Hogyan akadályozza meg a Deep CDR™ technológia a képfájlokba ágyazott, rejtjelezésen alapuló fenyegetéseket?

• A szteganográfián alapuló fenyegetések rosszindulatú kódokat rejtenek el látszólag átlagos fájlokban: képekben, dokumentumokban, hangfájlokban és egyebekben.
• Az ARES 2024 szakértői értékelésen átesett tanulmánya 106 stegomalware-esetet dokumentált, és megállapította, hogy az ismert stegomalware-ek viszonylag kis számú, visszatérő mintára és rejtési módszerre támaszkodnak.
• A Positive Technologies beszámolt arról, hogy a SteganoAmor kampány keretében 31 országban és számos ágazatban működő vállalatokat célzó több mint 320 támadás során alkalmaztak rejtjelzést.
• A „megelőzés elsődleges” megközelítés még mielőtt a fájl eljutna a felhasználóhoz, eltávolítja a rejtett tartalmat. A Deep CDR™ technológia eltávolítja az iTXt-hez hasonló metaadat-darabokat, és a rekonstruálás során újragenerálja a képpontadatokat, így kiküszöböli a rejtett hasznos adatokat, miközben a kép továbbra is normál módon jelenik meg.

A szteganográfia az a módszer, amelynek során információt rejtenek el egy másik, gyanút nem keltő hordozóban. A modern támadások kontextusában a szteganográfia azt jelenti, hogy egy rosszindulatú hasznos adatot egy hétköznapi fájlban (kép, hangfájl, dokumentum) úgy rejtenek el, hogy a hordozó külsőleg és működésében is teljesen normálisnak tűnjön. A fájl a várakozásoknak megfelelően jelenik meg, megfelel a formátum-ellenőrzésen, és nem kelt gyanút a viselkedésével. A hasznos adat egyszerűen ott van, várakozik, és láthatatlan marad minden számára, aki nem kifejezetten azt keresi.

Egyértelmű bizonyítékok utalnak arra, hogy ezt a technikát aktívan alkalmazzák. Egy szakértői értékelésen átesett, az ARES 2024 keretében készült tanulmány 133 fenyegetés-elhárítási jelentésből származó 106 dokumentált esetet elemezve megállapította, hogy az ismert stegomalware-ek viszonylag kis számú, visszatérő mintára és rejtési módszerre támaszkodnak. A Positive Technologies arról is beszámolt, hogy a SteganoAmor kampány steganográfiát alkalmazott több mint 320 támadás során, amelyek 31 országban működő, különböző ágazatokban tevékenykedő vállalatokat céloztak meg.

Az informatikai és biztonsági vezetők számára az üzenet egyértelmű: a szteganográfia nem csupán elméleti fenyegetés. Ez egy gyakorlatban is alkalmazott, dokumentált technika, amelyet arra használnak, hogy rosszindulatú kódokat rejtsenek el látszólag átlagos fájlokba, amelyeket e-mailben továbbítanak.

A képek az egyik leggyakrabban visszaélt hordozóformátumok közé tartoznak, és ha alaposan megvizsgáljuk, hogyan használják őket a támadók, két különböző rejtési technikát fedezhetünk fel, amelyek gyakran ugyanazon név alatt terjednek.

Az első a szűk értelemben vett szteganográfia: adatok beágyazása a képet alkotó képpontértékekbe. A leggyakoribb módszer az LSB (legkevésbé jelentős bit) beágyazás. Minden képpontot numerikus színértékek halmazaként tárolnak, és az egyes értékek legalacsonyabb rendű bitje szinte semmilyen hatással nincs arra, hogy az adott szín hogyan jelenik meg a képernyőn. A támadók ezeket a biteket a kódolt hasznos adat töredékeivel írják felül, így az adatot több ezer vagy millió képpontra szórják szét. A vizuális különbség az emberi szem számára észrevehetetlen marad, a fájl teljes mértékben érvényes marad, és a hasznos adat maga a képadatokon belül helyezkedik el, nem pedig egy külön mezőben, amelyet egy szkennelő program ellenőrzés céljából kiemelhetne. A fenyegetésekkel kapcsolatos kutatások megerősítik, hogy ez a módszer a gyakorlatban a leggyakrabban dokumentált; az ARES 2024 tanulmány megállapította, hogy a PNG (Portable Network Graphics) és a JPG fájlok a leggyakrabban visszaélt adathordozók, az LSB-beágyazás pedig az ismétlődő rejtési módszerek közé tartozik.

A második technika a képet körülvevő fájlszerkezetben rejti el az adatokat. A képformátumok egyesítik a szükséges adatokat – amelyek a kép megjelenítéséhez szükséges összes információt tartalmazzák – és az opcionális metaadat-blokkokat, amelyek kiegészítő információkat, például szerzői neveket, leírásokat vagy szerzői jogi megjegyzéseket tárolnak. A megjelenítő programok ezeket az opcionális blokkokat teljes mértékben kihagyják, így az ott tárolt adatok nem befolyásolják a megjelenített képet. A PNG-fájlok tartalmaznak egy ilyen opcionális blokkot, az úgynevezett iTXt-t, amelyet eredetileg szöveges metaadatokhoz terveztek, és a támadók kódolt hasznos adatokat tárolnak ott, tudván, hogy a normál fájlkezelési folyamat során soha semmi nem fogja kiolvasni azokat az adatokat. A biztonsági kutatók ezt strukturális adatrejtésnek minősítik, amely szorosan kapcsolódik a pixelszintű rejtjelzéshez, és a fenyegetésjelentések általában mindkettőt a „stegomalware” címke alatt csoportosítják.

Ugyanez az elv a képeken túl is érvényes. Az audiofájlok olyan metaadatstruktúrákkal rendelkeznek, amelyek rejtett adatokat hordozhatnak anélkül, hogy ez befolyásolná a lejátszást. A videofájlokban is vannak hasonló rések. A dokumentumformátumok metaadatmezőkben, szóközökben vagy formázási struktúrákban rejthetnek el adatokat. A hordozóformátum változik, de a logika nem.

Mindezekben az a közös, hogy a hordozófájl érvényes, működőképes marad, és vizuálisan vagy hangilag sem változik. A gyanús viselkedést kereső észlelő eszköznek nincs mit felfedeznie, mivel nincs is gyanús viselkedés.

Egy tipikus, szteganográfián alapuló e-mailes támadás során a kép nem önmagában érkezik. Egy rosszindulatú dokumentummal (leggyakrabban egy Office-fájllal) együtt érkezik, amely makrót tartalmaz: egy, a dokumentumba ágyazott kis programot, amely a fájl megnyitásakor automatikusan elindul. Ez a makró a végrehajtó. Letölti a hordozó képet, beolvassa annak nyers bájtait, kivonja a kódolt hasznos adatot a metaadatokból, dekódolja, majd futtatja azt. Maga a kép csupán egy tárolóeszköz, amely soha nem hajt végre semmit.

A felismerésen alapuló biztonsági rendszer egy egyszerű kérdés köré épül: ez rosszindulatúnak tűnik-e? A rendszer úgy működik, hogy átvizsgálja a fájlokat az ismert fenyegetési szignatúrák, viselkedési mutatók és szerkezeti rendellenességek szempontjából. Ha valami egyezik a rosszindulatú tevékenységhez kapcsolódó mintával, akkor azt megjelöli.

A szteganográfia kifejezetten arra szolgál, hogy ezt a kérdést elkerülje. A hordozófájl szerkezetileg érvényes. Megfelelően jelenik meg. Nem tartalmaz futtatható kódot, gyanús szkripteket, sem felismerhető kártevő-jellemzőket.

Ez nem olyan hiányosság, amelyet a hatékonyabb észlelés pótolni tudna. Hanem egy strukturális eltérés arról, hogy mit kell az észlelő eszközöknek megtalálniuk, és arról, hogy a rejtjelezés milyen célra lett kialakítva. A fenyegetés nem azáltal jut át minden ellenőrzésen, hogy kijátsza a szkennert, hanem azzal, hogy nem ad neki semmit, amit megtalálhatna.

OPSWAT Deep CDR™ technológiája nem próbálja megállapítani, hogy egy fájl rosszindulatú-e. Ehelyett a megelőítésre helyezett hangsúlyt: lebontja a fájlt, eltávolítja a potenciálisan rosszindulatú tartalmakat, majd újraépíti a tiszta, használható változatot.

Az iTXt-darabban rejtett adatokat tartalmazó PNG-fájlok esetében a Deep CDR™ technológia az iTXt-tartalom nélkül rekonstruálja a fájlt. A pixel szinten beágyazott hasznos adatok esetében a Deep CDR™ technológia a rekonstruálás során újrateremti a képadatokat, megszakítva a pixelértékek között elosztott hasznos adatokat, miközben megőrzi a vizuális minőséget. A megtisztított PNG-fájl továbbra is megfelel a specifikációknak és normál módon jelenik meg, miközben a rejtett hasznos adatok mindkét esetben eltávolításra kerülnek. Ez a legfőbb különbség a felismerés és a megelőzés között: a felismerés megpróbálja azonosítani a fenyegetést, míg a Deep CDR™ technológia eltávolítja a rejtett támadási felületet, mielőtt a fájl eljutna a felhasználóhoz.

Ezt a „megelőzés elsődleges” megközelítést az SE Labs is igazolta, amely a Deep CDR™ technológiát az első olyan CDR-megoldásként ismerte el, amely 100%-os védelmi és pontossági pontszámot ért el.

A Deep CDR™ technológia semlegesíti az aktív és beágyazott tartalmakat. Bizonyos gyanús mellékletek esetében azonban továbbra is indokolt a részletesebb viselkedésalapú vizsgálat. A MetaDefender™ Aether kibővítiEmail Security OPSWAT Email Security zero-day : adaptív sandboxing beépített fenyegetési információkat használ, hogy feltárja a kijátszó vagy ismeretlen fájlokban rejlő rosszindulatú viselkedést, és egyetlen, megbízható értékelést adjon a gyorsabb blokkolás, osztályozás és reagálás érdekében. 99,9%-os zero-day arányával Aether megszüntetni azt a maradék rést, amelyet a tisztítás és multiscanning nem tud kitölteni.

Email Security MetaDefender™ Email Security két, különböző környezetekre tervezett telepítési modell révén biztosítja az észlelés és a megelőzés kombinált megoldását.

A MetaDefender™ Email Gateway Security szoftverként telepíthető a meglévő levelezési szerverek elé, SMTP/MX szinten. A rendszer a Deep CDR™ technológiát alkalmazza több mint 200 fájltípusra,Aether MetaDefender Aether sandboxing adaptív sandboxing a gyanús mellékletek alaposabb viselkedésalapú vizsgálatához, Multiscanning Metascan™ Multiscanning több mint 30 víruskereső Multiscanning az ismert fenyegetések széles körű lefedéséhez, a Proactive DLP™ technológiát, valamint Predictive Alin AI, egy mesterséges intelligencián alapuló motort, amely milliszekundumok alatt megjósolja, hogy egy fájl tartalmaz-e rosszindulatú szoftvert, 0,1%-os téves riasztási arány mellett.

Email Security MetaDefender™Email Security kiegészíti a Microsoft 365-környezeteket, és perceken belül telepíthető, anélkül, hogy a meglévő MX-rekordokat módosítani kellene. A képalapú szteganográfia és más, fájlokon keresztül terjedő fenyegetések ellen a Deep CDR™ technológiát,Aether MetaDefender Aether zero-day Aether és a gyanús fájlok alaposabb viselkedésalapú vizsgálatáAether , Multiscanning Metascan Multiscanning akár 17 víruskereső Multiscanning , valamint Predictive Alin AI alkalmazza.

A rejtjelzésen alapuló fenyegetések komoly aggodalomra adnak okot azoknak a szervezeteknek, amelyek az e-mailt használják elsődleges kommunikációs csatornaként. Amikor a támadók a hasznos adatokat látszólag átlagos fájlokba tudják elrejteni, a szervezeteknek nem elegendő pusztán a felismerés. A megelőítésre összpontosító megközelítés csökkenti ezt a kockázatot azáltal, hogy eltávolítja a rejtett támadási felületet, még mielőtt a fájl eljutna a felhasználóhoz.