La crescente minaccia della steganografia basata sulla rete

Nel 2011, i ricercatori del Laboratorio di crittografia e sicurezza dei sistemi a Budapest, in Ungheria, hanno scoperto una forma insolita di software dannoso. Questo malware si integra nelle macchine Microsoft Windows, raccoglie informazioni in particolare sui sistemi di controllo industriali e le invia tramite Internet al suo centro di comando e controllo. Dopo 36 giorni, il malware si rimuove automaticamente, rendendolo particolarmente difficile da trovare.

Hanno chiamato questo malware Duqu perché crea file con il prefisso ~DQ.

Il software era insolito in molti modi. In primo luogo, i ricercatori della sicurezza hanno notato che Duqu ha una notevole somiglianza con il malware Stuxnet presumibilmente sviluppato da squadre di guerra informatica statunitensi e israeliane per attaccare le capacità nucleari dell'Iran. Un team di sicurezza ha affermato che era quasi identico a Stuxnet ma con lo scopo completamente diverso di raccogliere informazioni piuttosto che attaccare.

La cosa più intrigante, tuttavia, è il modo in cui Duqu trasmette le informazioni al suo centro di controllo. Prima crittografa queste informazioni e poi le incorpora in un file JPEG in modo che assomigli a un'immagine innocente, una pratica nota come steganografia. Mentre la crittografia protegge le informazioni, la steganografia nasconde in primo luogo l'esistenza di un messaggio.

I ricercatori stanno ancora studiando Duqu per capire esattamente il suo scopo e capire chi l'ha creato. Ma il fatto che questo malware utilizzi la steganografia per inviare informazioni su Internet fa parte di una tendenza preoccupante. Nel 2008, il Dipartimento di Giustizia degli Stati Uniti è stato vittima della steganografia quando si presume che dettagli finanziari sensibili siano trapelati nascosti all'interno di immagini JPEG. Nel 2002, è stato scoperto che un anello di pedopornografia scambiava informazioni utilizzando la steganografia. E si sa che un giro di spionaggio russo scoperto a New York ha usato la steganografia per inviare informazioni ai suoi padroni.

Ciò solleva una serie di domande importanti. Quanto è diffusa la steganografia basata su Internet, che tipo di tecniche sfrutta e come può essere combattuta?

Oggi otteniamo una risposta parziale grazie al lavoro di Steffen Wendzel presso il gruppo di ricerca sulla difesa informatica presso l'Istituto Fraunhofer per la comunicazione, l'elaborazione delle informazioni e l'ergonomia a Bonn, in Germania, e alcuni amici. Questi ragazzi offrono una panoramica del modo in cui il malware nasconde informazioni segrete all'interno delle normali trasmissioni di rete e mostrano che il numero di metodi diversi è aumentato notevolmente negli ultimi anni.

Il loro focus particolare è sulla steganografia di rete, ovvero l'occultamento di informazioni all'interno delle normali trasmissioni di rete piuttosto che su chiavette USB o in immagini fisiche e così via. Sottolineano che tale steganografia di rete è particolarmente interessante perché non c'è limite in linea di principio alla quantità di informazioni che possono essere inviate, a differenza, ad esempio, di una chiavetta USB.

Inoltre, le opportunità di nascondere le informazioni nelle trasmissioni di rete sono cresciute a un ritmo rapido. In particolare, una serie di approcci ha preso di mira programmi di telefonia IP come Skype, che negli ultimi anni sono diventati sempre più popolari.

In passato, gli steganografi di rete hanno sfruttato i protocolli TCP/IP che hanno intestazioni che contengono informazioni per l'instradamento dei dati su Internet. Queste intestazioni hanno anche campi inutilizzati che possono essere utilizzati per trasportare informazioni nascoste in modo relativamente semplice.

Wendzel e co affermano che negli ultimi anni il focus dell'attacco è cambiato verso applicazioni e servizi di livello superiore come Skype, Bit Torrent e Google Search e verso nuovi ambienti di rete come il cloud computing. Di recente, dicono, abbiamo sperimentato un cambiamento nella selezione del supporto dati nascosto.

Ad esempio, un approccio chiamato transcodifica steganografia o TranSteg, consiste nel comprimere i dati del parlato in modo che occupino meno spazio e nell'utilizzare lo spazio che questo libera per trasportare dati nascosti.

Un altro attacco ai dati del parlato consiste nell'identificare i pacchetti di dati associati al silenzio tra le parole. Questi possono quindi essere imballati con dati segreti.

Un approccio alternativo consiste nell'attaccare le ricerche di Google, che visualizzano un elenco delle 10 frasi di ricerca correlate più popolari man mano che l'utente digita. Un attacco intercetta i suggerimenti dei server di Google e aggiunge una parola univoca alla fine di ciascuna delle 10 frasi suggerite. Il destinatario estrae semplicemente queste parole aggiunte e le converte in un messaggio utilizzando una tabella di ricerca precedentemente condivisa.

Forse la tendenza più preoccupante è la crescente capacità degli smartphone, che oggi hanno funzionalità disponibili solo su desktop e laptop nel recente passato. Gli smartphone offrono una vasta gamma di possibilità steganografiche grazie alla loro capacità di registrare e inviare audio, video, immagini fisse e file di testo di vario tipo. Inoltre, sono ovviamente mobili e possono connettersi automaticamente a una varietà di reti diverse.

Più spaventoso di tutti, questi dispositivi sono particolarmente vulnerabili. I livelli di sicurezza utilizzati nei sistemi operativi mobili si rivelano a malapena adeguati, affermano Wendzel e co.

Una forma di malware chiamata SoundComber acquisisce dati personali come le cifre immesse nella tastiera di uno smartphone durante una telefonata e quindi li trasmette utilizzando uno qualsiasi dei numerosi metodi diversi come modelli predefiniti di vibrazione, modificando il livello del volume di la suoneria, bloccando e sbloccando lo schermo e così via.

Tutto ciò rappresenta una minaccia significativa. Rimangono più di cento tecniche che trasferiscono dati segreti utilizzando meta informazioni, come elementi di intestazione o tempi dei pacchetti di rete, affermano Wendzel e co.

Il problema, ovviamente, è individuare i computer infettati da malware steganografico cercando direttamente il malware stesso o cercando i segni rivelatori della steganografia nei dati che trasmettono.

È più facile dirlo che farlo. Il software antimalware generalmente cerca un insieme predefinito di file noti per essere problematici. Esiste anche un software che offre protezione dalla perdita di dati che normalizza il traffico trasmesso nella speranza che ciò prevenga la steganografia della rete. Altri sistemi utilizzano l'apprendimento automatico per rilevare i segni rivelatori della steganografia.

Tuttavia, nessuno di questi approcci è perfetto o vicino ad esso. Le contromisure non possono affrontare contemporaneamente tutte queste tecniche di occultamento disponibili a causa della complessità e della diversità di protocolli e servizi, affermano Wendzel e co.

Sottolineano che prima di poter costruire una contromisura che lo faccia, i ricercatori dovranno elaborare una nuova serie di approcci fondamentali per contrastare le nuove forme di steganografia in evoluzione.

Una cosa è certa: il rilevamento e la prevenzione della steganografia di rete è destinato a diventare sempre più impegnativo man mano che si diffonde la minaccia di malware come Duqu. Stai attento!

Rif: arxiv.org/abs/1407.2029 : Nascosto e incontrollato - Sull'emergere di minacce steganografiche di rete

nascondere