Steganography: Mối đe dọa mới nổi của việc truyền malware ẩn

Trong khi chúng ta chuẩn bị chống lại zero-day threat, exploit phổ biến, virus COVID-19 chết người. Hacker đang phát triển kỹ thuật mới để truyền malware lên máy của bạn. Khái niệm giới thiệu năm 1499 nhưng tồn tại từ thời cổ đại là vũ khí mới. Nó gọi là "steganography" - kỹ thuật mới gửi dữ liệu dưới dạng ẩn để không thể đọc được. Sự kết hợp từ từ Hy Lạp (steganos) nghĩa là giấu kín, ẩn và 'graphy' nghĩa là viết - đang trở thành xu hướng nguy hiểm mới.

Hôm nay chúng ta sẽ thảo luận ranh giới mới này và cách bảo vệ khỏi nó.

Steganography là gì?

Như đã thảo luận, đây là phương pháp mới tội phạm mạng dùng để tạo malware và công cụ gián điệp mạng.

Khác với cryptography (mật mã học) che giấu nội dung tin nhắn bí mật, steganography giấu đi حقيقة rằng một tin nhắn đang được truyền hoặc tải trọng độc hại nằm bên trong hình ảnh để lánh giải pháp bảo mật.

Có chuyện kể phương pháp này dùng trong Đế quốc La Mã để truyền tin bí mật. Chọn một nô lệ truyền tin, cạo sạch đầu. Sau đó xăm tin nhắn lên da, khi tóc mọc lại, nô lệ được gửi đi. Người nhận làm tương tự cạo đầu và đọc tin.

Mối đe dọa này nguy hiểm đến mức chuyên gia bảo mật phải tập hợp để học cách chống lại và vô hiệu hóa che giấu thông tin.

Steganography hoạt động như thế nào?

Chúng ta hiểu tại sao tội phạm mạng dùng phương pháp này. Nhưng nó hoạt động ra sao?

Steganography là quy trình 5 bước: tấn công nghiên cứu mục tiêu, quét, chiếm quyền truy cập, ẩn nấp, xóa dấu vết.

Khi malware thực thi trên máy bị xâm nhập, một meme, hình ảnh hoặc video độc hại được tải xuống. Sau đó lệnh cho trước được trích xuất. Nếu lệnh "print" bị ẩn trong code, chụp màn hình máy bị nhiễm. Khi thu thập xong thông tin, gửi đến hacker qua URL cụ thể.

Ví dụ gần đây từ sự kiện 2018 Hacktober.org CTF: TerrifyingKity gắn trong hình ảnh. Ngoài ra, Sundown Exploit Kit, Vawtrack mới và họ malware Stegoloader cũng xuất hiện.

Steganography khác Cryptography như thế nào?

Cả steganography và cryptography có mục tiêu giống nhau: giấu tin nhắn và truyền cho bên thứ ba. Nhưng cơ chế khác nhau.

Cryptography biến thông tin thành ciphertext không hiểu được nếu không giải mã. Steganography không thay đổi định dạng, nó giấu thông tin sao cho không ai biết có dữ liệu ẩn.

Nói đơn giản, steganography mạnh và phức tạp hơn. Dễ bypass hệ thống DPI, tất cả khiến nó thành lựa chọn đầu tiên của hacker.

Tùy bản chất, Steganography chia 5 loại:

• Text Steganography – Thông tin ẩn trong file text, dạng thay đổi ký tự, ký tự ngẫu nhiên, ngữ pháp không ngữ cảnh.
• Image Steganography – Giấu dữ liệu bên trong hình ảnh.
• Video Steganography – Giấu dữ liệu vào định dạng video số.
• Audio Steganography – Tin nhắn bí mật nhúng trong tín hiệu audio thay đổi chuỗi nhị phân.
• Network Steganography – Kỹ thuật nhúng thông tin trong giao thức điều khiển mạng.

Nơi tội phạm giấu thông tin:

• File số – Tấn công quy mô lớn liên quan nền tảng e-commerce tiết lộ dùng steganography. Nền tảng bị nhiễm, malware thu thập chi tiết thanh toán và giấu trong ảnh để tiết lộ thông tin trang web bị nhiễm.
• Mạo danh chương trình hợp pháp – Malware giả mạo player khiêu dâm không chức năng đúng, lừa người dùng cài app bị nhiễm.
• Bên trong ransomware – Malware phổ biến là Cerber ransomware. Cerber dùng tài liệu lan truyền malware.
• Bên trong exploit kit – Stegano là ví dụ đầu tiên exploit kit. Mã độc nhúng trong banner.

Có cách xác định steganography? Có, có vài cách xác định tấn công thị giác này.

Cách phát hiện tấn công steganography

Phương pháp Histogram (Chi-squared) – Phân tích toàn bộ raster ảnh. Đọc số pixel có 2 màu liền kề.

Phương pháp RS – Phương pháp thống kê khác phát hiện payload carrier. Chia ảnh thành nhóm pixel và dùng thủ tục điền đặc biệt. Dựa trên giá trị, phân tích dữ liệu và xác định ảnh có steganography.

Tất cả cho thấy hacker dùng steganography một cách khôn khéo truyền malware. Và điều này không dừng lại vì rất có lợi. Không chỉ vậy, Steganography còn dùng lan truyền khủng bố, nội dung khiêu dâm, gián điệp, v.v.