incorporati. Alcuni allegati sospetti, tuttavia, richiedono comunque un’analisi comportamentale più approfondita. MetaDefender™ Aether amplia le funzionalità OPSWAT Email Security l’analisi degli allegati zero-day, utilizzando il sandboxing adattivo e le informazioni integrate sulle minacce per individuare comportamenti dannosi in file evasivi o sconosciuti e fornire un unico verdetto affidabile che consente un blocco, una classificazione e una risposta più rapidi. Con un tasso di rilevamento zero-day del 99,9%, Aether contribuisce a colmare le lacune residue lasciate dalla sola sanificazione e dalla scansione multipla.

MetaDefender™ Email Security offre funzionalità combinate di rilevamento e prevenzione attraverso due modelli di implementazione progettati per ambienti diversi.

MetaDefender™ Email Gateway Security viene implementato come software a monte dei server di posta esistenti a livello SMTP/MX. Applica la tecnologia Deep CDR™ su oltre 200 tipi di file, MetaDefender per il sandboxing adattivo e un’analisi comportamentale più approfondita degli allegati sospetti, Metascan™ Multiscanning oltre 30 motori antivirus per un’ampia copertura delle minacce note, la tecnologia Proactive DLP™ e Predictive Alin AI, un motore basato sull’intelligenza artificiale che prevede in pochi millisecondi se un file contiene malware con un tasso di falsi positivi dello 0,1%.

MetaDefender™ Cloud Email Security potenzia gli ambienti Microsoft 365 e si implementa in pochi minuti, senza richiedere alcuna modifica ai record MX esistenti. Per contrastare la steganografia basata su immagini e altre minacce veicolate dai file, la soluzione utilizza la tecnologia Deep CDR™, MetaDefender per l’analisi degli allegati zero-day e un’ispezione comportamentale più approfondita dei file sospetti, Metascan Multiscanning un massimo di 17 motori antivirus e l’intelligenza artificiale predittiva Alin AI.

Le minacce basate sulla steganografia rappresentano una preoccupazione concreta per le organizzazioni che utilizzano la posta elettronica come canale di comunicazione principale. Quando gli autori degli attacchi riescono a nascondere payload all’interno di file dall’aspetto normale, le organizzazioni non possono limitarsi al solo rilevamento. Un approccio incentrato sulla prevenzione mitiga tale rischio eliminando la superficie di attacco nascosta prima ancora che il file raggiunga l’utente.